CRACI vs. FOSSA

Det korte svaret

FOSSA er sterkest på lisenssamsvar for åpen kildekode og forvaltning av SBOM-livssyklusen: generering av SBOM-er for applikasjoner, import av SBOM-er fra tredjeparter, overvåking av dem for sårbarheter og deling med kunder og myndigheter. CRACI er en GitHub Actions-runner som registrerer avhengighetene hver jobb faktisk hentet, og produserer SBOM-en fra den registreringen, med en fullstendighetsstatus.

FOSSA forvalter SBOM-ene du gir det. CRACI produserer en fra bygget og fortsetter å overvåke den, så for din egen programvare ligger CI, SBOM og sårbarhetssporing på ett sted. Der lisenssamsvar er hovedbekymringen, ligger FOSSA fortsatt foran.

Kort oppsummert

Hva FOSSA gjør bra

• Lisenssamsvar. Det var her FOSSA begynte, og det merkes. Det oppdager lisenser fra fulltekst, bruker policyer automatisk, henter ut informasjon om opphavsrett og genererer attribusjonsnotiser i SPDX, HTML og tekst. Juridiske team og utviklingsteam kan arbeide ut fra de samme dataene.
• SBOM-livssyklus. FOSSA "produces and consumes SBOMs." Det genererer SBOM-er i SPDX og CycloneDX, eventuelt med VDR- eller VEX-erklæringer, og importerer eksisterende SBOM-er for å "analyze dependencies you don't build yourself." SBOM-policyer kan kreve minimumselementene fra NTIA og FDA i importerte filer.
• Distribusjon. På Enterprise deler SBOM Portal SBOM-data med partnere eller offentlig, så du slipper å sende filer til kunder på e-post.
• Bred skanning. FOSSA CLI integreres med mer enn 20 byggesystemer, og containerskanning er inkludert. Skanning av snippets og binærfiler er tilgjengelig som tillegg.
• En gratis inngang. Free-planen dekker 5 prosjekter og 5 importerte SBOM-er. Business koster $20 per prosjekt per måned, fakturert årlig, og Enterprise er tilpasset (per september 2026).

Hvis hovedproblemet ditt er lisensrisiko, eller forvaltning av SBOM-er som kommer fra mange leverandører, dekker FOSSA områder CRACI ikke dekker. CRACI viser deklarerte lisensmetadata, tar dem med i SBOM-eksporten og håndhever lisenspolicy.

Der CRACI skiller seg ut

SBOM-en kommer fra det bygget gjorde

FOSSA CLI analyserer et prosjekt ved å integrere med byggeverktøyet når et fungerende bygg er tilgjengelig, og ved å utlede avhengigheter fra kildekoden når det ikke er det. Det er en solid tilnærming, og det er fortsatt analyse av prosjektet. CRACI kjører i stedet jobben. Du endrer runs-on til craci, og en pakkebevisst proxy registrerer trafikk til pakkekilder under bygget: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder, pluss forhåndsinnstillinger for nedlastinger. Dokumentasjonen av avhengigheter følger med CI-cacher, så en pakke gjenopprettet fra en cache fortsatt er med i registreringen, inkludert alle transitive avhengigheter bygget brukte.

Metoden betyr noe fordi SBOM-generatorer er uenige, og de er uenige med vilje. Hver av dem avgjør selv hva som teller som en komponent, og hvilke filer den skal stole på, så to av dem pekt mot samme repository gir to overlappende, men forskjellige lister. Verken FOSSA eller CRACI kan sammenlignes på de premissene, siden CRACI registrerer bygg og ikke kan skanne en katalog. Poenget gjelder statisk analyse generelt: Svaret avhenger av verktøyet, innstillingene og filene som finnes.

Det sier fra når det er ufullstendig

FOSSAs SBOM-policyer sjekker at påkrevde felt finnes. CRACI legger til et annet signal: en fullstendighetsstatus per jobb og per cache (Complete, Complete with connections, Incomplete, Unavailable eller Not recorded) som sier om selve registreringen hadde et hull. Når en revisor spør hvordan du vet at en oversikt er fullstendig, er det svaret.

Kontroll og provenance

Fordi CRACI kjører jobben, håndhever det en egress-policy for nettverket: default deny eller default allow, med 24 innebygde forhåndsinnstillinger for programvarekilder og typede egendefinerte kilder, validert før jobben starter, og som blokkerer ved feil (fail closed). API-et returnerer SBOM-er, nettverksspor og provenance.

Overvåking

CRACI vurderer overvåkede SBOM-er kontinuerlig på nytt. FOSSAs fossabot arbeider med et annet problem: Den gjennomgår avhengighetsoppdateringer, også de fra Dependabot eller Renovate, for brytende endringer og konsekvenser.

En oversikt over hva som er rullet ut hvor

Inventarvisningen i CRACI viser nøyaktig hvilke programvareversjoner som er rullet ut til hvilke produkter, globalt. Når en ny sårbarhet dukker opp, kan du se hvilke produkter som kjører den berørte versjonen, i stedet for å pusle det sammen fra utgivelsesnotater og regneark.

Erstatte FOSSA med CRACI

For programvaren du bygger selv, dekker CRACI det FOSSAs SBOM- og sårbarhetsfunksjoner gjør, fra kilden. Det kjører GitHub Actions-jobbene dine, registrerer SBOM-en for hvert bygg, fortsetter å vurdere overvåkede SBOM-er på nytt når nye sårbarheter publiseres, samler funn på tvers av bygg og repositorier og lar sikkerhetsteam triagere dem og rute hvert av dem til teamet som eier rettingen. SBOM-er fra leverandører kan også legges til, så innkjøpte komponenter overvåkes side om side med dine egne bygg. Det er ikke noe separat CLI-steg å vedlikeholde.

