CRACI vs Legit Security

En bref

Legit Security est une plateforme de gestion de la posture de sécurité des applications (ASPM). Elle se connecte à votre gestion de code source, votre CI, vos registres et vos scanners, cartographie votre cycle de vie de développement logiciel, y applique des politiques et réunit les résultats de sécurité dans une seule vue priorisée. CRACI est un runner GitHub Actions qui enregistre ce que chaque build récupère, contrôle ce que le build peut joindre et continue de surveiller ce qui a été livré. Legit gouverne le pipeline depuis l'extérieur ; CRACI est la couche d'exécution du pipeline. Tous deux s'adressent aux équipes chargées de sécuriser leur chaîne d'approvisionnement logicielle, et certaines voudront les deux.

En un coup d'œil

Ce que Legit Security fait bien

Une vue de l'ensemble du SDLC. Le produit de sécurité de la chaîne d'approvisionnement logicielle de Legit vise à « discover and correlate your entire SDLC automatically », en tenant à jour en continu un inventaire des actifs du SDLC et des contrôles de sécurité qui s'y appliquent, avec des modèles visuels des systèmes et des pipelines. Pour une équipe sécurité qui a hérité de centaines de dépôts et de plusieurs systèmes CI, cette cartographie a de la valeur à elle seule.

Des politiques sur de nombreux systèmes. Legit indique appliquer des centaines de politiques pour sécuriser les systèmes du SDLC, les pipelines CI/CD, le code et les équipes. Sa liste d'intégrations est large : GitHub, GitLab, Bitbucket et Azure DevOps pour la gestion de code source ; GitHub Actions, GitLab CI, Jenkins, CircleCI, TeamCity et d'autres pour la CI ; des registres de conteneurs et de paquets tels que JFrog Artifactory et Sonatype Nexus ; et des plateformes cloud.

Une seule vue des résultats. Legit orchestre des scanners existants tels que Snyk, Checkmarx, Veracode et GitHub Advanced Security, puis corrèle et dédoublonne leurs résultats. Il propose aussi du SAST et du SCA natifs, avec l'analyse d'atteignabilité et la détection des risques de licence ajoutées en 2025.

Les secrets et le code généré par IA. Sa détection de secrets va au-delà du code source, jusqu'à l'historique Git, aux logs de build et aux espaces de travail partagés tels que Slack, Confluence et Jira. VibeGuard intègre ses vérifications à l'IDE pour le code généré par IA. Legit publie aussi Legitify, un outil open source sous Apache 2.0 qui trouve les réglages GitHub et GitLab non sécurisés.

SBOM et attestations. Legit crée des SBOM et des attestations logicielles signées et prend en charge le reporting de conformité au regard de cadres tels que ISO 27001, SSDF, SLSA, NIST, SOC 2 et PCI DSS.

Ce qui distingue CRACI

Une plateforme de posture lit la configuration et la sortie des scanners via des API. Elle peut vous dire qu'un pipeline est configuré de manière risquée. Elle ne peut pas voir le trafic réseau d'un job pendant son exécution, car elle n'est pas la machine sur laquelle le job s'exécute. CRACI, si.

Le build est la source de vérité

Votre workflow passe sur CRACI avec une modification d'une seule ligne, celle de runs-on. Un proxy qui comprend les paquets enregistre ensuite ce que chaque job télécharge depuis les sources de paquets, pour npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk et les sources Git, et les paquets restaurés depuis les caches CI sont reportés. Chaque SBOM indique son niveau de complétude, par job et par cache : Complete, Complete with connections, Incomplete, Unavailable ou Not recorded. La SBOM décrit ce que le build a récupéré, et non ce qu'un manifeste dit qu'il aurait dû récupérer.

