CRACI vs FOSSA

Het korte antwoord

FOSSA is het sterkst in open-source licentiecompliance en het beheer van de SBOM-levenscyclus: SBOM's van applicaties genereren, SBOM's van derden importeren, ze monitoren op kwetsbaarheden en ze delen met klanten en autoriteiten. CRACI is een GitHub Actions-runner die de afhankelijkheden vastlegt die elke job werkelijk heeft opgehaald en daaruit de SBOM maakt, met een volledigheidsstatus.

FOSSA beheert de SBOM's die u het geeft. CRACI maakt er een uit de build en blijft die monitoren, zodat voor uw eigen software de CI, de SBOM en het volgen van kwetsbaarheden op één plek zitten. Waar licentiecompliance de grootste zorg is, loopt FOSSA nog steeds voor.

In één oogopslag

Waar FOSSA goed in is

• Licentiecompliance. Hier is FOSSA mee begonnen, en dat is te zien. Het detecteert licenties op volledige tekst, past automatisch beleid toe, haalt copyrightgegevens op en genereert attributievermeldingen in SPDX, HTML en tekst. Juridische en engineeringteams kunnen vanuit dezelfde gegevens werken.
• SBOM-levenscyclus. FOSSA "produces and consumes SBOMs." Het genereert SBOM's in SPDX en CycloneDX, optioneel met VDR- of VEX-verklaringen, en importeert bestaande SBOM's om "analyze dependencies you don't build yourself." SBOM-beleid kan de minimumelementen van NTIA en FDA vereisen op geïmporteerde bestanden.
• Distributie. Op Enterprise deelt het SBOM Portal SBOM-gegevens met partners of publiekelijk, zodat u geen bestanden naar klanten hoeft te e-mailen.
• Brede scans. De FOSSA CLI integreert met meer dan 20 buildsystemen, en containerscans zijn inbegrepen. Snippetscans en binaire scans zijn beschikbaar als add-ons.
• Een gratis instap. Het Free-plan dekt 5 projecten en 5 geïmporteerde SBOM's. Business kost $20 per project per maand, jaarlijks gefactureerd, en Enterprise is op maat (per september 2026).

Is licentierisico uw grootste probleem, of het beheer van SBOM's die van veel leveranciers komen, dan dekt FOSSA terrein dat CRACI niet dekt. CRACI toont gedeclareerde licentiemetadata, neemt die op in de SBOM-export en dwingt licentiebeleid af.

Waar CRACI verschilt

De SBOM komt uit wat de build deed

De FOSSA CLI analyseert een project door te integreren met de buildtool wanneer er een werkende build beschikbaar is, en door afhankelijkheden uit de broncode af te leiden wanneer dat niet zo is. Dat is een degelijke aanpak, en het blijft analyse van het project. CRACI draait in plaats daarvan de job. U wijzigt runs-on in craci, en een proxy die pakketten herkent, legt tijdens de build het verkeer naar pakketbronnen vast: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk en Git-bronnen, plus downloadpresets. Het bewijs van afhankelijkheden reist mee met CI-caches, zodat een pakket dat uit een cache is teruggezet, toch in de vastlegging staat, inclusief alle transitieve afhankelijkheden die de build heeft gebruikt.

De methode is belangrijk omdat SBOM-generatoren het oneens zijn, en dat zijn ze per ontwerp. Elke generator bepaalt zelf wat als component telt en welke bestanden hij vertrouwt, dus als u er twee op één repository richt, krijgt u twee overlappende maar verschillende lijsten. FOSSA en CRACI zijn op die manier niet te vergelijken, omdat CRACI builds vastlegt en geen map kan scannen. Het punt gaat over statische analyse in het algemeen: het antwoord hangt af van de tool, de instellingen en de aanwezige bestanden.

Het vertelt u wanneer het onvolledig is

Het SBOM-beleid van FOSSA controleert of verplichte velden aanwezig zijn. CRACI voegt een ander signaal toe: een volledigheidsstatus per job en per cache (Complete, Complete with connections, Incomplete, Unavailable of Not recorded) die zegt of de vastlegging zelf een gat had. Vraagt een auditor hoe u weet dat een inventaris volledig is, dan is dat het antwoord.

Controle en herkomst

Omdat CRACI de job draait, dwingt het een egressbeleid voor het netwerk af: standaard weigeren of toestaan, met 24 ingebouwde presets voor softwarebronnen en getypeerde eigen bronnen, gevalideerd voordat de job start en fail-closed. De API levert SBOM's, netwerktraces en herkomstgegevens.

Monitoring

CRACI beoordeelt gemonitorde SBOM's continu opnieuw. De fossabot van FOSSA werkt aan een ander probleem: die beoordeelt updates van afhankelijkheden, ook die van Dependabot of Renovate, op breaking changes en impact.

Een inventaris van wat waar is uitgerold

De inventarisweergave van CRACI toont precies welke softwareversies in welke producten zijn uitgerold, wereldwijd. Duikt er een nieuwe kwetsbaarheid op, dan ziet u welke producten de getroffen versie draaien, in plaats van dat uit release notes en spreadsheets bij elkaar te moeten zoeken.

FOSSA vervangen door CRACI

Voor de software die u zelf bouwt, dekt CRACI wat de SBOM- en kwetsbaarheidsfuncties van FOSSA doen, vanaf de bron. Het draait uw GitHub Actions-jobs, legt de SBOM van elke build vast, blijft gemonitorde SBOM's opnieuw beoordelen wanneer er nieuwe kwetsbaarheden worden gepubliceerd, brengt bevindingen samen over builds en repositories heen, en laat securityteams ze triëren en elke bevinding toewijzen aan het team dat verantwoordelijk is voor de fix. Ook SBOM's van leveranciers kunnen worden toegevoegd, zodat ingekochte componenten naast uw eigen builds worden gemonitord. Er is geen aparte CLI-stap om te onderhouden.

