123% de CVE signalées en plus par jour en 2026 par rapport à l'an dernier.

Conformité CRA pour les équipes de sécurité

Preuves issues du build, surveillance des vulnérabilités et tri pour le volet chaîne d'approvisionnement de votre processus CRA

Surveillance continue de la sécurité

CRACI continue de réévaluer les SBOM surveillées de ce que vous avez livré à mesure que de nouvelles vulnérabilités sont publiées, et agrège les résultats entre builds et dépôts. C'est un enregistreur, pas un scanner : chaque SBOM provient de ce que le build a réellement récupéré, avec un état de complétude. Des alertes signalent les violations de la politique de trafic sortant.

Vulnerability tracking after release After a release ships, its SBOM stays monitored. When a new vulnerability is published, CRACI re-evaluates the monitored SBOMs, finds the affected releases, and the security team triages the finding and routes it to the team that owns the fix. The inventory view shows which software versions are deployed to which products. Release shipped SBOM monitored Later New advisory published Re-evaluated automatically Finding: critical, in 2 releases 1. Triage 2. Route to owner 3. Team fixes Policy gates can block a build on findings · VEX supported Inventory: deployed versions Product Version Web app v4.12.0 Mobile API v2.3.1

Tri des vulnérabilités

Les équipes de sécurité trient les vulnérabilités découvertes et les envoient aux équipes responsables de la correction, et CRACI prend en charge VEX. Il montre lesquels de vos builds, dépôts et produits contiennent un composant vulnérable : vous savez ainsi où s'applique chaque résultat.

Triage and routing to the owning team A security team triages a discovered vulnerability and sends it to the team that owns the fix. CRACI supports VEX for recording how a vulnerability affects your product. New finding Vulnerable component in shipped builds 3 builds 2 repositories Security team Triages the finding VEX supported Owning team Receives the finding and ships the fix Each finding reaches the people who can act on it Policy gates can block a build on findings, so a known issue does not ship again

Réponse aux incidents et suivi

Lorsqu'une vulnérabilité est activement exploitée, CRACI soumet les notifications CRA (alerte précoce, notification et rapport final) en votre nom. Sa vue d'inventaire montre quelles versions logicielles sont déployées sur quels produits, et l'API renvoie les SBOM, les traces réseau et la provenance pour vos dossiers.

CRA notifications, submitted for you When a vulnerability is actively exploited, the CRA sets deadlines: an early warning within 24 hours, a notification within 72 hours and a final report 14 days after a fix is available. CRACI submits them through the CRA Single Reporting Platform to the CSIRT and ENISA on the manufacturer's behalf. Actively exploited vulnerability found Aware 24 hours Early warning 72 hours Notification Fix + 14 days Final report CRACI submits on your behalf Through the CRA Single Reporting Platform to the CSIRT and ENISA and shows which products and releases are affected What stays with you The reporting obligation itself Informing affected users Severe incidents: final report within one month

Sécurité de la chaîne d'approvisionnement

Chaque SBOM est enregistrée à partir de ce que le build a réellement récupéré, y compris les paquets restaurés depuis les caches CI. Une politique de trafic sortant sur le runner limite les destinations auxquelles un build peut se connecter, est validée avant le démarrage du job et bloque tout en cas d'échec, et l'API renvoie les SBOM, les traces réseau et la provenance. Les SBOM de fournisseurs sont surveillées en même temps que vos propres builds.

An egress policy on the build network A build job connects to hosts in its egress policy, such as package registries and Git, and a connection to a host outside the policy is blocked. The policy is validated before the job starts and fails closed, and a violation sends an alert. Egress policy Default deny Validated before the job starts Fails closed · 24 source presets Build job on a CRACI runner npm registry allowed PyPI allowed Git over HTTPS allowed Unapproved host blocked Alert on policy violation Connections are recorded in the job's network trace

Renforcez votre posture de sécurité

Réservez une démo pour améliorer vos opérations de sécurité avec CRACI

Réserver une démo