CRACI vs FOSSA

Krótka odpowiedź

Największą siłą FOSSA jest zgodność licencyjna open source i zarządzanie cyklem życia SBOM: generowanie SBOM-ów aplikacji, importowanie zewnętrznych SBOM-ów, monitorowanie ich pod kątem podatności i udostępnianie klientom oraz organom. CRACI to runner GitHub Actions, który rejestruje zależności faktycznie pobrane przez każde zadanie i tworzy z tego zapisu SBOM ze stanem kompletności.

FOSSA zarządza SBOM-ami, które Państwo jej przekażą. CRACI tworzy SBOM z buildu i nadal go monitoruje, więc w przypadku Państwa własnego oprogramowania CI, SBOM i śledzenie podatności znajdują się w jednym miejscu. Tam, gdzie głównym priorytetem jest zgodność licencyjna, FOSSA nadal jest na czele.

W skrócie

Co FOSSA robi dobrze

• Zgodność licencyjna. Od tego FOSSA zaczęła i to widać. Wykrywa licencje z pełnego tekstu, automatycznie stosuje polityki, wyodrębnia informacje o prawach autorskich i generuje informacje o atrybucji w formatach SPDX, HTML i tekstowym. Zespoły prawne i inżynieryjne mogą pracować na tych samych danych.
• Cykl życia SBOM. FOSSA "produces and consumes SBOMs." Generuje SBOM-y w formatach SPDX i CycloneDX, opcjonalnie z oświadczeniami VDR lub VEX, i importuje istniejące SBOM-y, aby "analyze dependencies you don't build yourself." Polityki SBOM mogą wymagać minimalnych elementów NTIA i FDA w importowanych plikach.
• Dystrybucja. W planie Enterprise SBOM Portal udostępnia dane SBOM partnerom lub publicznie, dzięki czemu nie trzeba wysyłać plików do klientów e-mailem.
• Szerokie skanowanie. FOSSA CLI integruje się z ponad 20 systemami buildu, a skanowanie kontenerów jest wliczone. Skanowanie fragmentów kodu i plików binarnych jest dostępne jako dodatki.
• Bezpłatny start. Plan Free obejmuje 5 projektów i 5 importowanych SBOM-ów. Business kosztuje $20 za projekt miesięcznie przy rozliczeniu rocznym, a Enterprise jest wyceniany indywidualnie (stan na wrzesień 2026).

Jeśli Państwa głównym problemem jest ryzyko licencyjne lub zarządzanie SBOM-ami napływającymi od wielu dostawców, FOSSA obejmuje obszar, którego CRACI nie obejmuje. CRACI pokazuje metadane deklarowanych licencji, uwzględnia je w eksporcie SBOM i egzekwuje politykę licencyjną.

Czym różni się CRACI

SBOM powstaje z tego, co zrobił build

FOSSA CLI analizuje projekt, integrując się z jego narzędziem buildu, gdy dostępny jest działający build, a gdy go nie ma, wnioskuje o zależnościach z kodu źródłowego. To solidne podejście, ale nadal jest to analiza projektu. CRACI zamiast tego uruchamia zadanie. Wystarczy zmienić runs-on na craci, a proxy rozpoznające pakiety rejestruje ruch do źródeł pakietów podczas buildu: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk i źródeł Git, a także presety pobierania. Dowody zależności są przenoszone razem z cache CI, więc pakiet przywrócony z cache nadal jest w zapisie, łącznie ze wszystkimi zależnościami przechodnimi użytymi przez build.

Metoda ma znaczenie, ponieważ generatory SBOM różnią się w wynikach i dzieje się to z założenia. Każdy sam decyduje, co uznać za komponent i którym plikom ufać, więc skierowanie dwóch z nich na jedno repozytorium daje dwie częściowo pokrywające się, ale różne listy. Ani FOSSA, ani CRACI nie można porównać na tych zasadach, ponieważ CRACI rejestruje buildy i nie może skanować katalogu. Chodzi o analizę statyczną w ogóle: odpowiedź zależy od narzędzia, jego ustawień i obecnych plików.

