CRACI vs Socket Security

La risposta breve

Socket Security è noto soprattutto per fermare i pacchetti open source dannosi prima che arrivino. Analizza il comportamento dei pacchetti (script di installazione, accesso alla rete e al filesystem, codice offuscato, malware noto, typosquat), La informa nella pull request, e Socket Firewall può bloccare un pacchetto malevolo al momento dell'installazione.

CRACI è un runner CI per GitHub Actions. I Suoi job girano su di esso e, durante l'esecuzione, registra ogni dipendenza esterna che scaricano, applica una policy di egress per il job e continua a tracciare le vulnerabilità in ciò che è stato distribuito. Socket chiede se un pacchetto è sicuro da usare. CRACI registra ciò che una build ha usato e dove si è connessa, e lo trasforma in evidenze di release.

• Scelga Socket per fermare i pacchetti malevoli e rischiosi alla pull request e all'installazione.
• Scelga CRACI per SBOM in fase di build, dati di provenance, controllo dell'egress della build e tracciamento delle vulnerabilità di ciò che ha distribuito, comprese le notifiche di vulnerabilità previste dal CRA.
• Sono complementari. Socket controlla i pacchetti in ingresso; CRACI registra e limita ciò che la build ne ha fatto.

In sintesi

Che cosa fa bene Socket

Socket for GitHub sorveglia le pull request. Quando una modifica aggiunge una dipendenza, Socket analizza il comportamento del pacchetto e inserisce un commento se rappresenta un rischio per la sicurezza. I suoi controlli coprono script di installazione, telemetria, codice nativo, malware noto, typosquat, protestware, codice offuscato e uso di API privilegiate come accesso a shell, rete e filesystem. È un segnale di tipo diverso rispetto alla ricerca di una CVE: può segnalare un pacchetto malevolo che non ha ancora un advisory.

Socket Firewall funziona come wrapper attorno a un comando del package manager (sfw npm install) o come proxy tra package manager e registry. Blocca i pacchetti malevoli a qualsiasi profondità, compresi quelli transitivi. La versione gratuita non richiede una chiave API e copre npm, yarn, pnpm, pip, uv e cargo. La versione Enterprise aggiunge policy configurabili, registry privati e altri ecosistemi, tra cui Go, Maven, Gradle, RubyGems e NuGet.

Socket offre anche l'analisi di raggiungibilità su tre livelli: raggiungibilità delle dipendenze, raggiungibilità precalcolata dal piano Team e raggiungibilità sull'intera applicazione con Enterprise, che secondo Socket può segnalare come irrilevante fino al 90% degli avvisi di vulnerabilità. Rileva i manifest di JavaScript, Python, Java, Go, Ruby, Rust, .NET, PHP e Swift, e la sua CLI gira in GitHub Actions, GitLab, Bitbucket, Jenkins e Azure DevOps. CRACI non analizza il comportamento dei pacchetti, non commenta le pull request, non offre l'analisi di raggiungibilità e oggi non blocca singoli pacchetti.

Prezzi di Socket, a settembre 2026

• Free: 1.000 scansioni al mese, fino a tre membri, rilevamento e blocco del malware.
• Team: $25 per sviluppatore al mese, minimo cinque sviluppatori. Aggiunge punteggi di priorità, avvisi Slack e raggiungibilità precalcolata.
• Business: $50 per sviluppatore al mese, minimo 20 sviluppatori. Aggiunge importazione ed esportazione di SBOM, integrazioni di conformità, SSO e scansione di GitHub Actions.
• Enterprise: prezzi su misura. Aggiunge la raggiungibilità sull'intera applicazione e le integrazioni con i repository GitLab, Bitbucket e Azure DevOps.

La fatturazione annuale fa risparmiare fino al 20%, e Socket afferma che sarà sempre gratuito per i progetti open source. Socket applica prezzi per sviluppatore. CRACI addebita solo i minuti di build, $0.002 per vCPU-minuto ($0.004 per un runner predefinito da 2 vCPU), senza canone mensile né costo per SBOM; consulti i prezzi di CRACI.

