Alternative a FOSSA

Noi sviluppiamo CRACI, ne tenga conto; descriviamo ogni opzione in base alla sua documentazione e diciamo quando un altro strumento è più adatto.

Perché i team guardano oltre FOSSA

FOSSA è nato con la conformità delle licenze, e si vede: rilevamento delle licenze sul testo completo, policy automatiche, estrazione dei copyright e avvisi di attribuzione in SPDX, HTML e testo. In più, FOSSA genera SBOM SPDX e CycloneDX, importa le SBOM dei fornitori con policy sugli elementi minimi NTIA e FDA e le condivide tramite un SBOM Portal nel piano Enterprise. La FOSSA CLI si integra con più di 20 sistemi di build, e c'è un piano gratuito.

I team confrontano comunque le alternative, di solito per motivi di ambito e adeguatezza:

• Ispezione del codice più approfondita. Analisi di snippet, firme e binari su larga scala, o analisi statica del proprio codice nella stessa suite.
• Una piattaforma orientata alla sicurezza. Policy sui container, raggiungibilità o un sistema di riferimento per la product security possono contare per Lei più del lavoro sulle licenze.
• Da dove proviene la SBOM. La FOSSA CLI interroga il Suo strumento di build quando è disponibile una build funzionante e deduce dal sorgente quando non lo è. Alcuni team vogliono una registrazione di ciò che la build ha scaricato.
• Prezzi e hosting. Il prezzo per progetto potrebbe non essere adatto, o Lei potrebbe volere uno strumento gratuito e self-hosted.

Che cosa valutare

• Profondità sulle licenze: licenze dichiarate e non dichiarate, policy, avvisi di attribuzione.
• Come vengono prodotte le SBOM, e se lo strumento Le dice quando una è incompleta.
• Acquisizione delle SBOM dei fornitori, VEX e condivisione con clienti o autorità.
• Analisi di snippet, binari o firmware se distribuisce codice che non ha compilato dal sorgente.
• Copertura CI, opzioni di hosting e come crescono i prezzi: per progetto, per sviluppatore o su preventivo.

Le opzioni

1. CRACI (il nostro prodotto)

CRACI è un runner per GitHub Actions che registra la SBOM mentre la build è in esecuzione. Un proxy che riconosce i pacchetti cattura il traffico verso le sorgenti dei pacchetti, compresi i pacchetti ripristinati dalle cache CI e tutte le dipendenze transitive usate dalla build, e ogni SBOM dichiara la propria completezza per job e per cache. CRACI applica una policy di egress in modalità fail closed e rivaluta di continuo le SBOM monitorate. La vista inventario di CRACI mostra esattamente quali versioni del software sono distribuite in quali prodotti, a livello globale.

Le licenze provengono dalla stessa registrazione. Ogni pacchetto registrato riporta la sua licenza dichiarata, quindi può vedere quali dipendenze sono soggette a una licenza commerciale o comunque restrittiva prima della distribuzione, e le licenze copyleft vengono intercettate prima di finire nel prodotto. Le regole di policy sulle licenze possono bloccare una build in base a una licenza.

Ideale per: team su GitHub Actions che devono dimostrare con che cosa è stata costruita ogni release, con licenze dichiarate e policy sulle licenze nella stessa registrazione. Da valutare se: le licenze dichiarate coprono il Suo lavoro sulle licenze. CRACI non esegue la scansione di snippet o binari, e oggi supporta solo GitHub Actions, con GitLab CI e Jenkins in roadmap. CRACI vs FOSSA

2. Black Duck

Black Duck SCA combina la scansione del package manager con la scansione per firme, il rilevamento di snippet e l'analisi binaria, così trova l'open source che nessuno ha dichiarato. La sua KnowledgeBase traccia più di 2.750 licenze, comprese licenze non dichiarate, testo completo e dati sui copyright. Black Duck Binary Analysis esamina eseguibili, container e firmware senza sorgente, e Coverity aggiunge il SAST per 22 linguaggi.

Ideale per: codebase con open source copiato o incluso nel repository, e team che controllano binari o firmware di terze parti. Da valutare se: il prezzo su preventivo fa per Lei; a settembre 2026 non c'erano prezzi pubblicati. CRACI vs Black Duck

3. Sonatype

Sonatype Lifecycle è il prodotto SCA e di policy di Sonatype. Include 18 policy predefinite, con policy sulle licenze che coprono più di 2.000 licenze, e il suo Advanced Binary Fingerprinting esamina l'applicazione finita, compresi i componenti rinominati o modificati. Repository Firewall ferma i componenti che non rispettano le Sue policy prima che entrino nei Suoi repository, e SBOM Manager importa e monitora le SBOM con un workflow VEX.

