CRACI vs. Socket Security

Det korte svaret

Socket Security er best kjent for å fange opp dårlige pakker med åpen kildekode før de kommer inn. Det analyserer pakkeoppførsel (installasjonsskript, nettverks- og filsystemtilgang, tilslørt kode, kjent skadevare, typosquats), sier fra i pull requesten, og Socket Firewall kan blokkere en ondsinnet pakke ved installasjon.

CRACI er en CI-runner for GitHub Actions. Jobbene dine kjører på den, og mens de kjører, registrerer den hver ekstern avhengighet de henter, håndhever en egress-policy for jobben og fortsetter å spore sårbarheter i det som ble levert. Socket spør om en pakke er trygg å bruke. CRACI registrerer hva et bygg brukte, og hvor det koblet seg til, og gjør det om til dokumentasjon for utgivelsen.

• Velg Socket for å stoppe ondsinnede og risikable pakker ved pull requesten og ved installasjon.
• Velg CRACI for SBOM-er fra bygget, provenance-data, egress-kontroll for bygget og sporing av sårbarheter i det du leverte, inkludert CRA-varsler om sårbarheter.
• De utfyller hverandre. Socket sjekker pakker på vei inn; CRACI registrerer og begrenser hva bygget gjorde med dem.

Oversikt

Hva Socket gjør bra

Socket for GitHub følger med på pull requests. Når en endring legger til en avhengighet, analyserer Socket pakkens oppførsel og kommenterer hvis den er en sikkerhetsrisiko. Sjekkene dekker installasjonsskript, telemetri, native kode, kjent skadevare, typosquats, protestware, tilslørt kode og bruk av privilegerte API-er som skall-, nettverks- og filsystemtilgang. Dette er en annen type signal enn et CVE-oppslag: Det kan flagge en pakke som er ondsinnet, men som ennå ikke har noen advisory.

Socket Firewall fungerer som en wrapper rundt en kommando i pakkebehandleren (sfw npm install) eller som en proxy mellom pakkebehandlere og registre. Den blokkerer ondsinnede pakker på alle nivåer, også transitive. Gratisversjonen krever ikke API-nøkkel og dekker npm, yarn, pnpm, pip, uv og cargo. Enterprise-versjonen legger til konfigurerbare policyer, private registre og flere økosystemer, blant annet Go, Maven, Gradle, RubyGems og NuGet.

Socket tilbyr også reachability-analyse på tre nivåer: reachability for avhengigheter, forhåndsberegnet reachability fra Team-planen og full reachability for hele applikasjonen på Enterprise, som Socket sier kan flagge opptil 90 % av sårbarhetsvarslene som irrelevante. Det oppdager manifester på tvers av JavaScript, Python, Java, Go, Ruby, Rust, .NET, PHP og Swift, og CLI-en kjører i GitHub Actions, GitLab, Bitbucket, Jenkins og Azure DevOps. CRACI analyserer ikke pakkeoppførsel, kommenterer ikke på pull requests, tilbyr ikke reachability-analyse og blokkerer ikke enkeltpakker i dag.

Priser for Socket, per september 2026

• Free: 1 000 skanninger per måned, opptil tre medlemmer, oppdagelse og blokkering av skadevare.
• Team: $25 per utvikler per måned, minimum fem utviklere. Legger til prioritetsscore, Slack-varsler og forhåndsberegnet reachability.
• Business: $50 per utvikler per måned, minimum 20 utviklere. Legger til SBOM-import og -eksport, compliance-integrasjoner, SSO og skanning av GitHub Actions.
• Enterprise: tilpasset pris. Legger til full reachability for hele applikasjonen og repository-integrasjoner for GitLab, Bitbucket og Azure DevOps.

Årlig fakturering sparer opptil 20 %, og Socket sier at det alltid vil være gratis for prosjekter med åpen kildekode. Socket priser per utvikler. CRACI tar bare betalt for byggeminutter, $0.002 per vCPU-minutt ($0.004 for en standard runner med 2 vCPU), uten månedsavgift og uten betaling per SBOM; se priser for CRACI.

