CRACI vs FOSSA

La risposta breve

Il punto di forza di FOSSA sono la conformità delle licenze open source e la gestione del ciclo di vita delle SBOM: generare SBOM applicative, importare SBOM di terze parti, monitorarle per individuare vulnerabilità e condividerle con clienti e autorità. CRACI è un runner GitHub Actions che registra le dipendenze effettivamente scaricate da ogni job e produce la SBOM da quel record, con uno stato di completezza.

FOSSA gestisce le SBOM che Lei gli fornisce. CRACI ne produce una dalla build e continua a monitorarla, quindi per il Suo software CI, SBOM e tracciamento delle vulnerabilità stanno in un solo posto. Dove la preoccupazione principale è la conformità delle licenze, FOSSA resta avanti.

In sintesi

Che cosa fa bene FOSSA

• Conformità delle licenze. FOSSA è nato da qui, e si vede. Rileva le licenze dal testo integrale, applica le policy automaticamente, estrae le informazioni sul copyright e genera note di attribuzione in SPDX, HTML e testo. I team legali e di engineering possono lavorare sugli stessi dati.
• Ciclo di vita delle SBOM. FOSSA "produces and consumes SBOMs." Genera SBOM in SPDX e CycloneDX, facoltativamente con dichiarazioni VDR o VEX, e importa SBOM esistenti per "analyze dependencies you don't build yourself." Le policy SBOM possono esigere gli elementi minimi NTIA e FDA nei file importati.
• Distribuzione. Con Enterprise, lo SBOM Portal condivide i dati SBOM con i partner o pubblicamente, così non deve inviare file via e-mail ai clienti.
• Scansione ampia. La FOSSA CLI si integra con più di 20 sistemi di build, e la scansione dei container è inclusa. La scansione di snippet e quella di binari sono disponibili come add-on.
• Un punto di ingresso gratuito. Il piano Free copre 5 progetti e 5 SBOM importate. Business costa $20 per progetto al mese, con fatturazione annuale, ed Enterprise è su misura (a settembre 2026).

Se il Suo problema principale è il rischio di licenza, o la gestione di SBOM che arrivano da molti fornitori, FOSSA copre un terreno che CRACI non copre. CRACI mostra i metadati delle licenze dichiarate, li include nell'esportazione delle SBOM e applica la policy sulle licenze.

In che cosa CRACI è diverso

La SBOM nasce da ciò che la build ha fatto

La FOSSA CLI analizza un progetto integrandosi con il suo strumento di build quando è disponibile una build funzionante, e deducendo le dipendenze dal sorgente quando non lo è. È un approccio valido, ma resta un'analisi del progetto. CRACI invece esegue il job. Lei cambia runs-on in craci, e un proxy che riconosce i pacchetti registra il traffico verso le sorgenti dei pacchetti durante la build: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e sorgenti Git, oltre ai preset di download. Le evidenze sulle dipendenze viaggiano con le cache CI, quindi anche un pacchetto ripristinato da una cache resta nel record, comprese tutte le dipendenze transitive usate dalla build.

Il metodo conta perché i generatori di SBOM non concordano, e non concordano per scelta progettuale. Ciascuno decide per conto proprio che cosa conta come componente e di quali file fidarsi, quindi puntandone due sullo stesso repository si ottengono due elenchi sovrapposti ma diversi. FOSSA e CRACI non si possono confrontare in questi termini, poiché CRACI registra le build e non può scansionare una directory. Il punto riguarda l'analisi statica in generale: la risposta dipende dallo strumento, dalle sue impostazioni e dai file presenti.

Le dice quando è incompleta

Le policy SBOM di FOSSA verificano che i campi obbligatori siano presenti. CRACI aggiunge un segnale diverso: uno stato di completezza per job e per cache (Complete, Complete with connections, Incomplete, Unavailable o Not recorded) che indica se la registrazione stessa ha avuto una lacuna. Quando un auditor chiede come fa a sapere che un inventario è completo, questa è la risposta.

Controllo e provenance

Poiché CRACI esegue il job, applica una policy di egress di rete: negazione o autorizzazione predefinita, con 24 preset integrati di sorgenti software e sorgenti personalizzate tipizzate, convalidata prima dell'avvio del job e in modalità fail closed. L'API restituisce SBOM, tracce di rete e provenance.

Monitoraggio

CRACI rivaluta di continuo le SBOM monitorate. Il fossabot di FOSSA affronta un problema diverso: esamina gli aggiornamenti delle dipendenze, compresi quelli di Dependabot o Renovate, per individuare modifiche incompatibili e valutarne l'impatto.

Un inventario di che cosa è distribuito e dove

La vista inventario di CRACI mostra esattamente quali versioni del software sono distribuite in quali prodotti, a livello globale. Quando arriva una nuova vulnerabilità, può vedere quali prodotti eseguono la versione interessata invece di ricostruirlo da note di rilascio e fogli di calcolo.

Sostituire FOSSA con CRACI

Per il software che compila Lei stesso, CRACI copre ciò che fanno le funzionalità SBOM e vulnerabilità di FOSSA, partendo dalla fonte. Esegue i Suoi job GitHub Actions, registra la SBOM di ogni build, continua a rivalutare le SBOM monitorate man mano che vengono pubblicate nuove vulnerabilità, aggrega i risultati tra build e repository e consente ai team di sicurezza di esaminarli e instradare ciascuno verso il team responsabile della correzione. È possibile aggiungere anche SBOM dei vendor, così i componenti acquistati vengono monitorati insieme alle Sue build. Non c'è alcuno step CLI separato da mantenere.