Ideale per: organizzazioni che vogliono policy di licenza e di sicurezza applicate al repository dei pacchetti oltre che nell'applicazione. Da valutare se: usa Nexus o un altro repository manager. I nuovi clienti acquistano Sonatype Guide; Firewall Pro parte da $4,800 all'anno (a settembre 2026). CRACI vs Sonatype

4. Anchore Enterprise

Anchore Enterprise si basa sugli strumenti open source Syft e Grype. Crea SBOM per container, sorgenti e filesystem, importa SBOM prodotte altrove, ripete di continuo la scansione delle SBOM archiviate e applica policy pack come FedRAMP e NIST. Può essere self-hosted, anche in ambienti air-gapped.

Ideale per: ambienti governativi e con molti container. Da valutare se: la conformità delle licenze non è la Sua esigenza principale; le fonti Anchore che abbiamo usato si concentrano sulle policy di sicurezza. Il prezzo è su preventivo. CRACI vs Anchore

5. Cybeats SBOM Studio

SBOM Studio è un sistema di riferimento per le SBOM dei Suoi prodotti e fornitori. Supporta SPDX da 2.2 a 3.0.1 e CycloneDX da 1.2 a 1.7, convalida i file con un Quality Score, confronta i componenti di continuo e aggiunge VEX e analisi delle licenze OSS e COTS. Condivide le SBOM con i clienti, anche tramite la Transparency Exchange API.

Ideale per: team di product security che gestiscono un programma SBOM su molti prodotti e fornitori. Da valutare se: ha un modo separato per generare le SBOM; Cybeats rimanda ai vendor del suo Marketplace. CRACI vs Cybeats

6. Manifest

Manifest crea, importa, arricchisce e condivide SBOM per i Suoi prodotti, per il software dei Suoi vendor e per i Suoi modelli di AI. I vendor caricano i file tramite un portale, e Manifest può generare una SBOM da un binario compilato quando un vendor non è in grado di fornirne una. Supporta SPDX, CycloneDX e VEX, e trasforma i risultati in ticket e report di rischio.

Ideale per: organizzazioni la cui esposizione principale è il software che acquistano. Da valutare se: la conformità delle licenze è centrale; le fonti Manifest che abbiamo usato si concentrano sulla sicurezza e sul rischio dei fornitori. CRACI vs Manifest

7. Mend.io

Mend SCA rileva le licenze delle dipendenze dirette e transitive e applica policy, come il blocco di AGPL nei prodotti commerciali. Aggiunge la raggiungibilità basata sul grafo delle chiamate, il rilevamento dei pacchetti malevoli, SBOM SPDX e CycloneDX, l'acquisizione di SBOM di terze parti e VEX. Mend SAST copre più di 30 linguaggi, e Mend Renovate mantiene aggiornate le dipendenze.

Ideale per: team che vogliono policy sulle licenze, scansione di sicurezza e aggiornamenti delle dipendenze da un solo vendor. Da valutare se: il prezzo per sviluppatore fa per Lei; Mend AppSec è indicato fino a $1,000 per sviluppatore contributore all'anno (a settembre 2026). CRACI vs Mend.io

8. Dependency-Track (open source)

OWASP Dependency-Track è una piattaforma gratuita con licenza Apache 2.0 che traccia i componenti in tutto il Suo portafoglio, recupera dati sulle vulnerabilità da fonti come NVD e GitHub Advisories e applica policy di sicurezza, di licenza e operative. Consuma e produce CycloneDX VEX.

Ideale per: team che vogliono analisi delle SBOM self-hosted e policy sulle licenze senza un costo di licenza. Da valutare se: è pronto a gestirlo e ad alimentarlo; analizza le SBOM che Lei carica e non le genera. CRACI per chi usa Dependency-Track

9. ScanCode Toolkit (open source)

ScanCode Toolkit, del progetto AboutCode, rileva licenze, copyright, manifest dei pacchetti e dipendenze dirette nel codice sorgente e nei file binari. Scrive i risultati in JSON, YAML, HTML, CycloneDX o SPDX. Il toolkit è Apache-2.0.

