CRACI vs Socket Security

En bref

Socket Security est surtout connu pour repérer les mauvais paquets open source avant qu'ils n'arrivent. Il analyse le comportement des paquets (scripts d'installation, accès au réseau et au système de fichiers, code obfusqué, malwares connus, typosquats), vous le signale dans la pull request, et Socket Firewall peut bloquer un paquet malveillant à l'installation.

CRACI est un runner CI pour GitHub Actions. Vos jobs s'exécutent dessus et, pendant ce temps, il enregistre chaque dépendance externe qu'ils récupèrent, applique une politique de trafic sortant au job et continue de suivre les vulnérabilités de ce qui a été livré. Socket demande si un paquet peut être utilisé sans risque. CRACI enregistre ce qu'un build a utilisé et où il s'est connecté, et en fait des preuves de release.

• Choisissez Socket pour arrêter les paquets malveillants et à risque au niveau de la pull request et de l'installation.
• Choisissez CRACI pour les SBOM de build, les données de provenance, le contrôle du trafic sortant du build et le suivi des vulnérabilités de ce que vous avez livré, notifications de vulnérabilités CRA comprises.
• Ils sont complémentaires. Socket filtre les paquets à l'entrée ; CRACI enregistre et limite ce que le build en a fait.

En un coup d'œil

Ce que Socket fait bien

Socket for GitHub surveille les pull requests. Lorsqu'une modification ajoute une dépendance, Socket analyse le comportement du paquet et laisse un commentaire s'il présente un risque de sécurité. Ses vérifications couvrent les scripts d'installation, la télémétrie, le code natif, les malwares connus, les typosquats, les protestwares, le code obfusqué et l'usage d'API privilégiées telles que le shell, le réseau et le système de fichiers. Ce signal est d'une autre nature qu'une recherche de CVE : il peut signaler un paquet malveillant qui n'a pas encore d'avis de sécurité.

Socket Firewall fonctionne comme surcouche d'une commande de gestionnaire de paquets (sfw npm install) ou comme un proxy entre les gestionnaires de paquets et les registres. Il bloque les paquets malveillants à n'importe quelle profondeur, y compris transitifs. La version gratuite ne nécessite aucune clé d'API et couvre npm, yarn, pnpm, pip, uv et cargo. La version Enterprise ajoute des politiques configurables, des registres privés et davantage d'écosystèmes, dont Go, Maven, Gradle, RubyGems et NuGet.

Socket propose aussi une analyse d'atteignabilité à trois niveaux : atteignabilité des dépendances, atteignabilité précalculée à partir du plan Team et atteignabilité complète de l'application sur Enterprise, dont Socket affirme qu'elle peut signaler jusqu'à 90 % des alertes de vulnérabilité comme non pertinentes. Il détecte les manifestes en JavaScript, Python, Java, Go, Ruby, Rust, .NET, PHP et Swift, et sa CLI s'exécute dans GitHub Actions, GitLab, Bitbucket, Jenkins et Azure DevOps. CRACI n'analyse pas le comportement des paquets, ne commente pas les pull requests, ne propose pas d'analyse d'atteignabilité et ne bloque pas de paquets individuels aujourd'hui.

Tarifs de Socket, en septembre 2026

• Free : 1 000 scans par mois, jusqu'à trois membres, détection et blocage des malwares.
• Team : $25 par développeur et par mois, minimum cinq développeurs. Ajoute le score de priorité, les alertes Slack et l'atteignabilité précalculée.
• Business : $50 par développeur et par mois, minimum 20 développeurs. Ajoute l'import et l'export de SBOM, les intégrations de conformité, le SSO et le scan des GitHub Actions.
• Enterprise : tarifs sur mesure. Ajoute l'atteignabilité complète de l'application et les intégrations de dépôts pour GitLab, Bitbucket et Azure DevOps.

La facturation annuelle permet d'économiser jusqu'à 20 %, et Socket indique qu'il sera toujours gratuit pour les projets open source. Socket facture par développeur. CRACI ne facture que les minutes de build, $0.002 par minute vCPU ($0.004 pour un runner 2 vCPU par défaut), sans abonnement mensuel ni frais par SBOM ; consultez les tarifs de CRACI.