Du contrôle, pas seulement de la visibilité

Une politique de trafic sortant sur le runner décide quels hôtes un job peut joindre. Les politiques sont en refus par défaut ou en autorisation par défaut, avec 24 presets de sources logicielles intégrés et des sources personnalisées typées. Elles sont validées avant le démarrage du job, bloquent tout en cas d'échec et envoient une alerte en cas de violation. Un constat de posture vous dit de corriger un réglage ; une politique de trafic sortant arrête la connexion pendant l'exécution du build.

Des preuves issues du build

L'API renvoie les SBOM, les traces réseau et la provenance. CRACI ne signe pas la provenance. Il continue de réévaluer les SBOM surveillées à mesure que de nouvelles vulnérabilités sont publiées, et agrège les résultats de l'ensemble des builds et des dépôts.

Ce que CRACI ne fait pas compte aussi ici. Il n'a ni SAST, ni scan de secrets, ni inventaire du SDLC, ni agrégation de scanners, et il ne prend en charge que GitHub Actions aujourd'hui, avec GitLab CI et Jenkins sur la roadmap.

Un inventaire de ce qui est déployé et où

La vue d'inventaire de CRACI montre précisément quelles versions logicielles sont déployées dans quels produits, à l'échelle mondiale. Lorsqu'une nouvelle vulnérabilité apparaît, vous voyez quels produits exécutent la version concernée, au lieu de reconstituer l'information à partir de notes de version et de tableurs.

Lequel choisir, et quand utiliser les deux

• Vous exploitez de nombreux systèmes SCM et CI et avez besoin d'une seule couche de gouvernance. Legit. Tout son intérêt tient à sa couverture de GitHub, GitLab, Bitbucket, Azure DevOps, Jenkins et d'autres.
• Vous avez besoin de prouver ce qui est entré dans chaque release. CRACI. L'enregistrement vient du runner, avec un état de complétude.
• Un paquet compromis tente de contacter son serveur pendant un build. La politique de trafic sortant de CRACI bloque les connexions en dehors des sources autorisées. Les requêtes ad hoc de Legit sur votre SDLC aident à l'enquête qui suit.
• Vous utilisez déjà Legit et construisez sur GitHub Actions. Gardez Legit pour la posture, les secrets et les résultats. Faites passer sur les runners CRACI les builds que vous livrez, afin que la SBOM, la provenance et l'enregistrement réseau viennent du build lui-même.

Pour le CRA

Le Cyber Resilience Act demande aux fabricants de documenter les composants de leurs produits, notamment au moyen d'une SBOM, et de gérer les vulnérabilités tant qu'un produit est pris en charge. Le signalement des vulnérabilités activement exploitées s'applique à partir de septembre 2026. Legit aide en gouvernant le processus de développement et en rendant compte de la posture de sécurité. CRACI aide en produisant, pour chaque build, des preuves de ce qui est entré dans chaque release, avec la provenance, une surveillance continue et l'export des SBOM en CycloneDX ou SPDX. CRACI automatise une part importante de la visibilité sur la chaîne d'approvisionnement logicielle et des preuves dont les entreprises ont besoin pour leur démarche plus large de conformité au CRA ; aucun des deux outils ne rend un produit conforme à lui seul. Lire ce qu'exige le CRA et comment CRACI soutient la conformité au CRA.

Ajouter CRACI en complément de Legit Security

Définissez runs-on: craci sur les workflows qui construisent ce que vous livrez. CRACI remplace le runner, pas GitHub Actions : les dépôts et les workflows restent donc dans GitHub et les exécutions apparaissent toujours dans l'interface GitHub. CRACI exporte les SBOM en CycloneDX et SPDX pour tout outil qui les accepte. Les équipes sur des pipelines GitLab, Jenkins ou Azure DevOps devraient faire passer ces builds sur GitHub Actions pour utiliser les runners CRACI. GitLab CI et Jenkins figurent sur la roadmap. En savoir plus sur la génération de SBOM au build et l'intégration CI/CD.

Vous comparez plus de deux outils ? Alternatives à Legit Security compare neuf options côte à côte.