Der CRACI skiller seg ut

Bygget er sannhetskilden

Socket leser manifestene og lockfilene et prosjekt deklarerer. CRACI observerer bygget mens det kjører. En pakkebevisst proxy på runneren ser trafikk til pakkekilder på tvers av npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder, pluss forhåndsinnstillinger for nedlastinger. Dokumentasjonen følger med CI-cacher, så en pakke gjenopprettet fra en cache likevel blir tatt med. Hver SBOM angir fullstendigheten per jobb og per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded.

En egress-policy for hele jobben

Socket Firewall avgjør om en pakkeinstallasjon slipper gjennom. Egress-policyen i CRACI avgjør hva jobben i det hele tatt kan nå: default deny eller default allow, med 24 innebygde forhåndsinnstillinger for programvarekilder og typede egendefinerte kilder for npm, PyPI, apt, apk, Go-proxyen, Nix, Cargo, OCI-registre og Git. Policyer valideres før jobben starter, og blokkerer ved feil (fail closed), og CRACI kan varsle deg ved et brudd. Et ondsinnet installasjonsskript som prøver å ringe hjem, er like mye et nettverksproblem som et pakkeproblem. De to kontrollene dekker ulike deler av det.

Provenance og sårbarhetssporing

API-et returnerer SBOM-er, nettverksspor og provenance. CRACI signerer ikke provenance. CRACI samler sårbarheter på tvers av bygg og repositorier, fortsetter å vurdere overvåkede SBOM-er på nytt og lar sikkerhetsteam triagere funn og sende dem til teamene som eier rettingen. SBOM-er fra leverandører overvåkes ved siden av dine egne bygg, og SBOM-er eksporteres som CycloneDX eller SPDX.

En oversikt over hva som er rullet ut hvor

Inventarvisningen i CRACI viser nøyaktig hvilke programvareversjoner som er rullet ut til hvilke produkter, globalt. Når en ny sårbarhet dukker opp, kan du se hvilke produkter som kjører den berørte versjonen, i stedet for å pusle det sammen fra utgivelsesnotater og regneark.

En merknad om den gratis SBOM-kommandoen til Socket

Socket CLI tilbyr socket manifest cdxgen, en gratis lokal SBOM-kommando som ikke krever konto. Socket dokumenterer at denne kommandoen sender kallet videre til cdxgen med endrede standardverdier: en pre-build-livssyklus som hopper over installasjon av avhengigheter, og JavaScript som standard prosjekttype. Disse standardverdiene avgjør hva den kan finne, og på et repositorium uten lockfile, som expressjs/express, er det ingenting å løse.

Det beskriver én gratis lokal wrapper, ikke kjerneproduktet til Socket eller SBOM-eksporten på serversiden.

Hvilken som passer

• Du vil stoppe ondsinnede pakker i døren: Socket, med sjekkene på pull requests og Socket Firewall.
• Du vil ha færre irrelevante CVE-varsler gjennom reachability: Socket, på Team eller Enterprise. CRACI tilbyr ikke reachability-analyse.
• Du trenger dokumentasjon på hva som gikk inn i hver utgivelse: CRACI registrerer det fra bygget og knytter det til artefakten.
• Du vil ha bygg som ikke kan nå uventede verter: Egress-policyen i CRACI.
• Du leverer produkter under Cyber Resilience Act: CRACI sporer sårbarheter i det du leverte, og sender CRA-varslene om sårbarheter på dine vegne.
• Du kjører GitLab, Jenkins eller Azure DevOps: Socket støtter dem i dag. CRACI støtter bare GitHub Actions i dag, med GitLab CI og Jenkins på veikartet.

For Cyber Resilience Act

Å holde ondsinnede og risikable komponenter ute av et produkt hjelper en produsent med å oppfylle sikkerhetspliktene sine, og Socket er bygget for det. CRACI automatiserer en betydelig del av innsynet i programvareleverandørkjeden og dokumentasjonen som bedrifter trenger for sin bredere CRA-samsvarsprosess: SBOM-er fra bygget med angitt fullstendighet, provenance-data, kontinuerlig sårbarhetssporing og CRA-varsler om sårbarheter sendt på dine vegne. Ingen av verktøyene gjør et produkt samsvarende på egen hånd. Se hva CRA er og CRA-samsvar.

