SBOM
CycloneDX vs SPDX
CycloneDX e SPDX sono i due formati SBOM supportati da quasi tutti gli strumenti. Entrambi descrivono i componenti di un software e le relazioni tra loro. Si differenziano per l'origine, per ciò che contengono oltre a questo e per l'ente di standardizzazione che li sostiene.
Aggiornato il
La risposta breve
Usi il formato richiesto dai Suoi clienti, dalle autorità di regolamentazione o dai Suoi strumenti. Se nessuno lo chiede, CycloneDX è la scelta più comune per il lavoro di sicurezza, perché supporta VEX in modo nativo, e SPDX è la scelta più comune quando prevale la conformità delle licenze. La maggior parte dei generatori, CRACI compreso, può produrli entrambi.
Fianco a fianco
| Funzionalità | CycloneDX | SPDX |
|---|---|---|
| Mantenuto da | OWASP Foundation ed Ecma International | Linux Foundation |
| Standard | ECMA-424 | ISO/IEC 5962:2021 |
| Versione attuale | 1.7, ottobre 2025 | 3.0, aprile 2024 |
| Da dove è partito | Sicurezza e rischio della supply chain | Conformità delle licenze |
| Tipi di distinta | SBOM, SaaSBOM, HBOM e altri | Profili per sicurezza, build, dataset e IA |
| Dati sulle vulnerabilità | VEX integrato | Profilo di sicurezza nella 3.0 |
| Codifiche | JSON, XML, Protocol Buffers | Diverse, tra cui JSON |
CycloneDX
CycloneDX è sviluppato dalla OWASP Foundation e standardizzato da Ecma International come ECMA-424. La versione 1.7 è stata rilasciata nell'ottobre 2025. È partito dalla sicurezza e dal rischio della supply chain e copre più del solo software: SBOM, SaaSBOM per i servizi e HBOM per l'hardware. Supporta VEX, quindi lo stesso formato può dichiarare se una vulnerabilità riguarda un prodotto. Viene serializzato in JSON, XML o Protocol Buffers.
SPDX
SPDX è un progetto open source ospitato dalla Linux Foundation e riconosciuto come standard internazionale ISO/IEC 5962:2021. È partito dalla conformità delle licenze, e i suoi identificatori di licenza sono usati ben oltre le SBOM. SPDX 3.0, rilasciato nell'aprile 2024, ha aggiunto profili per sicurezza, build, dataset e IA.
Guardi il video: le basi delle SBOM
Dal nostro intervento al KCD Helsinki: che cosa registra una SBOM, come differiscono in pratica SPDX e CycloneDX e che cosa aggiunge OpenVEX.
SBOM basics: SPDX, CycloneDX and OpenVEX
Petteri Pulkkinen e Erika Marttinen a Kubernetes Community Days Helsinki 2026, da 16:50 a 22:05 di SBOMbastic: Getting Ready for Upcoming EU Cybersecurity Regulation in Software Supply Chains.
Che cosa accettano le autorità di regolamentazione
Il Cyber Resilience Act dell'UE chiede una SBOM in "un formato di uso comune e leggibile da dispositivo automatico" e non ne indica uno. La BSI TR-03183-2 tedesca, versione 2.1.0, è più specifica: CycloneDX 1.6 o superiore, oppure SPDX 3.0.1 o superiore, in JSON o XML. Veda i requisiti SBOM del CRA.
Il formato conta meno del contenuto
Entrambi i formati possono contenere una SBOM incompleta. Ciò che decide se una SBOM è utile è se elenca tutto ciò che è entrato nel prodotto, comprese le dipendenze transitive. CRACI registra la SBOM durante l'esecuzione della Sua build GitHub Actions, ne indica la completezza per job e per cache e la esporta in CycloneDX o SPDX. Veda la generazione di SBOM in fase di build.
CycloneDX vs SPDX: domande frequenti
È meglio CycloneDX o SPDX?
Nessuno dei due è migliore in assoluto. CycloneDX nasce dall'uso in ambito sicurezza e supporta VEX in modo nativo; SPDX nasce dalla conformità delle licenze ed è uno standard ISO. La maggior parte degli strumenti può produrli entrambi. Scelga quello richiesto dai Suoi clienti, dalle autorità di regolamentazione o dai Suoi strumenti.
Quale formato SBOM richiede il Cyber Resilience Act dell'UE?
Il CRA chiede un formato di uso comune e leggibile da dispositivo automatico e non ne indica uno. La BSI TR-03183-2 tedesca accetta CycloneDX 1.6 o superiore e SPDX 3.0.1 o superiore, in JSON o XML.
Posso convertire tra CycloneDX e SPDX?
Esistono strumenti per convertire in entrambe le direzioni, ma i formati non corrispondono uno a uno, quindi una conversione può perdere dettagli. Se può, generi direttamente il formato che Le serve.
CRACI esporta in CycloneDX o SPDX?
In entrambi. CRACI registra la SBOM durante l'esecuzione della Sua build GitHub Actions e la esporta in CycloneDX o SPDX, comprese le dipendenze transitive e la licenza dichiarata di ogni componente.
Ottenga entrambi i formati da una sola build
Esegua un job GitHub Actions su CRACI ed esporti la sua SBOM registrata in CycloneDX o SPDX.
Prenota una demo