Ideale per: team che vogliono un rilevamento gratuito di licenze e copyright a livello di file, da eseguire ovunque. Da valutare se: può costruirci attorno il workflow. È uno scanner, quindi policy, monitoraggio e reporting sono da aggiungere a Sua cura.

10. OSS Review Toolkit (open source)

OSS Review Toolkit (ORT) è un progetto della Linux Foundation con licenza Apache 2.0 che automatizza le policy open source. Il suo Analyzer risolve le dipendenze tra i package manager, il Downloader ne scarica il sorgente, lo Scanner esegue scanner di licenze e copyright, l'Advisor recupera gli advisory di sicurezza, l'Evaluator applica le Sue regole di policy e il Reporter produce report, avvisi open source e SBOM.

Ideale per: team che vogliono una pipeline gratuita e self-hosted per la conformità delle licenze, con policy as code. Da valutare se: ha il tempo di engineering per configurarlo ed eseguirlo.

Fianco a fianco

"Anchore" indica Anchore Enterprise, e "Cybeats" indica SBOM Studio. ScanCode e ORT sono toolkit da assemblare nel proprio workflow, quindi sono descritti sopra ed esclusi dalla tabella. "Non dichiarato" significa che la funzionalità non è descritta nella documentazione dei vendor, non che manchi.

Quando restare con FOSSA

• La conformità delle licenze e gli avvisi di attribuzione sono la Sua prima preoccupazione, condivisa dall'ufficio legale e dall'engineering.
• Vuole iniziare gratis e pagare per progetto man mano che cresce.
• Condivide le SBOM con partner o con il pubblico tramite l'SBOM Portal di FOSSA.

Per saperne di più sulla registrazione delle SBOM alla fonte, veda la generazione di SBOM in fase di build, le evidenze per il CRA e i prezzi.

Alternative a FOSSA: domande frequenti

Risposte brevi alle domande che i team si pongono quando confrontano le opzioni

Qual è la migliore alternativa a FOSSA?

Dipende dalla lacuna da colmare. Per la scansione di snippet e binari, guardi a Black Duck. Per una policy sulle licenze a livello di repository dei pacchetti, a Sonatype. Per una policy sulle licenze con scansione di sicurezza e aggiornamenti delle dipendenze, a Mend.io. Per programmi SBOM estesi ai fornitori, a Cybeats o Manifest. Per strumenti gratuiti, a ScanCode Toolkit, ORT e Dependency-Track. Se Le serve una registrazione di ciò che ogni build ha scaricato, CRACI la produce dalla build stessa.

Esiste un'alternativa gratuita a FOSSA?

Sì. ScanCode Toolkit e OSS Review Toolkit (ORT) sono scanner di licenze gratuiti e open source, e OWASP Dependency-Track è una piattaforma gratuita che applica policy sulle licenze alle SBOM caricate da Lei. Anche FOSSA ha un piano gratuito. Gli strumenti gratuiti lasciano a Lei hosting, configurazione e reporting.

Quali alternative a FOSSA applicano policy sulle licenze?

FOSSA, Black Duck, Sonatype, Mend.io e Dependency-Track applicano tutti policy sulle licenze, e ORT valuta le regole sulle licenze scritte da Lei. Mend.io, ad esempio, può bloccare AGPL nei prodotti commerciali. In CRACI ogni pacchetto registrato riporta la sua licenza dichiarata, quindi le licenze copyleft vengono intercettate prima di finire nel prodotto, e una regola di policy sulle licenze può bloccare la build.

CRACI si occupa della conformità delle licenze?

Sì, per le licenze dichiarate. Ogni pacchetto che CRACI registra dalla build riporta la sua licenza dichiarata, che viene esportata nella SBOM, e le regole di policy sulle licenze possono bloccare una build in base a una licenza. CRACI non esegue la scansione di snippet o binari, quindi non trova l'open source copiato nel Suo codice senza un pacchetto.

In che cosa FOSSA è diverso da Black Duck?

FOSSA è nato nella conformità delle licenze e aggiunge la gestione delle SBOM, con un piano gratuito e prezzi per progetto. Black Duck è un portafoglio AppSec più ampio: SCA con analisi di firme, snippet e binari, una KnowledgeBase di più di 2.750 licenze e Coverity SAST, venduto su preventivo. FOSSA offre la scansione di snippet e binari come componenti aggiuntivi.