CRACI vs Renovate

La risposta breve

Renovate è pensato per l'igiene delle dipendenze: trova i file dei pacchetti, apre pull request di aggiornamento e Le consente di controllare il rumore con pianificazioni, raggruppamenti e automerge. CRACI è un runner GitHub Actions che registra ciò che ogni build ha scaricato e monitora quelle SBOM per individuare nuove vulnerabilità. Renovate chiede "esiste una versione più recente?". CRACI chiede "qualcosa in ciò che abbiamo compilato e distribuito è vulnerabile, e dove?". Non competono per lo stesso lavoro e funzionano fianco a fianco: Renovate apre le pull request di aggiornamento, CRACI Le dice quali build ne hanno bisogno.

Che cosa fa bene Renovate

La documentazione di Renovate si apre con "Automated dependency updates. Multi-platform and multi-language." Ed è all'altezza di entrambe le promesse. Nel Suo repository "looks for references to dependencies (both public and private)" e, quando esistono versioni più recenti, apre pull request che aggiornano le dipendenze e i relativi lockfile.

• Ampiezza. Più di 90 package manager e repository su GitHub, GitLab, Bitbucket, Azure DevOps, Gitea e Forgejo, con AWS CodeCommit, Gerrit e SCM-Manager indicati come sperimentali.
• Controllo. Preset di configurazione condivisibili, packageRules per il comportamento di ogni pacchetto, pianificazioni per limitare quando compaiono le pull request e automerge per gli aggiornamenti di cui si fida. La documentazione osserva che la maggior parte dei team lascia a una persona gli aggiornamenti major.
• Visibilità. Una issue Dependency Dashboard, attiva per impostazione predefinita in config:recommended, e informazioni che aiutano a decidere quali aggiornamenti accettare: età, adozione, tassi di successo e merge confidence.
• Portata. I custom manager gestiscono formati di file proprietari e formati diffusi che Renovate non supporta ancora.
• Scelta del deployment. Open source con licenza AGPL-3.0 e mantenuto da Mend. Può eseguire la CLI o l'immagine Docker in autonomia, usare l'app cloud gratuita Mend Renovate Community su GitHub.com e Bitbucket Cloud, oppure eseguire le edizioni self-hosted Community o Enterprise a pagamento.

Come Renovate gestisce le vulnerabilità

Renovate ha due strade per le correzioni di sicurezza. Con vulnerabilityAlerts legge gli avvisi di vulnerabilità di GitHub, il che richiede che il dependency graph e gli avvisi di Dependabot siano attivi. Quelle pull request "skip the line", ignorando pianificazioni e limiti orari, e per impostazione predefinita passano alla versione più bassa che contiene la correzione. Con osvVulnerabilityAlerts confronta le dipendenze con il database OSV, che scarica e interroga offline. La documentazione è precisa sul limite: "You will only get OSV-based vulnerability alerts for direct dependencies," per un insieme definito di datasource.

CRACI non sostituisce nulla di tutto questo e non apre pull request. Se il Suo obiettivo è mantenere aggiornati centinaia di repository con il minimo sforzo, Renovate è fatto per questo.

In che cosa CRACI è diverso

Parte dalla build, non dai file dei pacchetti

Renovate lavora a partire da ciò che il Suo repository dichiara. Una build spesso fa di più: risolve le versioni al momento dell'installazione, ripristina pacchetti dalle cache e scarica strumenti, pacchetti di sistema e immagini che nessun manifest elenca. expressjs/express 5.2.1 mostra il divario nella forma più evidente: non include alcun lockfile, quindi un generatore puntato su un checkout pulito non ha nulla da risolvere e non riporta nessuna delle sue dipendenze npm, per quanto bene funzioni lo strumento. CRACI non può essere confrontato in questo modo, perché registra build anziché scansionare directory. I file di un repository e i pacchetti di una build non sono lo stesso elenco.

CRACI esegue la build. Lei cambia runs-on in craci, e un proxy che riconosce i pacchetti registra ciò che ogni job scarica da npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e sorgenti Git, oltre ai preset di download. Ogni job e cache riceve uno stato di completezza: Complete, Complete with connections, Incomplete, Unavailable o Not recorded.

Monitorare ciò che ha distribuito

CRACI aggrega le vulnerabilità tra build e repository e continua a rivalutare le SBOM monitorate man mano che compaiono nuovi advisory. Quando ne arriva uno, Lei vede quali build e repository hanno effettivamente usato il pacchetto interessato, compresi i pacchetti che nessun manifest elenca, e i team di sicurezza possono esaminare il risultato e assegnarlo al team responsabile della correzione. L'elemento scatenante è una vulnerabilità in qualcosa che una build ha effettivamente usato, non l'arrivo di una nuova versione.

Non solo monitoraggio

Poiché CRACI è il runner, applica anche una policy di egress per job (negazione o autorizzazione predefinita, convalidata prima dell'avvio del job, in modalità fail closed), restituisce SBOM, tracce di rete e provenance tramite la sua API ed esporta le SBOM in CycloneDX o SPDX. Niente di tutto questo è compito di Renovate.

Un inventario di che cosa è distribuito e dove

La vista inventario di CRACI mostra esattamente quali versioni del software sono distribuite in quali prodotti, a livello globale. Quando arriva una nuova vulnerabilità, può vedere quali prodotti eseguono la versione interessata invece di ricostruirlo da note di rilascio e fogli di calcolo.

Usarli entrambi

• Renovate mantiene aggiornata ogni dipendenza secondo una pianificazione, su tutte le Sue piattaforme e tutti i Suoi package manager, con automerge per gli aggiornamenti a basso rischio.
• CRACI registra ogni build GitHub Actions, monitora ciò che è stato distribuito e Le dice quali build e team sono colpiti da una nuova vulnerabilità, così Lei sa quali pull request di aggiornamento unire per prime.

Non c'è nulla da migrare. Renovate continua a leggere i Suoi repository, e i Suoi workflow continuano a girare su GitHub Actions con un runner diverso.

Per il Cyber Resilience Act

Il CRA richiede ai fabbricanti di sapere che cosa contiene ogni release e di gestirne le vulnerabilità. Renovate aiuta mantenendo le dipendenze aggiornate e con le patch applicate. CRACI registra la SBOM di ogni build, la monitora per individuare nuove vulnerabilità e conserva le evidenze. Automatizza una parte significativa della visibilità e delle evidenze sulla software supply chain di cui le aziende hanno bisogno nel loro più ampio processo di conformità al CRA. Veda che cos'è il CRA e il tracciamento delle vulnerabilità.