CRACI vs DefectDojo

La réponse courte

DefectDojo est une plateforme open source de gestion des vulnérabilités et un projet Flagship de l'OWASP, avec une édition commerciale, DefectDojo Pro, proposée par DefectDojo Inc., basée à Austin, au Texas. Elle importe les résultats des outils de sécurité que vous utilisez déjà, les dédoublonne dans une file unique et suit leur correction. Pro ajoute la gestion des SBOM et un PSIRT Advisory Engine. CRACI est un runner GitHub Actions qui enregistre ce que chaque build récupère pendant son exécution, produit la SBOM à partir de cet enregistrement, la surveille pour détecter de nouvelles vulnérabilités et permet aux équipes sécurité de trier ce qu'il détecte. DefectDojo rassemble ce que d'autres outils signalent ; CRACI est la source de l'enregistrement des dépendances des logiciels que vous construisez.

En un coup d'œil

Les points forts de DefectDojo

Une seule file pour tous les scanners. Le site de DefectDojo liste plus de 500 outils pris en charge et décrit clairement l'objectif : « Chaque scanner SAST, DAST, SCA, cloud et conteneurs de votre stack, dédoublonné dans une file unique. » Le dédoublonnage entre scanners qui se recoupent est la raison pour laquelle de nombreuses équipes l'adoptent. Les résultats se voient ensuite attribuer des responsables, des SLA et des tickets Jira.

Un projet open source à l'historique solide. La Community Edition est gratuite sous licence BSD 3-Clause et s'exécute avec Docker Compose. L'OWASP classe DefectDojo parmi ses projets Flagship, et DefectDojo indique que plus de 10 000 organisations l'utilisent. DefectDojo Inc. a levé $7 millions en série A en septembre 2024.

Les SBOM comme modèle d'actifs. Dans Pro, une SBOM téléversée sur un actif devient un ensemble de dépendances dans Locations, le modèle d'actifs de DefectDojo au niveau des composants. Il importe CycloneDX (JSON et XML) et SPDX (JSON, XML et tag-value), exporte en CycloneDX 1.6 ou SPDX 2.3, et exporte les statuts des résultats sous forme de document CycloneDX VEX. Sa documentation indique clairement que DefectDojo ne génère pas lui-même de SBOM.

Un workflow PSIRT. DefectDojo a lancé son PSIRT Advisory Engine en avril 2026 comme « la première plateforme de sécurité conçue spécifiquement pour les PSIRT ». C'est une fonctionnalité de Pro. Il importe les avis de sécurité de flux comme CISA Known Exploited Vulnerabilities, la NVD, l'EUVD, Red Hat et Exploit-DB, les compare aux données des SBOM ou à des règles d'actifs personnalisées, les priorise selon le CVSS, l'EPSS et le statut KEV, les regroupe en dossiers avec des responsables, et publie des avis PDF à votre marque. La version Pro de septembre 2026 a ajouté l'export d'avis CSAF 2.0 et VEX ainsi qu'une interface de signalement au titre de l'article 14 du CRA.

Des tarifs publiés. Pro en paiement à l'usage coûte $100 par mois plus $0.15 par résultat traité, avec des remises en cas de prépaiement annuel. La Community Edition reste gratuite.

Ce qui distingue CRACI

DefectDojo travaille à partir des résultats que produisent d'autres outils. CRACI produit son propre enregistrement, car il est la machine sur laquelle le build s'exécute.

La SBOM vient du build

La mise en correspondance des avis par DefectDojo ne vaut que ce que valent les données SBOM que vous y chargez, et cette SBOM vient d'un générateur situé quelque part en amont. CRACI remplace le runner : vous remplacez runs-on par craci, et un proxy qui comprend les paquets enregistre ce que chaque job récupère depuis les sources de paquets, y compris les paquets restaurés depuis les caches CI et les dépendances cachées qu'aucun lockfile ne liste. La SBOM, en CycloneDX ou SPDX, vient de cet enregistrement, et chacune indique son niveau de complétude par job et par cache : Complete, Complete with connections, Incomplete, Unavailable ou Not recorded.

