CRACI vs FOSSA

La réponse courte

Le point fort de FOSSA est la conformité des licences open source et la gestion du cycle de vie des SBOM : générer les SBOM d'applications, importer des SBOM tierces, les surveiller pour détecter les vulnérabilités et les partager avec les clients et les autorités. CRACI est un runner GitHub Actions qui enregistre les dépendances que chaque job a réellement récupérées et produit la SBOM à partir de cet enregistrement, avec un état de complétude.

FOSSA gère les SBOM que vous lui fournissez. CRACI en produit une à partir du build et continue de la surveiller : pour vos propres logiciels, la CI, la SBOM et le suivi des vulnérabilités se trouvent donc au même endroit. Lorsque la conformité des licences est la principale préoccupation, FOSSA reste en avance.

En un coup d'œil

Ce que FOSSA fait bien

• Conformité des licences. C'est par là que FOSSA a commencé, et cela se voit. Il détecte les licences à partir du texte intégral, applique automatiquement les politiques, extrait les informations de droits d'auteur et génère des mentions d'attribution en SPDX, HTML et texte. Les équipes juridiques et d'ingénierie peuvent travailler à partir des mêmes données.
• Cycle de vie des SBOM. FOSSA « produces and consumes SBOMs. » Il génère des SBOM en SPDX et CycloneDX, éventuellement avec des déclarations VDR ou VEX, et importe des SBOM existantes pour « analyze dependencies you don't build yourself. » Les politiques SBOM peuvent exiger les éléments minimaux NTIA et FDA sur les fichiers importés.
• Distribution. Sur Enterprise, le SBOM Portal partage les données SBOM avec des partenaires ou publiquement : vous n'envoyez donc pas de fichiers par e-mail à vos clients.
• Un scan étendu. La CLI FOSSA s'intègre à plus de 20 systèmes de build, et le scan de conteneurs est inclus. Le scan d'extraits de code et le scan de binaires sont disponibles en option.
• Une porte d'entrée gratuite. Le plan Free couvre 5 projets et 5 SBOM importées. Business coûte $20 par projet et par mois, facturé annuellement, et Enterprise est sur mesure (en septembre 2026).

Si votre principal problème est le risque de licence, ou la gestion de SBOM provenant de nombreux fournisseurs, FOSSA couvre un terrain que CRACI ne couvre pas. CRACI affiche les métadonnées de licence déclarées, les inclut dans l'export de SBOM et applique une politique de licences.

Ce qui distingue CRACI

La SBOM vient de ce que le build a fait

La CLI FOSSA analyse un projet en s'intégrant à son outil de build lorsqu'un build fonctionnel est disponible, et en déduisant les dépendances à partir du code source lorsqu'il ne l'est pas. C'est une approche saine, et cela reste une analyse du projet. CRACI, lui, exécute le job. Vous remplacez runs-on par craci, et un proxy qui comprend les paquets enregistre le trafic vers les sources de paquets pendant le build : npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk et les sources Git, ainsi que les presets de téléchargement. Les preuves de dépendances suivent les caches CI : un paquet restauré depuis un cache reste donc dans l'enregistrement, y compris toutes les dépendances transitives utilisées par le build.

La méthode compte, car les générateurs de SBOM divergent, et ils divergent par conception. Chacun décide lui-même de ce qui compte comme composant et des fichiers auxquels se fier : en pointer deux vers un même dépôt donne donc deux listes qui se recoupent mais diffèrent. FOSSA et CRACI ne peuvent pas être comparés sur ce terrain, puisque CRACI enregistre des builds et ne peut pas scanner un répertoire. Le constat vaut pour l'analyse statique en général : la réponse dépend de l'outil, de ses réglages et des fichiers présents.

Elle vous dit quand elle est incomplète

Les politiques SBOM de FOSSA vérifient que les champs requis sont présents. CRACI ajoute un autre signal : un état de complétude par job et par cache (Complete, Complete with connections, Incomplete, Unavailable ou Not recorded) qui indique si l'enregistrement lui-même a présenté une lacune. Lorsqu'un auditeur demande comment vous savez qu'un inventaire est complet, voilà la réponse.

Contrôle et provenance

Comme CRACI exécute le job, il applique une politique de trafic réseau sortant : refus par défaut ou autorisation par défaut, avec 24 presets de sources logicielles intégrés et des sources personnalisées typées, validée avant le démarrage du job et bloquant tout en cas d'échec. L'API renvoie les SBOM, les traces réseau et la provenance.

Surveillance

CRACI réévalue en continu les SBOM surveillées. Le fossabot de FOSSA s'attaque à un autre problème : il examine les mises à jour de dépendances, y compris celles de Dependabot ou Renovate, pour détecter les changements cassants et leur impact.

Un inventaire de ce qui est déployé et où

La vue d'inventaire de CRACI montre précisément quelles versions logicielles sont déployées dans quels produits, à l'échelle mondiale. Lorsqu'une nouvelle vulnérabilité apparaît, vous voyez quels produits exécutent la version concernée au lieu de le reconstituer à partir de notes de version et de tableurs.

Remplacer FOSSA par CRACI

Pour les logiciels que vous construisez vous-même, CRACI couvre ce que font les fonctionnalités SBOM et vulnérabilités de FOSSA, à la source. Il exécute vos jobs GitHub Actions, enregistre la SBOM de chaque build, continue de réévaluer les SBOM surveillées à mesure que de nouvelles vulnérabilités sont publiées, agrège les résultats sur l'ensemble des builds et des dépôts, et permet aux équipes sécurité de les trier et d'envoyer chacun à l'équipe chargée de la correction. Des SBOM de fournisseurs peuvent aussi être ajoutées : les composants achetés sont ainsi surveillés à côté de vos propres builds. Il n'y a pas d'étape CLI séparée à maintenir.

