O 123% więcej zgłoszonych CVE dziennie w 2026 niż przed rokiem.

Eksport SBOM i dowody zgodności z CRA z każdego buildu

SBOM-y rejestrowane w trakcie buildu, zapis buildu przez API i zapisy podatności aż do wydania z poprawką: dowody, na których opiera się Państwa dokumentacja techniczna

SBOM-y z czasu buildu w formacie CycloneDX lub SPDX

CRACI rejestruje SBOM w trakcie działania każdego buildu na jego runnerze, więc SBOM wymienia pakiety, które zadanie faktycznie pobrało, łącznie z pakietami przywróconymi z cache CI. Każdy SBOM można wyeksportować w formacie CycloneDX lub SPDX, z zależnościami przechodnimi, podatnościami znalezionymi w ich komponentach i deklarowaną licencją każdego komponentu. SBOM każdego zadania ma też stan kompletności.

An SBOM recorded during the build Packages from npm, PyPI, Cargo, Go, OCI registries and the CI cache pass through a package-aware proxy on the CRACI runner. The job's SBOM lists what was fetched, states its completeness and exports as CycloneDX or SPDX. Package sources npm PyPI Cargo · Go OCI registries CI cache restore Package- aware proxy on the runner Job SBOM express 5.2.1 requests 2.32.3 serde 1.0.219 + transitive deps Declared license on every component Complete Completeness states per job and cache: Complete, Complete with connections, Incomplete, Unavailable, Not recorded CycloneDX · SPDX

SBOM-y, ślady sieciowe i pochodzenie przez API

Publiczne REST API zwraca SBOM zadania, jego ślad sieciowy i dane o pochodzeniu, dzięki czemu zapis buildu może trafić do Państwa własnej dokumentacji i narzędzi. API SBOM zwraca CycloneDX 1.7 JSON.

Provenance data from every build Every job on CRACI records the packages it fetched and its network trace. The public REST API returns the job's SBOMs, network trace and provenance. Build release job on CRACI Recorded packages fetched network trace Provenance build data, via the API Ask the API about any job Job → SBOM, trace, provenance Returned by the API Job Packages CycloneDX SBOM Network trace Recorded on every CRACI job, no extra step

Zapis podatności od analizy do wydania z poprawką

Monitorowane SBOM-y są ponownie oceniane w miarę publikowania nowych podatności. Zespoły bezpieczeństwa analizują każde znalezisko i przekazują je zespołowi odpowiedzialnemu za poprawkę, a CRACI prowadzi zapis aż do wydania z poprawką. Historia buildów pokazuje każdy wcześniejszy build i jego SBOM oraz to, które buildy zawierały podatną zależność, bezpośrednią lub przechodnią, więc wiedzą Państwo, w jakim okresie byli narażeni.

Vulnerability tracking after release After a release ships, its SBOM stays monitored. When a new vulnerability is published, CRACI re-evaluates the monitored SBOMs, finds the affected releases, and the security team triages the finding and routes it to the team that owns the fix. The inventory view shows which software versions are deployed to which products. Release shipped SBOM monitored Later New advisory published Re-evaluated automatically Finding: critical, in 2 releases 1. Triage 2. Route to owner 3. Team fixes Policy gates can block a build on findings · VEX supported Inventory: deployed versions Product Version Web app v4.12.0 Mobile API v2.3.1

Bramki polityk, które zatrzymują znany problem

Bramki polityk mogą w czasie rzeczywistym zatrzymać build na podstawie znalezisk, w tym buildy zawierające konkretną CVE, oraz na podstawie licencji. Każdy build działa też w ramach polityki ruchu wychodzącego, egzekwowanej na runnerze, weryfikowanej przed startem zadania i blokującej ruch w razie awarii (fail closed), z alertami o naruszeniach polityki.

Policy gates in CI Every build on CRACI records its SBOM, runs under an egress policy and records provenance data. Policy gates can block the build on findings or on a license, so issues are caught in CI before release. Pull request New dependencies, added by a developer or an AI agent Every change reaches the build the same way CRACI build SBOM recorded Egress enforced Provenance Every build, no extra step Policy gate Findings or licenses outside your policy Build blocked Or passes to release

Dowody do dokumentacji technicznej wymaganej przez CRA

Zgodnie z Cyber Resilience Act to producent przygotowuje dokumentację techniczną, przeprowadza ocenę zgodności i sporządza deklarację zgodności UE. CRACI nie wykonuje tych kroków. Dostarcza dowody, które powstają w buildzie: SBOM-y, zapisy podatności i ich usuwania oraz dane o pochodzeniu. CRACI składa też w Państwa imieniu zgłoszenia podatności wymagane przez CRA: wczesne ostrzeżenie, zgłoszenie i raport końcowy.

CRA obligations and the evidence for them The CRA obligations that touch the software supply chain, such as the SBOM, vulnerability handling, reporting, due diligence and technical documentation, are where CRACI provides evidence. The risk assessment and the conformity assessment stay with the manufacturer. Obligation CRACI evidence Software bill of materials Yes Vulnerability handling Yes Reporting exploited vulnerabilities Submitted for you Due diligence on components Yes Technical documentation Evidence and exports Risk assessment, secure design Yours Conformity assessment, CE Yours CRACI automates a significant part of the supply chain visibility and evidence your CRA process needs

Dowody, które dostarczają Państwa buildy

Prosimy umówić demo, aby zobaczyć eksport SBOM, API i śledzenie podatności w CRACI

Umów demo