Wees u bewust van wat u opgeeft. De licentiecompliance van FOSSA is volwassen: beleid, licentiedetectie op volledige tekst, extractie van copyrightgegevens en attributievermeldingen. CRACI exporteert de gedeclareerde licentie van elk component en dwingt licentiebeleid af, inclusief een build blokkeren op een licentie; de detectie en attributie-uitvoer van FOSSA gaan verder. CRACI heeft ook geen snippet- of binaire scans en geen portaal om SBOM's te delen, en ondersteunt vandaag alleen GitHub Actions, met GitLab CI en Jenkins op de roadmap. Is licentiecompliance uw eerste zorg, houd dan FOSSA.

Voor de Cyber Resilience Act

FOSSA publiceert CRA-richtlijnen. De samenvatting van de SBOM-eis: fabrikanten stellen een SBOM op in een veelgebruikt, machineleesbaar formaat dat "at the very least the top-level dependencies of the products" omvat, en delen die met markttoezichtautoriteiten als onderdeel van de technische documentatie. FOSSA positioneert importeren, genereren, kwetsbaarheidsanalyse en veilig delen met autoriteiten als zijn CRA-hulp.

Afhankelijkheden op het hoogste niveau zijn de ondergrens, niet het doel. Een kwetsbaarheid in een transitief pakket zit nog steeds in uw product. De meldingsverplichtingen van de CRA gelden vanaf 11 september 2026, met een vroegtijdige waarschuwing binnen 24 uur bij een actief uitgebuite kwetsbaarheid, en de hoofdbepalingen gelden vanaf 11 december 2027. CRACI legt de volledige set afhankelijkheden vast die elke build heeft gebruikt, levert SBOM's, netwerktraces en herkomstgegevens via de API, en exporteert SBOM's als CycloneDX of SPDX, inclusief kwetsbaarheden.

CRACI automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat bedrijven nodig hebben voor hun bredere CRA-nalevingsproces. Geen van beide producten maakt een fabrikant op eigen kracht compliant. Zie wat de CRA vereist en CRA-compliance met CRACI.

CRACI en FOSSA: veelgestelde vragen

FOSSA vervangen, prijzen, SBOM-formaten en CI-ondersteuning

Is CRACI een alternatief voor FOSSA?

Ja, voor de SBOM's en kwetsbaarheidsmonitoring van de software die u bouwt. CRACI draait uw GitHub Actions-jobs, legt de SBOM van elke build vast, blijft gemonitorde SBOM's opnieuw beoordelen en laat securityteams bevindingen triëren en toewijzen aan het verantwoordelijke team. FOSSA blijft voorlopen op open-source licentiecompliance, dus als dat uw eerste zorg is, houd dan FOSSA.

Vervangt CRACI FOSSA of werkt het ernaast?

Voor uw eigen software vervangt CRACI het: de CI, de SBOM en het volgen van kwetsbaarheden zitten in één product, zonder aparte CLI-stap om te onderhouden. Wat u opgeeft, is de volwassen licentiecompliance van FOSSA (licentiedetectie op volledige tekst, extractie van copyrightgegevens en attributievermeldingen), de add-ons voor snippet- en binaire scans, en het SBOM Portal.

Hoe verhouden de prijzen van CRACI zich tot die van FOSSA?

Per september 2026 heeft FOSSA een Free-plan voor 5 projecten en 5 geïmporteerde SBOM's, Business voor $20 per project per maand, jaarlijks gefactureerd, en Enterprise-prijzen op maat. CRACI rekent alleen buildminuten: $0.002 per vCPU-minuut ($0.004 voor een standaardrunner met 2 vCPU), per seconde gemeten, zonder maandbedrag en zonder kosten per SBOM. Zie prijzen voor de actuele voorwaarden.

Welke SBOM-formaten ondersteunen FOSSA en CRACI?

Beide exporteren SPDX en CycloneDX. FOSSA kan VDR- of VEX-verklaringen aan zijn SBOM's toevoegen. CRACI exporteert de SBOM van elke build met transitieve afhankelijkheden en de gedeclareerde licentie van elk component, vermeldt per job en per cache hoe volledig de vastlegging was, en ondersteunt VEX.

Kan CRACI SBOM's van leveranciers volgen zoals FOSSA?

Ja. U kunt SBOM's van leveranciers aan CRACI toevoegen, en die ingekochte componenten worden naast de software die u bouwt gemonitord. FOSSA importeert SPDX- en CycloneDX-bestanden en kan er SBOM-beleid op toepassen, zoals het vereisen van de minimumelementen van NTIA en FDA.

Welke CI-systemen ondersteunen FOSSA en CRACI?

De FOSSA CLI draait binnen uw CI en integreert met meer dan 20 buildsystemen. CRACI is vandaag een runner voor GitHub Actions; andere CI-systemen staan op de roadmap, waaronder GitLab CI en Jenkins.

Helpt CRACI bij de Cyber Resilience Act?

Ja. CRACI legt de volledige set afhankelijkheden vast die elke build heeft gebruikt, niet alleen de afhankelijkheden op het hoogste niveau, levert SBOM's, netwerktraces en herkomstgegevens via de API, en dient namens u CRA-kwetsbaarheidsmeldingen in. Het automatiseert een aanzienlijk deel van het inzicht in de keten en het bewijs dat uw CRA-proces nodig heeft; geen van beide producten maakt een fabrikant op eigen kracht compliant. Boek een demo om de SBOM van CRACI te vergelijken met die u vandaag beheert.