Ce qui distingue CRACI

Le build est la source de vérité

Socket lit les manifestes et les lockfiles qu'un projet déclare. CRACI observe le build pendant son exécution. Un proxy qui comprend les paquets, sur le runner, voit le trafic vers les sources de paquets npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk et Git, ainsi que les presets de téléchargement. Les preuves suivent les caches CI : un paquet restauré depuis un cache est donc toujours pris en compte. Chaque SBOM indique sa complétude par job et par cache : Complete, Complete with connections, Incomplete, Unavailable ou Not recorded.

Une politique de trafic sortant pour tout le job

Socket Firewall décide si l'installation d'un paquet peut passer. La politique de trafic sortant de CRACI décide ce que le job peut atteindre tout court : refus par défaut ou autorisation par défaut, avec 24 presets de sources logicielles intégrés et des sources personnalisées typées pour npm, PyPI, apt, apk, le proxy Go, Nix, Cargo, les registres OCI et Git. Les politiques sont validées avant le démarrage du job et bloquent tout en cas d'échec, et CRACI peut vous alerter en cas de violation. Un script d'installation malveillant qui tente de contacter son serveur est un problème de réseau autant qu'un problème de paquet. Les deux contrôles en couvrent des parties différentes.

Provenance et suivi des vulnérabilités

L'API renvoie les SBOM, les traces réseau et la provenance. CRACI ne signe pas la provenance. CRACI agrège les vulnérabilités de l'ensemble des builds et des dépôts, continue de réévaluer les SBOM surveillées et permet aux équipes sécurité de trier les résultats et de les envoyer aux équipes chargées de la correction. Les SBOM des fournisseurs sont surveillées aux côtés de vos propres builds, et les SBOM s'exportent en CycloneDX ou SPDX.

Un inventaire de ce qui est déployé et où

La vue d'inventaire de CRACI montre précisément quelles versions logicielles sont déployées dans quels produits, à l'échelle mondiale. Lorsqu'une nouvelle vulnérabilité apparaît, vous voyez quels produits exécutent la version concernée, au lieu de reconstituer l'information à partir de notes de version et de tableurs.

À propos de la commande SBOM gratuite de Socket

La CLI Socket propose socket manifest cdxgen, une commande SBOM locale gratuite qui ne nécessite aucun compte. Selon la documentation de Socket, cette commande transmet l'appel à cdxgen avec des valeurs par défaut modifiées : un cycle de vie pre-build qui ne procède pas à l'installation des dépendances, et JavaScript comme type de projet par défaut. Ces valeurs déterminent ce qu'elle peut trouver, et sur un dépôt sans lockfile, comme expressjs/express, il n'y a rien à résoudre.

Cela décrit une surcouche locale gratuite, pas le produit principal de Socket ni son export de SBOM côté serveur.

Lequel choisir

• Vous voulez arrêter les paquets malveillants à l'entrée : Socket, avec ses vérifications de pull requests et Socket Firewall.
• Vous voulez moins d'alertes CVE non pertinentes grâce à l'atteignabilité : Socket, sur Team ou Enterprise. CRACI ne propose pas d'analyse d'atteignabilité.
• Vous avez besoin de preuves de ce qui est entré dans chaque release : CRACI les enregistre à partir du build et les relie à l'artefact.
• Vous voulez des builds qui ne peuvent pas atteindre d'hôtes inattendus : la politique de trafic sortant de CRACI.
• Vous livrez des produits soumis au Cyber Resilience Act : CRACI suit les vulnérabilités de ce que vous avez livré et soumet les notifications de vulnérabilités CRA en votre nom.
• Vous utilisez GitLab, Jenkins ou Azure DevOps : Socket les prend en charge aujourd'hui. CRACI ne prend en charge que GitHub Actions aujourd'hui, avec GitLab CI et Jenkins sur la roadmap.

Pour le Cyber Resilience Act

Tenir les composants malveillants et à risque à l'écart d'un produit aide un fabricant à respecter ses obligations de sécurité, et Socket est conçu pour cela. CRACI automatise une part importante de la visibilité sur la chaîne d'approvisionnement logicielle et des preuves dont les entreprises ont besoin pour leur démarche plus large de conformité au CRA : SBOM de build à la complétude indiquée, données de provenance, suivi continu des vulnérabilités et notifications de vulnérabilités CRA soumises en votre nom. Aucun des deux outils ne rend un produit conforme à lui seul. Voir ce qu'est le CRA et la conformité au CRA.