Surveillance et tri sur le même enregistrement

CRACI réévalue les SBOM surveillées à mesure que de nouvelles vulnérabilités sont publiées et agrège les résultats de l'ensemble des builds et des dépôts. L'historique des builds montre chaque build passé et sa SBOM dans la limite de votre période de conservation : vous voyez donc quels builds contenaient une dépendance vulnérable et depuis combien de temps. La vue d'inventaire montre quelles versions logicielles sont déployées dans quels produits. Les équipes sécurité trient les résultats et envoient chacun à l'équipe chargée de la correction, enregistrent des VEX et définissent des garde-fous de politique qui bloquent un build, y compris les builds qui contiennent une CVE précise. Vous pouvez aussi ajouter les SBOM de vos fournisseurs, afin que les composants achetés soient surveillés à côté de vos propres builds.

Le contrôle de ce que le build peut joindre

Comme CRACI exécute le job, il applique une politique de trafic sortant : refus par défaut ou autorisation par défaut, avec 24 presets de sources logicielles intégrés. Les politiques sont validées avant le démarrage du job et bloquent tout en cas d'échec. DefectDojo peut suivre un composant à risque après coup ; une politique de trafic sortant limite dès le départ les origines possibles de ce qu'un build récupère.

Ce que CRACI ne fait pas

CRACI n'importe pas les résultats d'autres scanners : ce n'est donc pas une file unique pour les résultats SAST, DAST, cloud et conteneurs. Il ne scanne pas le code source ; le SAST et le scan des secrets sortent de son périmètre par conception. Il ne propose pas d'analyse d'atteignabilité, et il ne prend en charge que GitHub Actions aujourd'hui, avec GitLab CI et Jenkins sur la roadmap.

Lequel utiliser, et quand

• Vous avez besoin d'une file unique pour les résultats de nombreux outils. DefectDojo. Il est conçu pour recevoir les résultats des scanners SAST, DAST, SCA, cloud et conteneurs et les dédoublonner, ce que CRACI ne fait pas.
• Votre principale exposition tient aux dépendances des logiciels que vous construisez sur GitHub Actions. CRACI. Il produit la SBOM dans le build, la surveille et mène le tri jusqu'à l'équipe responsable : il n'y a donc ni générateur à exécuter ni téléversement de SBOM à maintenir.
• Vous voulez des flux d'avis mis en correspondance avec les produits, des avis PDF et une interface de signalement au titre de l'article 14 du CRA dans un seul outil. DefectDojo Pro les intègre à son PSIRT Advisory Engine.
• Vous avez besoin d'un outil gratuit que vous hébergez vous-même. La Community Edition de DefectDojo. CRACI est un service managé aujourd'hui, avec des runners hébergés par le client sur la roadmap pour Enterprise.

Remplacer le volet SBOM de DefectDojo

Si DefectDojo contient surtout des résultats SCA et des SBOM téléversées pour les logiciels que vous construisez, CRACI couvre ce travail dans un seul produit : le build, la SBOM, la surveillance continue et le tri. Il n'y a ni générateur à maintenir au rythme de chaque écosystème ni job d'import à entretenir, et l'inventaire vient de ce que le build a réellement récupéré plutôt que de ce qu'un scan a estimé.

Soyez lucide sur ce à quoi vous renoncez. DefectDojo est open source et peut être auto-hébergé. Il dédoublonne les résultats de centaines d'outils, et pas seulement ceux qui concernent les dépendances. S'il est l'endroit où se rejoignent les résultats de tous vos scanners, gardez-le pour ce rôle ; CRACI n'importe pas les résultats d'autres outils.

Au sein d'un PSIRT

La première question de la plupart des dossiers PSIRT est de savoir quels produits et quelles versions contiennent le composant concerné. Le PSIRT Services Framework du FIRST qualifie l'inventaire des composants des produits d'essentiel pour y répondre. DefectDojo répond à partir des données SBOM que vous chargez ; CRACI répond à partir d'un enregistrement de ce que chaque build a récupéré, et continue de répondre à mesure que de nouvelles CVE apparaissent. Lisez ce que fait un PSIRT, CRACI pour les équipes PSIRT et le comparatif des outils PSIRT.

Pour les produits réglementés, CRACI automatise une part importante de la visibilité sur la chaîne d'approvisionnement logicielle et des preuves dont les entreprises ont besoin pour leur démarche plus large de conformité au CRA. Aucun outil présenté sur cette page ne rend un produit conforme à lui seul.

Vous comparez plus de deux outils ? Alternatives à DefectDojo compare six options, dont Dependency-Track.