123% flere rapporterte CVE-er per dag i 2026 enn i fjor.

SBOM-eksport og CRA-dokumentasjon fra hvert bygg

SBOM-er registrert under bygget, registreringen av bygget via API-et og sårbarhetsregistreringer helt fram til den rettede utgivelsen: underlaget den tekniske dokumentasjonen din bygger på

SBOM-er fra bygget i CycloneDX eller SPDX

CRACI registrerer SBOM-en mens hvert bygg kjører på runneren, så den viser pakkene jobben faktisk hentet inn, inkludert pakker gjenopprettet fra CI-cacher. Hver SBOM eksporteres som CycloneDX eller SPDX, med transitive avhengigheter, sårbarhetene som er funnet i komponentene, og hver komponents deklarerte lisens. Hver jobbs SBOM har også en fullstendighetsstatus.

An SBOM recorded during the build Packages from npm, PyPI, Cargo, Go, OCI registries and the CI cache pass through a package-aware proxy on the CRACI runner. The job's SBOM lists what was fetched, states its completeness and exports as CycloneDX or SPDX. Package sources npm PyPI Cargo · Go OCI registries CI cache restore Package- aware proxy on the runner Job SBOM express 5.2.1 requests 2.32.3 serde 1.0.219 + transitive deps Declared license on every component Complete Completeness states per job and cache: Complete, Complete with connections, Incomplete, Unavailable, Not recorded CycloneDX · SPDX

SBOM-er, nettverksspor og provenance via API-et

Det offentlige REST-API-et returnerer en jobbs SBOM, nettverkssporet og provenance-data, så registreringen av bygget kan flyte inn i din egen dokumentasjon og dine egne verktøy. SBOM-API-et returnerer CycloneDX 1.7 JSON.

Provenance data from every build Every job on CRACI records the packages it fetched and its network trace. The public REST API returns the job's SBOMs, network trace and provenance. Build release job on CRACI Recorded packages fetched network trace Provenance build data, via the API Ask the API about any job Job → SBOM, trace, provenance Returned by the API Job Packages CycloneDX SBOM Network trace Recorded on every CRACI job, no extra step

Sårbarhetsregistreringer fra triage til rettet utgivelse

Overvåkede SBOM-er vurderes på nytt etter hvert som nye sårbarheter publiseres. Sikkerhetsteam triagerer hvert funn og sender det til teamet som eier rettelsen, og CRACI fører registreringen helt fram til den rettede utgivelsen. Byggehistorikken viser hvert tidligere bygg og SBOM-en til det, og hvilke bygg som inneholdt den sårbare avhengigheten, direkte eller transitiv, så du vet i hvilken periode du var eksponert.

Vulnerability tracking after release After a release ships, its SBOM stays monitored. When a new vulnerability is published, CRACI re-evaluates the monitored SBOMs, finds the affected releases, and the security team triages the finding and routes it to the team that owns the fix. The inventory view shows which software versions are deployed to which products. Release shipped SBOM monitored Later New advisory published Re-evaluated automatically Finding: critical, in 2 releases 1. Triage 2. Route to owner 3. Team fixes Policy gates can block a build on findings · VEX supported Inventory: deployed versions Product Version Web app v4.12.0 Mobile API v2.3.1

Policy gates som holder et kjent problem ute

Policy gates kan stoppe et bygg i sanntid på grunn av funn, blant annet bygg som inneholder en bestemt CVE, og på grunn av lisenser. Hvert bygg kjører også under en egress-policy som håndheves på runneren, valideres før jobben starter, og blokkerer ved feil, med varsler ved brudd på policyen.

Policy gates in CI Every build on CRACI records its SBOM, runs under an egress policy and records provenance data. Policy gates can block the build on findings or on a license, so issues are caught in CI before release. Pull request New dependencies, added by a developer or an AI agent Every change reaches the build the same way CRACI build SBOM recorded Egress enforced Provenance Every build, no extra step Policy gate Findings or licenses outside your policy Build blocked Or passes to release

Underlag til den tekniske CRA-dokumentasjonen din

Etter Cyber Resilience Act utarbeider produsenten den tekniske dokumentasjonen, gjennomfører samsvarsvurderingen og utsteder EU-samsvarserklæringen. Det gjør ikke CRACI. CRACI leverer underlaget som kommer ut av bygget: SBOM-er, registreringer av sårbarheter og utbedring samt provenance-data. CRACI sender også inn CRA-sårbarhetsvarslene på dine vegne: det tidlige varselet, varslingen og sluttrapporten.

CRA obligations and the evidence for them The CRA obligations that touch the software supply chain, such as the SBOM, vulnerability handling, reporting, due diligence and technical documentation, are where CRACI provides evidence. The risk assessment and the conformity assessment stay with the manufacturer. Obligation CRACI evidence Software bill of materials Yes Vulnerability handling Yes Reporting exploited vulnerabilities Submitted for you Due diligence on components Yes Technical documentation Evidence and exports Risk assessment, secure design Yours Conformity assessment, CE Yours CRACI automates a significant part of the supply chain visibility and evidence your CRA process needs

Se dokumentasjonen byggene dine produserer

Book en demo, og se SBOM-eksport, API-et og sårbarhetssporing i CRACI

Book en demo