CycloneDX vs. SPDX

Det korte svaret

Bruk formatet kundene, myndighetene eller verktøyene dine ber om. Hvis ingen ber om noe, er CycloneDX det vanligste valget for sikkerhetsarbeid, fordi det har VEX innebygd, og SPDX det vanligste der lisensetterlevelse er hovedsaken. De fleste generatorer, også CRACI, kan produsere begge.

Side om side

CycloneDX

CycloneDX utvikles av OWASP Foundation og er standardisert av Ecma International som ECMA-424. Versjon 1.7 kom i oktober 2025. Formatet har sitt utspring i sikkerhet og risiko i leverandørkjeden og dekker mer enn programvare: SBOM-er, SaaSBOM-er for tjenester og HBOM-er for maskinvare. Det støtter VEX, så det samme formatet kan si om en sårbarhet berører et produkt. Det serialiseres som JSON, XML eller Protocol Buffers.

SPDX

SPDX er et prosjekt med åpen kildekode under Linux Foundation og anerkjent som den internasjonale standarden ISO/IEC 5962:2021. Formatet har sitt utspring i lisensetterlevelse, og lisensidentifikatorene brukes langt utenfor SBOM-er. SPDX 3.0, utgitt i april 2024, la til profiler for sikkerhet, bygg, datasett og AI.

Se: grunnleggende om SBOM

Fra foredraget vårt på KCD Helsinki: hva en SBOM registrerer, hvordan SPDX og CycloneDX skiller seg i praksis, og hva OpenVEX tilfører.

5:15

Hva myndighetene godtar

EUs Cyber Resilience Act ber om en SBOM i "a commonly used and machine-readable format" og nevner ikke noe bestemt. Tysklands BSI TR-03183-2, versjon 2.1.0, er mer spesifikk: CycloneDX 1.6 eller høyere, eller SPDX 3.0.1 eller høyere, i JSON eller XML. Se CRA-krav til SBOM.

Innholdet betyr mer enn formatet

Begge formatene kan inneholde en ufullstendig SBOM. Det som avgjør om en SBOM er nyttig, er om den lister opp alt som gikk inn i produktet, inkludert transitive avhengigheter. CRACI registrerer SBOM-en mens GitHub Actions-bygget ditt kjører, angir fullstendigheten per jobb og per cache og eksporterer den i CycloneDX eller SPDX. Se SBOM-generering under bygget.

CycloneDX vs. SPDX: ofte stilte spørsmål

Er CycloneDX eller SPDX best?

Ingen av dem er best generelt. CycloneDX vokste ut av sikkerhetsarbeid og har VEX innebygd; SPDX vokste ut av lisensetterlevelse og er en ISO-standard. De fleste verktøy kan produsere begge. Velg det kundene, myndighetene eller verktøyene dine ber om.

Hvilket SBOM-format krever EUs Cyber Resilience Act?

CRA ber om et alminnelig brukt, maskinlesbart format og nevner ikke noe bestemt. Tysklands BSI TR-03183-2 godtar CycloneDX 1.6 eller høyere og SPDX 3.0.1 eller høyere, i JSON eller XML.

Kan jeg konvertere mellom CycloneDX og SPDX?

Det finnes verktøy som konverterer begge veier, men formatene kan ikke overføres én til én, så en konvertering kan miste detaljer. Generer helst formatet du trenger, direkte.

Eksporterer CRACI CycloneDX eller SPDX?

Begge deler. CRACI registrerer SBOM-en mens GitHub Actions-bygget ditt kjører, og eksporterer den i CycloneDX eller SPDX, inkludert transitive avhengigheter og den deklarerte lisensen til hver komponent.