123% de CVE signalées en plus par jour en 2026 par rapport à l'an dernier.

Export de SBOM et preuves CRA pour chaque build

Des SBOM enregistrées pendant le build, l'enregistrement du build via l'API et le suivi des vulnérabilités jusqu'à la release corrigée : les preuves sur lesquelles s'appuie votre documentation technique

Des SBOM générées au build, en CycloneDX ou SPDX

CRACI enregistre la SBOM pendant que chaque build s'exécute sur son runner : elle liste donc les paquets que le job a réellement récupérés, y compris ceux restaurés depuis les caches CI. Chaque SBOM s'exporte en CycloneDX ou SPDX, avec les dépendances transitives, les vulnérabilités trouvées dans leurs composants et la licence déclarée de chaque composant. La SBOM de chaque job porte aussi un état de complétude.

An SBOM recorded during the build Packages from npm, PyPI, Cargo, Go, OCI registries and the CI cache pass through a package-aware proxy on the CRACI runner. The job's SBOM lists what was fetched, states its completeness and exports as CycloneDX or SPDX. Package sources npm PyPI Cargo · Go OCI registries CI cache restore Package- aware proxy on the runner Job SBOM express 5.2.1 requests 2.32.3 serde 1.0.219 + transitive deps Declared license on every component Complete Completeness states per job and cache: Complete, Complete with connections, Incomplete, Unavailable, Not recorded CycloneDX · SPDX

SBOM, traces réseau et provenance via l'API

La REST API publique renvoie la SBOM d'un job, sa trace réseau et ses données de provenance, pour que l'enregistrement du build alimente votre propre documentation et vos outils. L'API SBOM renvoie du JSON CycloneDX 1.7.

Provenance data from every build Every job on CRACI records the packages it fetched and its network trace. The public REST API returns the job's SBOMs, network trace and provenance. Build release job on CRACI Recorded packages fetched network trace Provenance build data, via the API Ask the API about any job Job → SBOM, trace, provenance Returned by the API Job Packages CycloneDX SBOM Network trace Recorded on every CRACI job, no extra step

Le suivi des vulnérabilités, du tri à la release corrigée

Les SBOM surveillées sont réévaluées à mesure que de nouvelles vulnérabilités sont publiées. Les équipes sécurité trient chaque résultat et le transmettent à l'équipe chargée de la correction, et CRACI en conserve la trace jusqu'à la release corrigée. L'historique des builds montre chaque build passé et sa SBOM, ainsi que les builds qui contenaient la dépendance vulnérable, directe ou transitive : vous connaissez la période pendant laquelle vous étiez exposé.

Vulnerability tracking after release After a release ships, its SBOM stays monitored. When a new vulnerability is published, CRACI re-evaluates the monitored SBOMs, finds the affected releases, and the security team triages the finding and routes it to the team that owns the fix. The inventory view shows which software versions are deployed to which products. Release shipped SBOM monitored Later New advisory published Re-evaluated automatically Finding: critical, in 2 releases 1. Triage 2. Route to owner 3. Team fixes Policy gates can block a build on findings · VEX supported Inventory: deployed versions Product Version Web app v4.12.0 Mobile API v2.3.1

Des policy gates qui écartent un problème connu

Les policy gates peuvent arrêter un build en temps réel en fonction des résultats, y compris les builds qui contiennent une CVE précise, et des licences. Chaque build s'exécute aussi sous une politique de trafic sortant appliquée au niveau du runner, validée avant le démarrage du job et qui bloque tout en cas d'échec, avec des alertes en cas de violation.

Policy gates in CI Every build on CRACI records its SBOM, runs under an egress policy and records provenance data. Policy gates can block the build on findings or on a license, so issues are caught in CI before release. Pull request New dependencies, added by a developer or an AI agent Every change reaches the build the same way CRACI build SBOM recorded Egress enforced Provenance Every build, no extra step Policy gate Findings or licenses outside your policy Build blocked Or passes to release

Des preuves pour votre documentation technique CRA

Au titre du Cyber Resilience Act, c'est le fabricant qui établit la documentation technique, mène l'évaluation de la conformité et rédige la déclaration UE de conformité. CRACI ne réalise pas ces étapes. Il fournit les preuves issues du build : SBOM, suivi des vulnérabilités et des corrections, et données de provenance. CRACI soumet aussi en votre nom les notifications de vulnérabilités prévues par le CRA : l'alerte précoce, la notification et le rapport final.

CRA obligations and the evidence for them The CRA obligations that touch the software supply chain, such as the SBOM, vulnerability handling, reporting, due diligence and technical documentation, are where CRACI provides evidence. The risk assessment and the conformity assessment stay with the manufacturer. Obligation CRACI evidence Software bill of materials Yes Vulnerability handling Yes Reporting exploited vulnerabilities Submitted for you Due diligence on components Yes Technical documentation Evidence and exports Risk assessment, secure design Yours Conformity assessment, CE Yours CRACI automates a significant part of the supply chain visibility and evidence your CRA process needs

Découvrez les preuves que produisent vos builds

Réservez une démo pour découvrir l'export de SBOM, l'API et le suivi des vulnérabilités dans CRACI

Réserver une démo