Vær tydelig på hva du gir avkall på. FOSSAs lisenssamsvar er modent: policyer, fulltekstdeteksjon av lisenser, uthenting av opphavsrett og attribusjonsnotiser. CRACI eksporterer den deklarerte lisensen til hver komponent og håndhever lisenspolicy, inkludert blokkering av et bygg på grunn av en lisens; FOSSAs deteksjon og attribusjonsresultater går lenger. CRACI har heller ingen skanning av snippets eller binærfiler og ingen portal for SBOM-deling, og støtter bare GitHub Actions i dag, med GitLab CI og Jenkins på veikartet. Hvis lisenssamsvar er din første bekymring, bør du beholde FOSSA.

For Cyber Resilience Act

FOSSA publiserer veiledning om CRA. Selskapets sammendrag av SBOM-kravet: Produsenter utarbeider en SBOM i et vanlig brukt, maskinlesbart format som dekker "at the very least the top-level dependencies of the products", og deler den med markedstilsynsmyndigheter som en del av den tekniske dokumentasjonen. FOSSA posisjonerer import, generering, sårbarhetsanalyse og sikker deling med myndigheter som sin CRA-hjelp.

Toppnivåavhengigheter er minstekravet, ikke målet. En sårbarhet i en transitiv pakke er fortsatt i produktet ditt. CRAs rapporteringsplikter gjelder fra 11. september 2026, med et tidlig varsel innen 24 timer for en aktivt utnyttet sårbarhet, og hovedbestemmelsene gjelder fra 11. desember 2027. CRACI registrerer hele avhengighetssettet hvert bygg brukte, returnerer SBOM-er, nettverksspor og provenance gjennom API-et og eksporterer SBOM-er som CycloneDX eller SPDX, inkludert sårbarheter.

CRACI automatiserer en betydelig del av innsynet i programvareleverandørkjeden og dokumentasjonen som bedrifter trenger for sin bredere CRA-samsvarsprosess. Ingen av produktene gjør en produsent samsvarende alene. Se hva CRA krever og CRA-samsvar med CRACI.

CRACI og FOSSA: ofte stilte spørsmål

Å erstatte FOSSA, priser, SBOM-formater og CI-støtte

Er CRACI et alternativ til FOSSA?

Ja, for SBOM-er og sårbarhetsovervåking av programvaren du bygger. CRACI kjører GitHub Actions-jobbene dine, registrerer SBOM-en for hvert bygg, fortsetter å vurdere overvåkede SBOM-er på nytt og lar sikkerhetsteam triagere funn og rute dem til det ansvarlige teamet. FOSSA ligger fortsatt foran på lisenssamsvar for åpen kildekode, så hvis det er din første bekymring, bør du beholde FOSSA.

Erstatter CRACI FOSSA, eller fungerer de sammen?

For din egen programvare erstatter CRACI det: CI, SBOM og sårbarhetssporing ligger i ett produkt, uten noe separat CLI-steg å vedlikeholde. Det du gir avkall på, er FOSSAs modne lisenssamsvar (fulltekstdeteksjon av lisenser, uthenting av opphavsrett og attribusjonsnotiser), tilleggene for skanning av snippets og binærfiler og SBOM Portal.

Hvordan er CRACIs priser sammenlignet med FOSSAs?

Per september 2026 har FOSSA en Free-plan som dekker 5 prosjekter og 5 importerte SBOM-er, Business til $20 per prosjekt per måned fakturert årlig og tilpasset Enterprise-pris. CRACI tar bare betalt for byggeminutter: $0.002 per vCPU-minutt ($0.004 for en standard runner med 2 vCPU), målt per sekund, uten månedsavgift og uten betaling per SBOM. Se priser for gjeldende vilkår.

Hvilke SBOM-formater støtter FOSSA og CRACI?

Begge eksporterer SPDX og CycloneDX. FOSSA kan legge til VDR- eller VEX-erklæringer i SBOM-ene sine. CRACI eksporterer SBOM-en for hvert bygg med transitive avhengigheter og den deklarerte lisensen til hver komponent, angir hvor fullstendig registreringen var per jobb og per cache, og støtter VEX.

Kan CRACI spore SBOM-er fra leverandører slik FOSSA gjør?

Ja. Du kan legge til SBOM-er fra leverandører i CRACI, og de innkjøpte komponentene overvåkes side om side med programvaren du bygger. FOSSA importerer SPDX- og CycloneDX-filer og kan bruke SBOM-policyer på dem, for eksempel krav om minimumselementene fra NTIA og FDA.

Hvilke CI-systemer støtter FOSSA og CRACI?

FOSSA CLI kjører inne i CI-en din og integreres med mer enn 20 byggesystemer. CRACI er en runner for GitHub Actions i dag; andre CI-systemer står på veikartet, blant dem GitLab CI og Jenkins.

Hjelper CRACI med Cyber Resilience Act?

Ja. CRACI registrerer hele avhengighetssettet hvert bygg brukte, ikke bare toppnivåavhengigheter, returnerer SBOM-er, nettverksspor og provenance gjennom API-et og sender inn CRA-varsler om sårbarheter på dine vegne. Det automatiserer en betydelig del av innsynet i leverandørkjeden og dokumentasjonen CRA-prosessen din trenger; ingen av produktene gjør en produsent samsvarende alene. Book en demo for å sammenligne CRACIs SBOM med den du forvalter i dag.