In che cosa CRACI è diverso

La build è la fonte di verità

Socket legge i manifest e i lockfile dichiarati da un progetto. CRACI osserva la build durante l'esecuzione. Un proxy che riconosce i pacchetti sul runner vede il traffico verso le sorgenti dei pacchetti su npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e sorgenti Git, oltre ai preset di download. Le evidenze viaggiano con le cache CI, quindi anche un pacchetto ripristinato da una cache viene conteggiato. Ogni SBOM dichiara la propria completezza per job e per cache: Complete, Complete with connections, Incomplete, Unavailable o Not recorded.

Una policy di egress per l'intero job

Socket Firewall decide se l'installazione di un pacchetto può procedere. La policy di egress di CRACI decide che cosa il job può raggiungere in assoluto: negazione o autorizzazione predefinita, con 24 preset integrati di sorgenti software e sorgenti personalizzate tipizzate per npm, PyPI, apt, apk, il proxy Go, Nix, Cargo, registry OCI e Git. Le policy vengono convalidate prima dell'avvio del job e operano in modalità fail closed, e CRACI può avvisarLa in caso di violazione. Uno script di installazione malevolo che tenta di contattare il proprio server è un problema di rete quanto di pacchetto. I due controlli ne coprono parti diverse.

Provenance e tracciamento delle vulnerabilità

L'API restituisce SBOM, tracce di rete e provenance. CRACI non firma la provenance. CRACI aggrega le vulnerabilità tra build e repository, continua a rivalutare le SBOM monitorate e consente ai team di sicurezza di esaminare i risultati e inviarli ai team responsabili della correzione. Le SBOM dei vendor vengono monitorate insieme alle Sue build, e le SBOM si esportano in CycloneDX o SPDX.

Un inventario di che cosa è distribuito e dove

La vista inventario di CRACI mostra esattamente quali versioni del software sono distribuite in quali prodotti, a livello globale. Quando arriva una nuova vulnerabilità, può vedere quali prodotti eseguono la versione interessata invece di ricostruirlo da note di rilascio e fogli di calcolo.

Una nota sul comando SBOM gratuito di Socket

La CLI di Socket offre socket manifest cdxgen, un comando SBOM locale gratuito che non richiede un account. Socket documenta che questo comando inoltra la chiamata a cdxgen con impostazioni predefinite modificate: un lifecycle pre-build che salta l'installazione delle dipendenze e JavaScript come tipo di progetto predefinito. Queste impostazioni determinano ciò che può trovare, e in un repository senza lockfile, come expressjs/express, non c'è nulla da risolvere.

Questo descrive un wrapper locale gratuito, non il prodotto principale di Socket né la sua esportazione SBOM lato server.

Quale scegliere

• Vuole fermare i pacchetti malevoli all'ingresso: Socket, con i controlli sulle pull request e Socket Firewall.
• Vuole meno avvisi CVE irrilevanti grazie alla raggiungibilità: Socket, con Team o Enterprise. CRACI non offre l'analisi di raggiungibilità.
• Le servono evidenze di ciò che è entrato in ogni release: CRACI le registra dalla build e le collega all'artefatto.
• Vuole build che non possano raggiungere host imprevisti: la policy di egress di CRACI.
• Distribuisce prodotti soggetti al Cyber Resilience Act: CRACI traccia le vulnerabilità in ciò che ha distribuito e invia per Suo conto le notifiche di vulnerabilità previste dal CRA.
• Usa GitLab, Jenkins o Azure DevOps: Socket li supporta oggi. Oggi CRACI supporta solo GitHub Actions, con GitLab CI e Jenkins in roadmap.

Per il Cyber Resilience Act

Tenere fuori da un prodotto i componenti malevoli e rischiosi aiuta un fabbricante a rispettare i propri obblighi di sicurezza, e Socket è costruito per questo. CRACI automatizza una parte significativa della visibilità e delle evidenze sulla software supply chain di cui le aziende hanno bisogno nel loro più ampio processo di conformità al CRA: SBOM in fase di build con completezza dichiarata, dati di provenance, tracciamento continuo delle vulnerabilità e notifiche di vulnerabilità previste dal CRA inviate per Suo conto. Nessuno dei due strumenti da solo rende conforme un prodotto. Veda che cos'è il CRA e la conformità al CRA.