Informuje, gdy zapis jest niekompletny

Polityki SBOM w FOSSA sprawdzają, czy wymagane pola są obecne. CRACI dodaje inny sygnał: stan kompletności dla każdego zadania i każdego cache (Complete, Complete with connections, Incomplete, Unavailable lub Not recorded), który mówi, czy w samym zapisie była luka. Gdy audytor zapyta, skąd Państwo wiedzą, że inwentarz jest kompletny, to jest właśnie odpowiedź.

Kontrola i pochodzenie

Ponieważ CRACI uruchamia zadanie, egzekwuje politykę ruchu wychodzącego w sieci: domyślna odmowa lub domyślne zezwolenie, z 24 wbudowanymi presetami źródeł oprogramowania i typowanymi źródłami niestandardowymi, weryfikacją przed startem zadania i blokowaniem ruchu w razie błędu. API zwraca SBOM-y, ślady sieciowe i dane o pochodzeniu.

Monitorowanie

CRACI stale ponownie ocenia monitorowane SBOM-y. Fossabot od FOSSA zajmuje się innym problemem: sprawdza aktualizacje zależności, w tym te z Dependabot lub Renovate, pod kątem zmian łamiących zgodność i ich wpływu.

Inwentarz tego, co jest gdzie wdrożone

Widok inwentarza CRACI pokazuje dokładnie, które wersje oprogramowania są wdrożone w których produktach, na całym świecie. Gdy pojawia się nowa podatność, widzą Państwo, które produkty działają na podatnej wersji, zamiast składać to z informacji o wydaniach i arkuszy kalkulacyjnych.

Zastąpienie FOSSA przez CRACI

W przypadku oprogramowania budowanego przez Państwa CRACI obejmuje to, co robią funkcje SBOM i podatności FOSSA, u samego źródła. Uruchamia Państwa zadania GitHub Actions, rejestruje SBOM każdego buildu, nadal ponownie ocenia monitorowane SBOM-y w miarę publikowania nowych podatności, agreguje znaleziska z wielu buildów i repozytoriów oraz pozwala zespołom bezpieczeństwa wykonywać ich triage i przekazywać każde z nich zespołowi odpowiedzialnemu za poprawkę. Można też dodawać SBOM-y dostawców, dzięki czemu kupowane komponenty są monitorowane obok Państwa własnych buildów. Nie ma osobnego kroku CLI do utrzymania.

Warto jasno powiedzieć, z czego Państwo rezygnują. Zgodność licencyjna FOSSA jest dojrzała: polityki, wykrywanie licencji z pełnego tekstu, wyodrębnianie praw autorskich i informacje o atrybucji. CRACI eksportuje deklarowaną licencję każdego komponentu i egzekwuje politykę licencyjną, w tym blokowanie buildu z powodu licencji; wykrywanie i atrybucja w FOSSA idą dalej. CRACI nie ma też skanowania fragmentów kodu i plików binarnych ani portalu do udostępniania SBOM i obsługuje dziś tylko GitHub Actions, a GitLab CI i Jenkins są w planach rozwoju. Jeśli zgodność licencyjna jest Państwa głównym priorytetem, warto zachować FOSSA.

Cyber Resilience Act

FOSSA publikuje wskazówki dotyczące CRA. Tak streszcza wymóg SBOM: producenci sporządzają SBOM w powszechnie używanym formacie czytelnym maszynowo, obejmujący "at the very least the top-level dependencies of the products," i udostępniają go organom nadzoru rynku w ramach dokumentacji technicznej. FOSSA przedstawia jako swoją pomoc w CRA import, generowanie, analizę podatności i bezpieczne udostępnianie organom.

Zależności najwyższego poziomu to minimum, a nie cel. Podatność w pakiecie przechodnim nadal jest w Państwa produkcie. Obowiązki zgłoszeniowe CRA mają zastosowanie od 11 września 2026 r., z wczesnym ostrzeżeniem w ciągu 24 godzin w przypadku aktywnie wykorzystywanej podatności, a główne przepisy CRA obowiązują od 11 grudnia 2027 r. CRACI rejestruje pełny zestaw zależności użytych przez każdy build, zwraca SBOM-y, ślady sieciowe i dane o pochodzeniu przez swoje API i eksportuje SBOM-y w formacie CycloneDX lub SPDX, łącznie z podatnościami.

