CRACI vs Apiiro

En bref

Apiiro est une plateforme de gestion de la posture de sécurité des applications (ASPM). Sa Deep Code Analysis cartographie l'architecture de votre logiciel, du code à l'exécution, et son Risk Graph corrèle les résultats des scanners d'Apiiro et d'outils tiers. Son module de sécurité de la chaîne d'approvisionnement logicielle (SSCS) inventorie les dépôts et les pipelines et signale des risques tels qu'une protection des branches insuffisante, des erreurs de configuration des pipelines et des commits anormaux.

CRACI vise le même budget « sécuriser notre chaîne d'approvisionnement logicielle » depuis une autre position : il exécute vos jobs GitHub Actions. Apiiro raisonne sur ce que votre code et la configuration de vos pipelines annoncent. CRACI enregistre ce que le build a fait, contrôle son trafic réseau sortant et continue de surveiller ce que vous avez livré. Un grand programme AppSec peut utiliser les deux. Une équipe dont le premier besoin est de prouver ce qui est entré dans chaque release peut commencer par CRACI.

En un coup d'œil

Ce qu'Apiiro fait bien

• Le contexte d'architecture sans modifier la CI. Apiiro se connecte à votre gestionnaire de code source par une intégration API et affirme n'exiger ni configuration ni maintenance CI/CD. La Deep Code Analysis cartographie ensuite les API, les données sensibles, les frameworks d'IA générative et la propriété du code, avec une actualisation à chaque commit et à chaque modification significative.
• La sécurité du codage par IA. Guardian Agent, lancé en janvier 2026, fonctionne avec les assistants de codage IA et ajoute aux prompts des développeurs des consignes de sécurité tirées de vos modèles de menaces, de vos politiques de conformité et de votre architecture : l'assistant est ainsi détourné du code vulnérable avant de l'écrire. AI Threat Modeling a suivi en mars 2026.
• L'étendue. Apiiro annonce nativement AI SAST, AI SCA, SSCS, secrets, infrastructure as code, sécurité des API dans le code, DSPM pour le code et modélisation des menaces par IA. CRACI ne fait aucun des scans de code de cette liste.
• La priorisation. Le Risk Graph ingère, dédoublonne et corrèle les résultats, puis les enchaîne en « combinaisons toxiques ». L'exemple d'Apiiro : un dépôt contenant des données personnelles, construit par un pipeline vulnérable, qui reçoit des commits sur une branche sans relecteurs obligatoires. Trois résultats de sévérité moyenne deviennent un risque critique.
• L'inventaire de la software factory. SSCS inventorie les dépôts et les pipelines CI/CD, y compris les pipelines fantômes, avec leurs contributeurs, permissions, plugins et dépendances. Il suit les vulnérabilités des dépendances des pipelines tout au long de leur cycle de vie, et des garde-fous peuvent bloquer les commits et les merges risqués.
• L'analyse et la correction des dépendances. AI SCA vérifie si une fonction vulnérable est réellement appelée, fait correspondre les dépendances aux conteneurs déployés et aux endpoints publics, détecte les paquets malveillants et applique une politique de licences. AutoFix livre des montées de version qu'Apiiro dit prévalidées pour la compatibilité des API.
• Les intégrations. GitHub, GitLab, Azure DevOps, Bitbucket et Perforce côté contrôle de version, Jenkins et GitHub Actions pour la posture des pipelines, et une longue liste de scanners, de registres et d'outils de ticketing.

Ce qui distingue CRACI

Le build comme source de vérité

L'XBOM d'Apiiro est établie par l'analyse du code : chaque paquet, API, modèle d'IA et licence, actualisés à chaque modification du code. C'est une image solide de ce que votre code déclare et utilise. Mais un build fait souvent plus que ce que dit le code. Il exécute des scripts d'installation, télécharge des toolchains, restaure des caches, récupère des images de base et des binaires de release.

CRACI voit cette activité parce qu'il est le runner. Un proxy qui comprend les paquets observe le trafic vers les sources de paquets pendant l'exécution du job, pour npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk et les sources Git, ainsi que des presets de téléchargement. Les preuves de dépendances suivent les caches CI : un paquet restauré depuis un cache est donc toujours pris en compte. Chaque SBOM porte un état de complétude par job et par cache : Complete, Complete with connections, Incomplete, Unavailable ou Not recorded. Vous savez quand l'enregistrement présente une lacune.

