Alternativas ao FOSSA

Somos nós que desenvolvemos o CRACI, por isso tenha isso em conta; descrevemos cada opção a partir da sua própria documentação e dizemos quando outra ferramenta se adequa melhor.

Porque é que as equipas procuram alternativas ao FOSSA

A conformidade de licenças é onde o FOSSA começou, e isso nota-se: deteção de licenças em texto integral, políticas automáticas, extração de direitos de autor e avisos de atribuição em SPDX, HTML e texto. Além disso, o FOSSA gera SBOM SPDX e CycloneDX, importa SBOM de fornecedores com políticas de elementos mínimos da NTIA e da FDA e partilha-as através de um SBOM Portal no plano Enterprise. A FOSSA CLI integra-se com mais de 20 sistemas de build, e existe um plano gratuito.

Ainda assim, as equipas comparam alternativas, normalmente por razões de âmbito e de adequação:

• Inspeção mais profunda do código. Análise de snippets, de assinaturas e de binários em grande escala, ou análise estática do seu próprio código na mesma suite.
• Uma plataforma centrada na segurança. A política de contentores, a alcançabilidade ou um sistema de registo de segurança do produto podem importar-lhe mais do que o trabalho com licenças.
• De onde vem a SBOM. A FOSSA CLI consulta a sua ferramenta de build quando há um build funcional disponível, e faz inferências a partir do código-fonte quando não há. Algumas equipas querem um registo do que o build obteve.
• Preços e alojamento. Os preços por projeto podem não se adequar, ou pode querer uma ferramenta gratuita e self-hosted.

O que procurar

• Profundidade nas licenças: licenças declaradas e não declaradas, políticas, avisos de atribuição.
• Como são produzidas as SBOM, e se a ferramenta lhe diz quando uma está incompleta.
• Receção de SBOM de fornecedores, VEX e partilha com clientes ou autoridades.
• Análise de snippets, de binários ou de firmware, se distribui código que não compilou a partir do código-fonte.
• Cobertura de CI, opções de alojamento e a forma como os preços escalam: por projeto, por programador ou sob orçamento.

As opções

1. CRACI (o nosso produto)

O CRACI é um runner de GitHub Actions que regista a SBOM durante a execução do build. Um proxy que reconhece pacotes capta o tráfego para as origens de pacotes, incluindo pacotes restaurados de caches de CI e todas as dependências transitivas que o build usou, e cada SBOM indica a sua completude por job e por cache. O CRACI aplica uma política de egress que falha em modo fechado e reavalia continuamente as SBOM monitorizadas. A vista de inventário do CRACI mostra exatamente que versões de software estão implementadas em que produtos, a nível global.

As licenças vêm do mesmo registo. Cada pacote registado indica a sua licença declarada, pelo que pode ver que dependências estão sob uma licença comercial ou de outro modo restritiva antes de distribuir, e as licenças copyleft são detetadas antes de chegarem ao produto. As regras de política de licenças podem bloquear um build com base numa licença.

Ideal para: equipas em GitHub Actions que precisam de mostrar a partir de que foi compilada cada versão, com as licenças declaradas e a política de licenças no mesmo registo. Considere se: as licenças declaradas cobrem o seu trabalho com licenças. O CRACI não faz análise de snippets nem de binários, e hoje suporta apenas GitHub Actions, com GitLab CI e Jenkins no roadmap. CRACI vs FOSSA

2. Black Duck

O Black Duck SCA combina a análise de gestores de pacotes com análise de assinaturas, deteção de snippets e análise de binários, pelo que encontra open source que ninguém declarou. A sua KnowledgeBase acompanha mais de 2.750 licenças, incluindo licenças não declaradas, texto integral e dados de direitos de autor. O Black Duck Binary Analysis examina executáveis, contentores e firmware sem código-fonte, e o Coverity acrescenta SAST em 22 linguagens.

Ideal para: bases de código com open source copiado ou vendorizado, e equipas que verificam binários ou firmware de terceiros. Considere se: os preços sob orçamento lhe servem; não havia preços publicados em setembro de 2026. CRACI vs Black Duck

3. Sonatype

O Sonatype Lifecycle é o produto de SCA e de políticas do Sonatype. Inclui 18 políticas predefinidas, com políticas de licenças que abrangem mais de 2.000 licenças, e o seu Advanced Binary Fingerprinting examina a aplicação final, incluindo componentes renomeados ou modificados. O Repository Firewall trava os componentes que não cumprem as suas políticas antes de entrarem nos seus repositórios, e o SBOM Manager importa e monitoriza SBOM com um fluxo de trabalho VEX.

Ideal para: organizações que querem aplicar políticas de licenças e de segurança no repositório de pacotes, além da aplicação. Considere se: usa o Nexus ou outro gestor de repositórios. Os novos clientes compram o Sonatype Guide; o Firewall Pro começa nos $4,800 por ano (em setembro de 2026). CRACI vs Sonatype

4. Anchore Enterprise

O Anchore Enterprise assenta nos projetos open source Syft e Grype. Cria SBOM para contentores, código-fonte e sistemas de ficheiros, importa SBOM criadas noutros locais, volta a analisar continuamente as SBOM guardadas e aplica pacotes de políticas como FedRAMP e NIST. Pode ser self-hosted, incluindo em ambientes air-gapped.