CRACI automatyzuje znaczną część widoczności łańcucha dostaw oprogramowania i dowodów, których firmy potrzebują w szerszym procesie zgodności z CRA. Żaden z tych produktów sam nie zapewnia producentowi zgodności. Zob. czego wymaga CRA oraz zgodność z CRA dzięki CRACI.

CRACI i FOSSA: najczęściej zadawane pytania

Zastąpienie FOSSA, ceny, formaty SBOM i obsługa CI

Czy CRACI to alternatywa dla FOSSA?

Tak, w zakresie SBOM-ów i monitorowania podatności budowanego przez Państwa oprogramowania. CRACI uruchamia Państwa zadania GitHub Actions, rejestruje SBOM każdego buildu, nadal ponownie ocenia monitorowane SBOM-y i pozwala zespołom bezpieczeństwa wykonywać triage znalezisk oraz przekazywać je zespołowi odpowiedzialnemu. FOSSA pozostaje na czele w zgodności licencyjnej open source, więc jeśli to Państwa główny priorytet, warto zachować FOSSA.

Czy CRACI zastępuje FOSSA, czy działa obok niej?

W przypadku Państwa własnego oprogramowania CRACI ją zastępuje: CI, SBOM i śledzenie podatności znajdują się w jednym produkcie, bez osobnego kroku CLI do utrzymania. Rezygnują Państwo z dojrzałej zgodności licencyjnej FOSSA (wykrywanie licencji z pełnego tekstu, wyodrębnianie praw autorskich i informacje o atrybucji), dodatków do skanowania fragmentów kodu i plików binarnych oraz SBOM Portal.

Jak ceny CRACI wypadają na tle FOSSA?

Według stanu na wrzesień 2026 FOSSA ma plan Free obejmujący 5 projektów i 5 importowanych SBOM-ów, plan Business za $20 za projekt miesięcznie przy rozliczeniu rocznym oraz indywidualną wycenę planu Enterprise. CRACI pobiera opłaty tylko za minuty buildu: $0.002 za minutę vCPU ($0.004 za domyślny runner 2 vCPU), naliczane co sekundę, bez opłaty miesięcznej i bez opłat za SBOM. Aktualne warunki podaje strona cennika.

Jakie formaty SBOM obsługują FOSSA i CRACI?

Oba eksportują SPDX i CycloneDX. FOSSA może dodawać do swoich SBOM-ów oświadczenia VDR lub VEX. CRACI eksportuje SBOM każdego buildu z zależnościami przechodnimi i deklarowaną licencją każdego komponentu, określa kompletność zapisu dla każdego zadania i każdego cache oraz obsługuje VEX.

Czy CRACI może śledzić SBOM-y dostawców tak jak FOSSA?

Tak. Mogą Państwo dodawać do CRACI SBOM-y dostawców, a te kupowane komponenty są monitorowane obok budowanego przez Państwa oprogramowania. FOSSA importuje pliki SPDX i CycloneDX i może stosować do nich polityki SBOM, na przykład wymagać minimalnych elementów NTIA i FDA.

Jakie systemy CI obsługują FOSSA i CRACI?

FOSSA CLI działa wewnątrz Państwa CI i integruje się z ponad 20 systemami buildu. CRACI jest dziś runnerem dla GitHub Actions; inne systemy CI są w planach rozwoju, w tym GitLab CI i Jenkins.

Czy CRACI pomaga w spełnieniu wymagań Cyber Resilience Act?

Tak. CRACI rejestruje pełny zestaw zależności użytych przez każdy build, nie tylko zależności najwyższego poziomu, zwraca SBOM-y, ślady sieciowe i dane o pochodzeniu przez swoje API oraz składa zgłoszenia podatności wymagane przez CRA w Państwa imieniu. Automatyzuje znaczną część widoczności łańcucha dostaw i dowodów potrzebnych w Państwa procesie CRA; żaden z tych produktów sam nie zapewnia producentowi zgodności. Proszę umówić demo, aby porównać SBOM z CRACI z tym, którym zarządzają Państwo dziś.