CRACI e Dependabot

Mantenga Dependabot. Ecco che cosa copre.

Se il Suo codice è su GitHub, probabilmente usa già Dependabot. Fa tre cose utili. Gli avvisi di Dependabot Le dicono quando una dipendenza nel Suo repository corrisponde a una vulnerabilità nota. Gli aggiornamenti di sicurezza aprono pull request che aggiornano le dipendenze vulnerabili. Gli aggiornamenti di versione mantengono aggiornate le dipendenze anche quando nulla è vulnerabile.

Tutto questo poggia sul dependency graph di GitHub, che analizza i manifest e i lockfile del Suo repository. GitHub può esportare quel grafo come SBOM SPDX. Per ecosistemi come Go, Gradle e Maven, action già pronte possono inviare le dipendenze risolte in fase di build tramite la dependency submission API.

Per mantenere aggiornate le dipendenze con poco sforzo, Dependabot è difficile da battere, e CRACI non apre pull request. Ciò che CRACI aggiunge è l'altra metà: un record di ciò che ogni build ha effettivamente scaricato, monitorato per individuare nuove vulnerabilità, così Lei sa quali build distribuite sono colpite da un nuovo advisory e quali pull request di aggiornamento unire per prime.

Le domande a cui Dependabot non risponde

Dependabot è costruito attorno al repository. Scansiona il branch predefinito e si basa sui Suoi manifest e lockfile. La documentazione di GitHub è esplicita su questo: gli avvisi non possono individuare ogni problema di sicurezza, occorre mantenere aggiornati i file manifest e di lock per un rilevamento accurato, e solo gli advisory esaminati da GitHub attivano gli avvisi.

Restano così domande che prima o poi verranno poste a un responsabile della sicurezza o della conformità:

• Che cosa ha effettivamente scaricato la build della release 4.2, compresi strumenti e immagini che non sono in alcun manifest?
• Una build poteva raggiungere un host arbitrario su internet durante l'esecuzione?
• Può dimostrare che il binario ricevuto da un cliente proviene da quella build?
• Può produrre quelle evidenze per un auditor mesi dopo?

Per rispondere serve una visione dall'interno della build, ed è lì che gira CRACI.

Che cosa aggiunge CRACI

Visibilità in fase di build

CRACI è un runner compatibile con GitHub Actions. Lei cambia runs-on in craci e i Suoi job girano su CRACI in macchine virtuali isolate, mentre le esecuzioni continuano a comparire nell'interfaccia di GitHub. Durante ogni job, un proxy che riconosce i pacchetti registra il traffico verso le sorgenti di pacchetti: sorgenti npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e Git, oltre ai preset di download. I pacchetti ripristinati dalle cache CI vengono portati avanti, perché le evidenze sulle dipendenze viaggiano con la cache.

Ogni SBOM dichiara quanto è completa, per job e per cache: Complete, Complete with connections, Incomplete, Unavailable o Not recorded. È diverso da un grafo che vale solo quanto i file che analizza.

La differenza si vede nella pratica. L'esportazione del dependency graph di GitHub si basa su ciò che GitHub sa del repository, quindi può elencare componenti che nessuno scanner basato su file trova, e riflette il branch predefinito anziché il commit che Lei ha compilato. Nessuno dei due comportamenti è sbagliato rispetto a ciò per cui il grafo è progettato. Mostrano perché una vista del repository e un record della build sono cose diverse. (CRACI non può essere confrontato in questo modo, poiché registra le build invece di scansionare directory.)

Controlli a runtime

Dependabot Le segnala un pacchetto vulnerabile dopo che è entrato nel Suo manifest. Non ha voce in capitolo su ciò a cui una build può connettersi. CRACI sì, perché esegue la build. Le policy di egress sono a negazione o autorizzazione predefinita, con 24 preset integrati per le sorgenti software, sorgenti personalizzate tipizzate per npm, PyPI, apt, apk, il proxy Go, Nix, Cargo, registry OCI e Git, e regole esplicite TLS, TCP, UDP e ICMP. Le policy vengono convalidate prima dell'avvio del job, operano in modalità fail closed e generano un avviso in caso di violazione.

Provenance

CRACI genera la SBOM all'interno del proprio runner, a partire da ciò che il job ha scaricato. L'API restituisce SBOM, tracce di rete e provenance.