Slik bruker du CRACI sammen med Socket

CRACI erstatter runneren, ikke GitHub Actions: Kjøringer vises fortsatt i GitHub, og Socket fortsetter å sjekke pull requestene dine. Socket sjekker pakker før de legges til og mens de installeres; CRACI registrerer hva hvert bygg hentet, begrenser hvor det kan koble seg til, og fortsetter å spore sårbarheter i det som ble levert. Les mer om SBOM-generering under bygget og sårbarhetssporing.

Vurderer du også andre verktøy for pakkesikkerhet? Se Socket-alternativer.

Socket Security og CRACI: ofte stilte spørsmål

Priser, SBOM-er og hvor hvert verktøy passer

Hva er Socket Security?

Socket (socket.dev) er en plattform for sikkerhet i programvareleverandørkjeden for avhengigheter med åpen kildekode. Den analyserer hva pakker faktisk gjør, for eksempel installasjonsskript, nettverks- og filsystemtilgang, tilslørt kode, kjent skadevare og typosquats, og flagger eller blokkerer risikable pakker i pull requests, i CI og, med Socket Firewall, ved installasjon.

Er Socket Security gratis?

Socket har en gratisplan med 1 000 skanninger per måned og opptil tre medlemmer, og Socket sier at det alltid vil være gratis for prosjekter med åpen kildekode. Socket Firewall har også en gratisversjon som ikke krever API-nøkkel og dekker npm, yarn, pnpm, pip, uv og cargo. Betalte planer legger til reachability, SBOM-eksport og flere integrasjoner.

Hva koster Socket?

Per september 2026 oppgir prissiden til Socket Team til $25 per utvikler per måned (minimum fem utviklere), Business til $50 per utvikler per måned (minimum 20) og tilpasset pris for Enterprise, med opptil 20 % rabatt ved årlig fakturering. SBOM-eksport starter på Business, og repository-integrasjoner for GitLab, Bitbucket og Azure DevOps er på Enterprise.

Genererer Socket SBOM-er?

Ja. SBOM-import og -eksport finnes på Business-planen til Socket og høyere, og API-et for CycloneDX-eksport er merket beta. Socket bygger SBOM-en fra manifestene og lockfilene den oppdager. CRACI registrerer SBOM-en mens bygget kjører, fra pakkene jobben faktisk hentet, og angir om registreringen for hver jobb er fullstendig.

Oppdager CRACI ondsinnede pakker slik Socket gjør?

Ikke slik Socket gjør. CRACI flagger en ondsinnet utgivelse når den har en publisert CVE, som enhver annen sårbarhet, men det analyserer ikke pakkeoppførsel og gir ikke pakker score, så en ny ondsinnet pakke forblir uflagget til det finnes en advisory. Det kontrollerer hva et bygg kan koble seg til, med en egress-policy på runner-nivå som blokkerer ved feil (fail closed), registrerer hver pakke bygget hentet, og fortsetter å vurdere det som ble levert, på nytt mot sårbarhetsdata. Blokkeringslister for pakker for hele organisasjonen står på veikartet.

Er CRACI et alternativ til Socket?

Ikke for å sjekke pakker før de legges til: Det er kjernejobben til Socket, og CRACI gjør det ikke. CRACI er valget når du trenger dokumentasjon på hva som gikk inn i hver utgivelse: SBOM-er fra bygget, provenance-data, en egress-policy for bygget, kontinuerlig sårbarhetssporing og CRA-varsler om sårbarheter. Team som er bekymret for ondsinnede pakker, kan kjøre Socket på pull requests og bygge på CRACI.

Hvilke CI-systemer støtter Socket og CRACI?

CLI-en til Socket kjører i GitHub Actions, GitLab, Bitbucket, Jenkins og Azure DevOps. CRACI er en runner for GitHub Actions i dag, med GitLab CI og Jenkins på veikartet.