Soyons clairs sur ce à quoi vous renoncez. La conformité des licences de FOSSA est mature : politiques, détection des licences sur le texte intégral, extraction des droits d'auteur et mentions d'attribution. CRACI exporte la licence déclarée de chaque composant et applique une politique de licences, y compris le blocage d'un build en raison d'une licence ; la détection et les mentions d'attribution de FOSSA vont plus loin. CRACI n'a pas non plus de scan d'extraits de code ou de binaires ni de portail de partage de SBOM, et il prend uniquement en charge GitHub Actions aujourd'hui, GitLab CI et Jenkins figurant sur la roadmap. Si la conformité des licences est votre première préoccupation, gardez FOSSA.

Pour le Cyber Resilience Act

FOSSA publie des recommandations sur le CRA. Son résumé de l'exigence relative à la SBOM : les fabricants établissent une SBOM dans un format couramment utilisé et lisible par machine, couvrant « at the very least the top-level dependencies of the products », et la partagent avec les autorités de surveillance du marché dans le cadre de la documentation technique. FOSSA présente comme son aide au CRA l'import, la génération, l'analyse des vulnérabilités et le partage sécurisé avec les autorités.

Les dépendances de premier niveau sont le plancher, pas l'objectif. Une vulnérabilité dans un paquet transitif reste dans votre produit. Les obligations de signalement du CRA s'appliquent à partir du 11 septembre 2026, avec une alerte précoce due dans les 24 heures pour une vulnérabilité activement exploitée, et ses principales dispositions s'appliquent à partir du 11 décembre 2027. CRACI enregistre l'ensemble complet des dépendances utilisées par chaque build, renvoie les SBOM, les traces réseau et la provenance via son API, et exporte les SBOM en CycloneDX ou SPDX, vulnérabilités comprises.

CRACI automatise une part importante de la visibilité et des preuves sur la chaîne d'approvisionnement logicielle dont les entreprises ont besoin pour leur démarche plus large de conformité au CRA. Aucun des deux produits ne rend à lui seul un fabricant conforme. Voir ce qu'exige le CRA et la conformité au CRA avec CRACI.

CRACI et FOSSA : questions fréquentes

Remplacer FOSSA, tarifs, formats de SBOM et systèmes CI pris en charge

CRACI est-il une alternative à FOSSA ?

Oui, pour les SBOM et la surveillance des vulnérabilités des logiciels que vous construisez. CRACI exécute vos jobs GitHub Actions, enregistre la SBOM de chaque build, continue de réévaluer les SBOM surveillées et permet aux équipes sécurité de trier les résultats et de les envoyer à l'équipe responsable. FOSSA reste en avance sur la conformité des licences open source : si c'est votre première préoccupation, gardez FOSSA.

CRACI remplace-t-il FOSSA ou fonctionne-t-il à ses côtés ?

Pour vos propres logiciels, CRACI le remplace : la CI, la SBOM et le suivi des vulnérabilités se trouvent dans un seul produit, sans étape CLI séparée à maintenir. Ce à quoi vous renoncez : la conformité des licences mature de FOSSA (détection des licences sur le texte intégral, extraction des droits d'auteur et mentions d'attribution), ses options de scan d'extraits de code et de binaires, et son SBOM Portal.

Comment les tarifs de CRACI se situent-ils par rapport à ceux de FOSSA ?

En septembre 2026, FOSSA propose un plan Free couvrant 5 projets et 5 SBOM importées, Business à $20 par projet et par mois facturé annuellement, et un tarif Enterprise sur mesure. CRACI ne facture que les minutes de build : $0.002 par minute vCPU ($0.004 pour un runner 2 vCPU par défaut), décompté à la seconde, sans abonnement mensuel ni frais par SBOM. Consultez les tarifs pour les conditions actuelles.

Quels formats de SBOM FOSSA et CRACI prennent-ils en charge ?

Tous deux exportent SPDX et CycloneDX. FOSSA peut ajouter des déclarations VDR ou VEX à ses SBOM. CRACI exporte la SBOM de chaque build avec les dépendances transitives et la licence déclarée de chaque composant, indique par job et par cache à quel point l'enregistrement était complet, et prend en charge VEX.

CRACI peut-il suivre les SBOM des fournisseurs comme FOSSA ?

Oui. Vous pouvez ajouter des SBOM de fournisseurs à CRACI, et ces composants achetés sont surveillés à côté des logiciels que vous construisez. FOSSA importe des fichiers SPDX et CycloneDX et peut leur appliquer des politiques SBOM, par exemple exiger les éléments minimaux NTIA et FDA.

Quels systèmes CI FOSSA et CRACI prennent-ils en charge ?

La CLI FOSSA s'exécute dans votre CI et s'intègre à plus de 20 systèmes de build. CRACI est aujourd'hui un runner pour GitHub Actions ; d'autres systèmes CI figurent sur la roadmap, dont GitLab CI et Jenkins.

CRACI aide-t-il pour le Cyber Resilience Act ?

Oui. CRACI enregistre l'ensemble complet des dépendances utilisées par chaque build, pas seulement celles de premier niveau, renvoie les SBOM, les traces réseau et la provenance via son API, et soumet en votre nom les notifications de vulnérabilités prévues par le CRA. Il automatise une part importante de la visibilité sur la chaîne d'approvisionnement et des preuves dont votre démarche CRA a besoin ; aucun des deux produits ne rend à lui seul un fabricant conforme. Réservez une démo pour comparer la SBOM de CRACI avec celle que vous gérez aujourd'hui.