Evidenze di conformità

Normative come il Cyber Resilience Act dell'UE chiedono ai fabbricanti di sapere che cosa contiene ogni release di prodotto e di gestirne le vulnerabilità. CRACI aggrega le vulnerabilità tra build e repository, continua a rivalutare le SBOM monitorate man mano che escono nuovi advisory ed esporta SBOM in CycloneDX o SPDX, vulnerabilità incluse. Automatizza una parte significativa della visibilità e delle evidenze sulla software supply chain di cui le aziende hanno bisogno per il loro più ampio processo di conformità al CRA. Scopra di più su che cos'è il CRA e sulle evidenze per il CRA.

Un inventario di ciò che è distribuito e dove

La vista inventario di CRACI mostra esattamente quali versioni del software sono distribuite in quali prodotti, a livello globale. Quando emerge una nuova vulnerabilità, può vedere quali prodotti eseguono la versione colpita invece di ricostruirlo da note di rilascio e fogli di calcolo.

Come i team usano entrambi

• Dependabot mantiene aggiornate le dipendenze sul branch predefinito e apre pull request quando escono advisory.
• CRACI esegue i job GitHub Actions, registra ciò che ogni build ha scaricato, limita dove le build possono connettersi, monitora ciò che ogni build ha scaricato per individuare nuove vulnerabilità e conserva le evidenze di release.

Non c'è nulla da migrare. Dependabot continua a lavorare sui Suoi repository, e i Suoi workflow continuano a girare su GitHub Actions, solo su un runner diverso.

CRACI e Dependabot: domande frequenti

Che cosa copre ciascuno strumento, SBOM, prezzi e conformità

CRACI sostituisce Dependabot?

No. Mantenga attivo Dependabot. Segnala le dipendenze vulnerabili nei Suoi repository e apre pull request che le aggiornano. CRACI esegue i Suoi job GitHub Actions e registra ciò che ogni build ha effettivamente scaricato, controlla dove le build possono connettersi e monitora ciò che è stato distribuito per individuare nuove vulnerabilità.

Le viste sulle vulnerabilità di CRACI sostituiscono gli avvisi di Dependabot?

No. Rispondono a una domanda diversa. Gli avvisi di Dependabot riguardano il branch predefinito di un singolo repository. CRACI aggrega le vulnerabilità tra build e repository e continua a rivalutare le SBOM monitorate, così può vedere quali build condividono una dipendenza vulnerabile, e i team di sicurezza possono esaminare i risultati e inviarli al team responsabile della correzione. I policy gate possono bloccare una build; gli avvisi a soglia sono in roadmap.

CRACI apre pull request come Dependabot?

No. Gli aggiornamenti di sicurezza e di versione di Dependabot aprono pull request; CRACI no. Ciò che CRACI aggiunge è il record della build, così quando esce un nuovo advisory Lei sa quali build distribuite sono colpite e quali pull request di aggiornamento unire per prime.

In che cosa differiscono le SBOM di GitHub e di CRACI?

GitHub esporta il dependency graph come SBOM SPDX, costruita dai manifest e dai lockfile del repository e dalla dependency submission API, e riflette il branch predefinito. CRACI registra la SBOM durante l'esecuzione di ogni build e la esporta in CycloneDX o SPDX, con uno stato di completezza per job e per cache che indica se la registrazione ha avuto lacune.

CRACI aiuta quando una dipendenza non è in alcun manifest?

Sì, se la build la scarica da una sorgente di pacchetti. Poiché CRACI registra il traffico durante il job, uno strumento scaricato da uno script o un pacchetto ripristinato da una cache compare comunque nel record della build, e lo stato di completezza della SBOM Le dice se qualcosa non ha potuto essere registrato.

Quanto costano Dependabot e CRACI?

Gli aggiornamenti di sicurezza e di versione di Dependabot sono inclusi in tutti i piani GitHub, compreso Free (a settembre 2026). CRACI addebita solo i minuti di build: $0.002 per vCPU-minuto ($0.004 per un runner predefinito da 2 vCPU), misurati al secondo, senza canone mensile e senza costi per SBOM. Consulti i prezzi per le condizioni attuali.

CRACI è solo per i team con requisiti di conformità?

No, ma è lì che le evidenze rendono di più. Se vende software nell'UE, il Cyber Resilience Act inserisce tra i Suoi compiti un inventario dei componenti per release e la gestione delle vulnerabilità. Per tutti gli altri, sapere che cosa scaricano le proprie build resta la base della risposta agli incidenti sulla supply chain. Prenoti una demo per vedere il record di build di uno dei Suoi workflow.