Sia consapevole di ciò a cui rinuncia. La conformità delle licenze di FOSSA è matura: policy, rilevamento delle licenze sul testo integrale, estrazione del copyright e note di attribuzione. CRACI esporta la licenza dichiarata di ogni componente e applica la policy sulle licenze, compreso il blocco di una build in base a una licenza; il rilevamento e l'output di attribuzione di FOSSA vanno oltre. CRACI inoltre non ha scansione di snippet o binari né un portale di condivisione delle SBOM, e oggi supporta solo GitHub Actions, con GitLab CI e Jenkins in roadmap. Se la conformità delle licenze è la Sua prima preoccupazione, mantenga FOSSA.

Per il Cyber Resilience Act

FOSSA pubblica indicazioni sul CRA. La sua sintesi del requisito SBOM: i fabbricanti redigono una SBOM in un formato di uso comune e leggibile da macchina che copra "at the very least the top-level dependencies of the products", e la condividono con le autorità di vigilanza del mercato come parte della documentazione tecnica. FOSSA presenta importazione, generazione, analisi delle vulnerabilità e condivisione sicura con le autorità come il proprio contributo al CRA.

Le dipendenze di primo livello sono il minimo, non l'obiettivo. Una vulnerabilità in un pacchetto transitivo è comunque nel Suo prodotto. Gli obblighi di segnalazione del CRA si applicano dall'11 settembre 2026, con un preallarme entro 24 ore per una vulnerabilità attivamente sfruttata, e le sue disposizioni principali si applicano dall'11 dicembre 2027. CRACI registra l'intero insieme di dipendenze usato da ogni build, restituisce SBOM, tracce di rete e provenance tramite la sua API ed esporta le SBOM in CycloneDX o SPDX, vulnerabilità incluse.

CRACI automatizza una parte significativa della visibilità e delle evidenze sulla software supply chain di cui le aziende hanno bisogno nel loro più ampio processo di conformità al CRA. Nessuno dei due prodotti rende da solo conforme un fabbricante. Veda che cosa richiede il CRA e la conformità al CRA con CRACI.

CRACI e FOSSA: domande frequenti

Sostituire FOSSA, prezzi, formati SBOM e supporto CI

CRACI è un'alternativa a FOSSA?

Sì, per le SBOM e il monitoraggio delle vulnerabilità del software che compila. CRACI esegue i Suoi job GitHub Actions, registra la SBOM di ogni build, continua a rivalutare le SBOM monitorate e consente ai team di sicurezza di esaminare i risultati e instradarli verso il team responsabile. FOSSA resta avanti sulla conformità delle licenze open source, quindi se è la Sua prima preoccupazione, mantenga FOSSA.

CRACI sostituisce FOSSA o funziona accanto a esso?

Per il Suo software, CRACI lo sostituisce: CI, SBOM e tracciamento delle vulnerabilità stanno in un solo prodotto, senza uno step CLI separato da mantenere. Ciò a cui rinuncia è la matura conformità delle licenze di FOSSA (rilevamento delle licenze sul testo integrale, estrazione del copyright e note di attribuzione), i suoi add-on di scansione di snippet e binari e il suo SBOM Portal.

Come si confrontano i prezzi di CRACI con quelli di FOSSA?

A settembre 2026, FOSSA ha un piano Free che copre 5 progetti e 5 SBOM importate, Business a $20 per progetto al mese con fatturazione annuale e prezzi Enterprise su misura. CRACI addebita solo i minuti di build: $0.002 per vCPU-minuto ($0.004 per un runner predefinito da 2 vCPU), misurati al secondo, senza canone mensile né costo per SBOM. Consulti i prezzi per le condizioni attuali.

Quali formati SBOM supportano FOSSA e CRACI?

Entrambi esportano SPDX e CycloneDX. FOSSA può aggiungere dichiarazioni VDR o VEX alle sue SBOM. CRACI esporta la SBOM di ogni build con le dipendenze transitive e la licenza dichiarata di ogni componente, dichiara quanto è stata completa la registrazione per job e per cache e supporta VEX.

CRACI può tracciare le SBOM dei fornitori come FOSSA?

Sì. Può aggiungere SBOM dei vendor a CRACI, e quei componenti acquistati vengono monitorati insieme al software che compila. FOSSA importa file SPDX e CycloneDX e può applicarvi policy SBOM, come l'obbligo degli elementi minimi NTIA e FDA.

Quali sistemi CI supportano FOSSA e CRACI?

La FOSSA CLI gira all'interno della Sua CI e si integra con più di 20 sistemi di build. Oggi CRACI è un runner per GitHub Actions; altri sistemi CI sono in roadmap, tra cui GitLab CI e Jenkins.

CRACI aiuta con il Cyber Resilience Act?

Sì. CRACI registra l'intero insieme di dipendenze usato da ogni build, non solo le dipendenze di primo livello, restituisce SBOM, tracce di rete e provenance tramite la sua API e invia per Suo conto le notifiche di vulnerabilità previste dal CRA. Automatizza una parte significativa della visibilità e delle evidenze sulla supply chain di cui il Suo processo CRA ha bisogno; nessuno dei due prodotti rende da solo conforme un fabbricante. Prenoti una demo per confrontare la SBOM di CRACI con quella che gestisce oggi.