Utiliser CRACI avec Socket

CRACI remplace le runner, pas GitHub Actions : les exécutions apparaissent toujours dans GitHub, et Socket continue de vérifier vos pull requests. Socket filtre les paquets avant leur ajout et pendant leur installation ; CRACI enregistre ce que chaque build a récupéré, limite où il peut se connecter et continue de suivre les vulnérabilités de ce qui a été livré. En savoir plus sur la génération de SBOM au build et le suivi des vulnérabilités.

Vous évaluez aussi d'autres outils de sécurité des paquets ? Voir Alternatives à Socket.

Socket Security et CRACI : questions fréquentes

Tarifs, SBOM et rôle de chaque outil

Qu'est-ce que Socket Security ?

Socket (socket.dev) est une plateforme de sécurité de la chaîne d'approvisionnement logicielle pour les dépendances open source. Elle analyse ce que font réellement les paquets, comme les scripts d'installation, les accès au réseau et au système de fichiers, le code obfusqué, les malwares connus et les typosquats, et signale ou bloque les paquets à risque dans les pull requests, dans la CI et, avec Socket Firewall, à l'installation.

Socket Security est-il gratuit ?

Socket propose un plan gratuit avec 1 000 scans par mois et jusqu'à trois membres, et Socket indique qu'il sera toujours gratuit pour les projets open source. Socket Firewall a aussi une version gratuite qui ne nécessite aucune clé d'API et couvre npm, yarn, pnpm, pip, uv et cargo. Les plans payants ajoutent l'atteignabilité, l'export de SBOM et davantage d'intégrations.

Combien coûte Socket ?

En septembre 2026, la page de tarifs de Socket affiche Team à $25 par développeur et par mois (minimum cinq développeurs), Business à $50 par développeur et par mois (minimum 20), et des tarifs Enterprise sur mesure, avec jusqu'à 20 % de remise en facturation annuelle. L'export de SBOM commence au plan Business, et les intégrations de dépôts GitLab, Bitbucket et Azure DevOps sont sur Enterprise.

Socket génère-t-il des SBOM ?

Oui. L'import et l'export de SBOM sont disponibles à partir du plan Business de Socket, et son API d'export CycloneDX est indiquée en bêta. Socket construit la SBOM à partir des manifestes et des lockfiles qu'il détecte. CRACI enregistre la SBOM pendant l'exécution du build, à partir des paquets que le job a réellement récupérés, et indique si l'enregistrement de chaque job est complet.

CRACI détecte-t-il les paquets malveillants comme Socket ?

Pas comme Socket. CRACI signale une release malveillante dès qu'elle a une CVE publiée, comme toute autre vulnérabilité, mais il n'analyse pas le comportement des paquets et ne les note pas : un nouveau paquet malveillant n'est donc pas signalé tant qu'il n'existe pas d'avis de sécurité. Il contrôle ce à quoi un build peut se connecter grâce à une politique de trafic sortant au niveau du runner qui bloque tout en cas d'échec, enregistre chaque paquet récupéré par le build et continue de réévaluer ce qui a été livré par rapport aux données de vulnérabilité. Les listes de blocage de paquets à l'échelle de l'organisation figurent sur la roadmap.

CRACI est-il une alternative à Socket ?

Pas pour filtrer les paquets avant leur ajout : c'est le cœur de métier de Socket et CRACI ne le fait pas. CRACI est le bon choix lorsque vous avez besoin de preuves de ce qui est entré dans chaque release : SBOM de build, données de provenance, politique de trafic sortant pour le build, suivi continu des vulnérabilités et notifications de vulnérabilités CRA. Les équipes préoccupées par les paquets malveillants peuvent exécuter Socket sur les pull requests et leurs builds sur CRACI.

Quels systèmes CI Socket et CRACI prennent-ils en charge ?

La CLI de Socket s'exécute dans GitHub Actions, GitLab, Bitbucket, Jenkins et Azure DevOps. CRACI est aujourd'hui un runner pour GitHub Actions, avec GitLab CI et Jenkins sur la roadmap.