123% di CVE segnalate in più al giorno nel 2026 rispetto all'anno scorso.

Esportazione SBOM ed evidenze CRA da ogni build

SBOM registrate durante la build, il record della build tramite API e i record delle vulnerabilità fino alla release corretta: le evidenze su cui si basa la Sua documentazione tecnica

SBOM generate in fase di build, in CycloneDX o SPDX

CRACI registra la SBOM mentre ogni build viene eseguita sul suo runner, quindi elenca i pacchetti che il job ha effettivamente scaricato, compresi quelli ripristinati dalle cache CI. Ogni SBOM si esporta in CycloneDX o SPDX, con le dipendenze transitive, le vulnerabilità trovate nei loro componenti e la licenza dichiarata di ciascun componente. La SBOM di ogni job riporta inoltre uno stato di completezza.

An SBOM recorded during the build Packages from npm, PyPI, Cargo, Go, OCI registries and the CI cache pass through a package-aware proxy on the CRACI runner. The job's SBOM lists what was fetched, states its completeness and exports as CycloneDX or SPDX. Package sources npm PyPI Cargo · Go OCI registries CI cache restore Package- aware proxy on the runner Job SBOM express 5.2.1 requests 2.32.3 serde 1.0.219 + transitive deps Declared license on every component Complete Completeness states per job and cache: Complete, Complete with connections, Incomplete, Unavailable, Not recorded CycloneDX · SPDX

SBOM, tracce di rete e provenance tramite API

La REST API pubblica restituisce la SBOM di un job, la sua traccia di rete e i dati di provenance, così il record della build può confluire nella Sua documentazione e nei Suoi strumenti. L'API delle SBOM restituisce JSON CycloneDX 1.7.

Provenance data from every build Every job on CRACI records the packages it fetched and its network trace. The public REST API returns the job's SBOMs, network trace and provenance. Build release job on CRACI Recorded packages fetched network trace Provenance build data, via the API Ask the API about any job Job → SBOM, trace, provenance Returned by the API Job Packages CycloneDX SBOM Network trace Recorded on every CRACI job, no extra step

Record delle vulnerabilità, dal triage alla release corretta

Le SBOM monitorate vengono rivalutate man mano che vengono pubblicate nuove vulnerabilità. I team di sicurezza eseguono il triage di ogni rilevamento e lo assegnano al team responsabile della correzione, e CRACI conserva il record fino alla release corretta. La cronologia delle build mostra ogni build passata con la sua SBOM, e quali build contenevano la dipendenza vulnerabile, diretta o transitiva, così conosce il Suo periodo di esposizione.

Vulnerability tracking after release After a release ships, its SBOM stays monitored. When a new vulnerability is published, CRACI re-evaluates the monitored SBOMs, finds the affected releases, and the security team triages the finding and routes it to the team that owns the fix. The inventory view shows which software versions are deployed to which products. Release shipped SBOM monitored Later New advisory published Re-evaluated automatically Finding: critical, in 2 releases 1. Triage 2. Route to owner 3. Team fixes Policy gates can block a build on findings · VEX supported Inventory: deployed versions Product Version Web app v4.12.0 Mobile API v2.3.1

Policy gate che tengono fuori un problema noto

I policy gate possono fermare una build in tempo reale in base ai rilevamenti, comprese le build che contengono una specifica CVE, e in base alle licenze. Ogni build viene inoltre eseguita sotto una policy di egress applicata sul runner, convalidata prima dell'avvio del job e in modalità fail-closed, con avvisi in caso di violazioni della policy.

Policy gates in CI Every build on CRACI records its SBOM, runs under an egress policy and records provenance data. Policy gates can block the build on findings or on a license, so issues are caught in CI before release. Pull request New dependencies, added by a developer or an AI agent Every change reaches the build the same way CRACI build SBOM recorded Egress enforced Provenance Every build, no extra step Policy gate Findings or licenses outside your policy Build blocked Or passes to release

Evidenze per la Sua documentazione tecnica CRA

Ai sensi del Cyber Resilience Act, è il fabbricante a redigere la documentazione tecnica, a svolgere la valutazione della conformità e a redigere la dichiarazione di conformità UE. CRACI non svolge queste fasi. Fornisce le evidenze che nascono dalla build: SBOM, record delle vulnerabilità e della loro correzione, e dati di provenance. CRACI invia inoltre per Suo conto le notifiche di vulnerabilità previste dal CRA: il preallarme, la notifica e la relazione finale.

CRA obligations and the evidence for them The CRA obligations that touch the software supply chain, such as the SBOM, vulnerability handling, reporting, due diligence and technical documentation, are where CRACI provides evidence. The risk assessment and the conformity assessment stay with the manufacturer. Obligation CRACI evidence Software bill of materials Yes Vulnerability handling Yes Reporting exploited vulnerabilities Submitted for you Due diligence on components Yes Technical documentation Evidence and exports Risk assessment, secure design Yours Conformity assessment, CE Yours CRACI automates a significant part of the supply chain visibility and evidence your CRA process needs

Veda le evidenze prodotte dalle Sue build

Prenoti una demo per vedere in CRACI l'esportazione delle SBOM, l'API e il monitoraggio delle vulnerabilità

Prenota una demo