Usare CRACI con Socket

CRACI sostituisce il runner, non GitHub Actions: le esecuzioni continuano a comparire in GitHub e Socket continua a controllare le Sue pull request. Socket controlla i pacchetti prima della loro aggiunta e durante l'installazione; CRACI registra ciò che ogni build ha scaricato, limita dove può connettersi e continua a tracciare le vulnerabilità in ciò che è stato distribuito. Scopra di più sulla generazione di SBOM in fase di build e sul tracciamento delle vulnerabilità.

Sta valutando anche altri strumenti di sicurezza dei pacchetti? Veda Alternative a Socket.

Socket Security e CRACI: domande frequenti

Prezzi, SBOM e il ruolo di ciascuno strumento

Che cos'è Socket Security?

Socket (socket.dev) è una piattaforma di sicurezza della software supply chain per le dipendenze open source. Analizza che cosa fanno davvero i pacchetti, come script di installazione, accesso alla rete e al filesystem, codice offuscato, malware noto e typosquat, e segnala o blocca i pacchetti rischiosi nelle pull request, in CI e, con Socket Firewall, al momento dell'installazione.

Socket Security è gratuito?

Socket ha un piano gratuito con 1.000 scansioni al mese e fino a tre membri, e Socket afferma che sarà sempre gratuito per i progetti open source. Anche Socket Firewall ha una versione gratuita che non richiede una chiave API e copre npm, yarn, pnpm, pip, uv e cargo. I piani a pagamento aggiungono raggiungibilità, esportazione SBOM e altre integrazioni.

Quanto costa Socket?

A settembre 2026, la pagina dei prezzi di Socket indica Team a $25 per sviluppatore al mese (minimo cinque sviluppatori), Business a $50 per sviluppatore al mese (minimo 20) e prezzi Enterprise su misura, con uno sconto fino al 20% per la fatturazione annuale. L'esportazione SBOM parte da Business, e le integrazioni con i repository GitLab, Bitbucket e Azure DevOps sono incluse in Enterprise.

Socket genera SBOM?

Sì. L'importazione e l'esportazione di SBOM sono disponibili dal piano Business di Socket in su, e la sua API di esportazione CycloneDX è indicata come beta. Socket crea la SBOM dai manifest e dai lockfile che rileva. CRACI registra la SBOM durante l'esecuzione della build, a partire dai pacchetti effettivamente scaricati dal job, e dichiara se il record di ogni job è completo.

CRACI rileva i pacchetti malevoli come fa Socket?

Non come Socket. CRACI segnala una release malevola quando ha una CVE pubblicata, come qualsiasi altra vulnerabilità, ma non analizza il comportamento dei pacchetti né assegna loro un punteggio, quindi un nuovo pacchetto malevolo non viene segnalato finché non esiste un advisory. Controlla a che cosa può connettersi una build con una policy di egress a livello di runner in modalità fail closed, registra ogni pacchetto scaricato dalla build e continua a rivalutare ciò che è stato distribuito rispetto ai dati sulle vulnerabilità. Le blocklist di pacchetti a livello di organizzazione sono in roadmap.

CRACI è un'alternativa a Socket?

Non per il controllo dei pacchetti prima della loro aggiunta: è il lavoro centrale di Socket e CRACI non lo fa. CRACI è la scelta giusta quando servono evidenze di ciò che è entrato in ogni release: SBOM in fase di build, dati di provenance, una policy di egress per la build, tracciamento continuo delle vulnerabilità e notifiche di vulnerabilità previste dal CRA. I team preoccupati dai pacchetti malevoli possono usare Socket sulle pull request e compilare su CRACI.

Quali sistemi CI supportano Socket e CRACI?

La CLI di Socket gira in GitHub Actions, GitLab, Bitbucket, Jenkins e Azure DevOps. Oggi CRACI è un runner per GitHub Actions, con GitLab CI e Jenkins in roadmap.