Le contrôle au niveau du runner, pas seulement la posture

Apiiro vous signale lorsqu'un pipeline est mal configuré ou exposé à une altération. CRACI limite ce qu'un build peut atteindre pendant son exécution. Les politiques de trafic sortant sont en refus par défaut ou en autorisation par défaut, avec 24 presets de sources logicielles intégrés, des sources personnalisées typées pour npm, PyPI, apt, apk, le proxy Go, Nix, Cargo, les registres OCI et Git, et des règles TLS, TCP, UDP et ICMP explicites. Elles sont validées avant le démarrage du job et bloquent tout en cas d'échec, et CRACI peut vous alerter en cas de violation.

Les preuves de build via l'API

L'API renvoie les SBOM, les traces réseau et la provenance.

Après la livraison

CRACI continue de réévaluer les SBOM de ce que vous avez livré à mesure que de nouvelles vulnérabilités sont publiées, et agrège les résultats de l'ensemble des builds et des dépôts.

Un inventaire de ce qui est déployé et où

La vue d'inventaire de CRACI montre précisément quelles versions logicielles sont déployées dans quels produits, à l'échelle mondiale. Quand une nouvelle vulnérabilité apparaît, vous voyez quels produits exécutent la version concernée, au lieu de reconstituer l'information à partir de notes de version et de tableurs.

Là où Apiiro a de l'avance

Disons-le clairement : CRACI ne fait ni SAST, ni détection de secrets, ni scan IaC ou de sécurité des API, n'ingère pas les résultats d'autres scanners, n'audite ni la protection des branches ni les permissions des dépôts, et ne prend en charge que GitHub Actions aujourd'hui, avec GitLab CI et Jenkins sur la roadmap. CRACI bloque bien les builds via ses politiques et applique une politique de licences. S'il vous faut une plateforme unique qui priorise le risque sur l'ensemble de votre code, Apiiro couvre bien plus de terrain.

Lequel choisir

Apiiro convient mieux si

• Vous voulez une plateforme ASPM unique couvrant de nombreux scanners, dépôts et systèmes SCM.
• Votre priorité est le contexte d'architecture : quel code est exposé à Internet, traite des données personnelles ou a changé de manière significative.
• Vous avez besoin de la posture des dépôts et des pipelines sur GitLab, Azure DevOps, Bitbucket ou Jenkins.

CRACI convient mieux si

• Vous construisez sur GitHub Actions et voulez le runner, la politique de trafic sortant et l'enregistrement des dépendances au même endroit.
• Vous avez besoin d'une SBOM de ce que chaque build a récupéré, avec un état de complétude à présenter à un auditeur.
• Vous voulez surveiller ce qui a été livré et disposer de preuves pour le CRA.

Utiliser les deux

Apiiro se présente désormais comme une solution de sécurisation du développement agentique. Son Guardian Agent oriente les assistants de codage IA vers du code sûr avant qu'il ne soit écrit, et son XBOM provient de l'analyse du code de vos dépôts. CRACI est une CI/CD dont la sécurité est intégrée au runner ; sa SBOM enregistre donc ce que chaque build a réellement récupéré, y compris ce que l'analyse de code ne peut pas voir : scripts d'installation, toolchains, paquets en cache et images de base. Apiiro intervient là où le code est écrit, CRACI là où il est construit et livré. CRACI remplace le runner, pas GitHub Actions : toute intégration d'Apiiro aux pipelines continue donc de fonctionner.

Pour le Cyber Resilience Act

Le Cyber Resilience Act demande aux fabricants de connaître les composants de chaque produit, d'en traiter les vulnérabilités et de conserver des preuves. Une plateforme ASPM aide au développement sécurisé et au traitement des vulnérabilités de votre code. CRACI automatise une part importante de la visibilité et des preuves sur la chaîne d'approvisionnement logicielle dont les entreprises ont besoin pour leur démarche plus large de conformité au CRA : SBOM générées au build, suivi des vulnérabilités, provenance et export de SBOM en CycloneDX ou SPDX. Aucun des deux outils ne vous rend conforme à lui seul. Voir Conformité CRA.

Ajouter CRACI

Installez la GitHub App CRACI sur votre organisation, puis remplacez le label de runner d'un job par runs-on: craci. Les exécutions apparaissent toujours dans l'interface GitHub. Commencez par un workflow qui produit un artefact de release et comparez la SBOM de CRACI avec votre inventaire actuel. En savoir plus sur l'intégration CI/CD, la génération de SBOM au build et les tarifs.