123% meer gemelde CVE's per dag in 2026 dan vorig jaar.

SBOM-export en CRA-bewijs uit elke build

SBOM's vastgelegd tijdens de build, de vastlegging van de build via de API en kwetsbaarheidsdossiers tot en met de release met de fix: het bewijs waarop uw technische documentatie steunt

Build-time SBOM's in CycloneDX of SPDX

CRACI legt de SBOM vast terwijl elke build op zijn runner draait, dus de SBOM vermeldt de pakketten die de job daadwerkelijk heeft binnengehaald, inclusief pakketten die uit CI-caches zijn teruggezet. Elke SBOM wordt geëxporteerd als CycloneDX of SPDX, met transitieve afhankelijkheden, de kwetsbaarheden die in de componenten zijn gevonden en de gedeclareerde licentie van elk component. De SBOM van elke job heeft bovendien een volledigheidsstatus.

An SBOM recorded during the build Packages from npm, PyPI, Cargo, Go, OCI registries and the CI cache pass through a package-aware proxy on the CRACI runner. The job's SBOM lists what was fetched, states its completeness and exports as CycloneDX or SPDX. Package sources npm PyPI Cargo · Go OCI registries CI cache restore Package- aware proxy on the runner Job SBOM express 5.2.1 requests 2.32.3 serde 1.0.219 + transitive deps Declared license on every component Complete Completeness states per job and cache: Complete, Complete with connections, Incomplete, Unavailable, Not recorded CycloneDX · SPDX

SBOM's, netwerktraces en herkomstgegevens via de API

De openbare REST API levert de SBOM van een job, zijn netwerktrace en herkomstgegevens, zodat de vastlegging van de build kan doorstromen naar uw eigen documentatie en tools. De SBOM API levert CycloneDX 1.7 JSON.

Provenance data from every build Every job on CRACI records the packages it fetched and its network trace. The public REST API returns the job's SBOMs, network trace and provenance. Build release job on CRACI Recorded packages fetched network trace Provenance build data, via the API Ask the API about any job Job → SBOM, trace, provenance Returned by the API Job Packages CycloneDX SBOM Network trace Recorded on every CRACI job, no extra step

Kwetsbaarheidsdossiers van triage tot een release met de fix

Gemonitorde SBOM's worden opnieuw beoordeeld zodra nieuwe kwetsbaarheden worden gepubliceerd. Securityteams beoordelen elke bevinding en sturen die door naar het team dat verantwoordelijk is voor de oplossing, en CRACI houdt het dossier bij tot en met de release met de fix. De buildhistorie toont elke eerdere build met zijn SBOM, en welke builds de kwetsbare afhankelijkheid bevatten, direct of transitief, zodat u weet in welke periode u blootgesteld was.

Vulnerability tracking after release After a release ships, its SBOM stays monitored. When a new vulnerability is published, CRACI re-evaluates the monitored SBOMs, finds the affected releases, and the security team triages the finding and routes it to the team that owns the fix. The inventory view shows which software versions are deployed to which products. Release shipped SBOM monitored Later New advisory published Re-evaluated automatically Finding: critical, in 2 releases 1. Triage 2. Route to owner 3. Team fixes Policy gates can block a build on findings · VEX supported Inventory: deployed versions Product Version Web app v4.12.0 Mobile API v2.3.1

Policy gates die een bekend probleem buitenhouden

Policy gates kunnen een build in realtime stoppen op basis van bevindingen, waaronder builds die een specifieke CVE bevatten, en op basis van licenties. Elke build draait bovendien onder een egressbeleid dat op de runner wordt afgedwongen, wordt gevalideerd voordat de job start en fail-closed is, met meldingen bij overtredingen van het beleid.

Policy gates in CI Every build on CRACI records its SBOM, runs under an egress policy and records provenance data. Policy gates can block the build on findings or on a license, so issues are caught in CI before release. Pull request New dependencies, added by a developer or an AI agent Every change reaches the build the same way CRACI build SBOM recorded Egress enforced Provenance Every build, no extra step Policy gate Findings or licenses outside your policy Build blocked Or passes to release

Bewijs voor uw technische CRA-documentatie

Onder de Cyber Resilience Act stelt de fabrikant de technische documentatie op, voert hij de conformiteitsbeoordeling uit en stelt hij de EU-conformiteitsverklaring op. Die stappen voert CRACI niet uit. CRACI levert het bewijs dat uit de build voortkomt: SBOM's, dossiers over kwetsbaarheden en herstel, en herkomstgegevens. Daarnaast dient CRACI namens u de CRA-meldingen over kwetsbaarheden in: de vroegtijdige waarschuwing, de melding en het eindverslag.

CRA obligations and the evidence for them The CRA obligations that touch the software supply chain, such as the SBOM, vulnerability handling, reporting, due diligence and technical documentation, are where CRACI provides evidence. The risk assessment and the conformity assessment stay with the manufacturer. Obligation CRACI evidence Software bill of materials Yes Vulnerability handling Yes Reporting exploited vulnerabilities Submitted for you Due diligence on components Yes Technical documentation Evidence and exports Risk assessment, secure design Yours Conformity assessment, CE Yours CRACI automates a significant part of the supply chain visibility and evidence your CRA process needs

Bekijk het bewijs dat uw builds opleveren

Boek een demo en zie SBOM-export, de API en het volgen van kwetsbaarheden in CRACI

Demo boeken