Ideal para: ambientes com muitos contentores e governamentais. Considere se: a conformidade de licenças não é a sua principal necessidade; as fontes do Anchore que usámos focam-se na política de segurança. O preço é sob orçamento. CRACI vs Anchore

5. Cybeats SBOM Studio

O SBOM Studio é um sistema de registo de SBOM dos seus produtos e fornecedores. Suporta SPDX 2.2 a 3.0.1 e CycloneDX 1.2 a 1.7, valida ficheiros com um Quality Score, faz a correspondência contínua de componentes e acrescenta VEX e análise de licenças OSS e COTS. Partilha SBOM com os clientes, incluindo através da Transparency Exchange API.

Ideal para: equipas de segurança do produto que gerem um programa de SBOM em muitos produtos e fornecedores. Considere se: tem uma forma separada de gerar SBOM; o Cybeats remete para os fornecedores do seu Marketplace. CRACI vs Cybeats

6. Manifest

O Manifest cria, importa, enriquece e partilha SBOM dos seus produtos, do software dos seus fornecedores e dos seus modelos de IA. Os fornecedores carregam-nas através de um portal, e o Manifest pode gerar uma SBOM a partir de um binário compilado quando um fornecedor não a consegue fornecer. Suporta SPDX, CycloneDX e VEX, e transforma as conclusões em tickets e relatórios de risco.

Ideal para: organizações cuja principal exposição é o software que compram. Considere se: a conformidade de licenças é central; as fontes do Manifest que usámos focam-se na segurança e no risco de fornecedores. CRACI vs Manifest

7. Mend.io

O Mend SCA deteta licenças em dependências diretas e transitivas e aplica políticas, como bloquear AGPL em produtos comerciais. Acrescenta alcançabilidade baseada no grafo de chamadas, deteção de pacotes maliciosos, SBOM SPDX e CycloneDX, receção de SBOM de terceiros e VEX. O Mend SAST cobre mais de 30 linguagens, e o Mend Renovate mantém as dependências atualizadas.

Ideal para: equipas que querem política de licenças, análise de segurança e atualizações de dependências do mesmo fornecedor. Considere se: os preços por programador se adequam; o Mend AppSec está listado até $1,000 por programador contribuidor por ano (em setembro de 2026). CRACI vs Mend.io

8. Dependency-Track (open source)

O OWASP Dependency-Track é uma plataforma gratuita, sob Apache 2.0, que acompanha componentes em todo o seu portefólio, obtém dados de vulnerabilidades de fontes como a NVD e os GitHub Advisories e aplica políticas de segurança, de licenças e operacionais. Consome e produz CycloneDX VEX.

Ideal para: equipas que querem análise de SBOM self-hosted e política de licenças sem custo de licença. Considere se: está preparado para o operar e alimentar; analisa as SBOM que carrega e não as gera. CRACI para utilizadores do Dependency-Track

9. ScanCode Toolkit (open source)

O ScanCode Toolkit, do projeto AboutCode, deteta licenças, direitos de autor, manifestos de pacotes e dependências diretas em código-fonte e ficheiros binários. Escreve os resultados em JSON, YAML, HTML, CycloneDX ou SPDX. O toolkit está sob Apache-2.0.

Ideal para: equipas que querem deteção gratuita de licenças e de direitos de autor ao nível do ficheiro, que possam executar em qualquer lado. Considere se: consegue construir o fluxo de trabalho à sua volta. É um scanner, pelo que as políticas, a monitorização e os relatórios ficam a seu cargo.

10. OSS Review Toolkit (open source)

O OSS Review Toolkit (ORT) é um projeto da Linux Foundation, sob Apache 2.0, que automatiza as políticas de open source. O seu Analyzer resolve dependências em vários gestores de pacotes, o Downloader obtém o respetivo código-fonte, o Scanner executa scanners de licenças e de direitos de autor, o Advisor obtém avisos de segurança, o Evaluator aplica as suas regras de política e o Reporter produz relatórios, avisos de open source e SBOM.

Ideal para: equipas que querem um pipeline de conformidade de licenças gratuito e self-hosted, com políticas como código. Considere se: tem tempo de engenharia para o configurar e executar.

Lado a lado

"Anchore" refere-se ao Anchore Enterprise, e "Cybeats" ao SBOM Studio. O ScanCode e o ORT são toolkits que integra no seu próprio fluxo de trabalho, pelo que estão descritos acima e ficam fora da tabela. "Não indicado" significa que a funcionalidade não está descrita na documentação dos fornecedores, e não que não exista.

Quando ficar com o FOSSA

• A conformidade de licenças e os avisos de atribuição são a sua primeira preocupação, partilhada pelas equipas jurídica e de engenharia.
• Quer começar gratuitamente e pagar por projeto à medida que cresce.
• Partilha SBOM com parceiros ou com o público através do SBOM Portal do FOSSA.

Para saber mais sobre o registo de SBOM na origem, consulte geração de SBOM durante o build, evidências para o CRA e preços.

Alternativas ao FOSSA: perguntas frequentes

Respostas curtas às perguntas que as equipas fazem quando comparam

Qual é a melhor alternativa ao FOSSA?

Depende da lacuna. Para análise de snippets e de binários, veja o Black Duck. Para política de licenças no repositório de pacotes, veja o Sonatype. Para política de licenças com análise de segurança e atualizações de dependências, veja o Mend.io. Para programas de SBOM com vários fornecedores, veja o Cybeats ou o Manifest. Para ferramentas gratuitas, veja o ScanCode Toolkit, o ORT e o Dependency-Track. Se precisa de um registo do que cada build obteve, o CRACI regista-o a partir do próprio build.

Existe uma alternativa gratuita ao FOSSA?

Sim. O ScanCode Toolkit e o OSS Review Toolkit (ORT) são scanners de licenças gratuitos e open source, e o OWASP Dependency-Track é uma plataforma gratuita que aplica políticas de licenças às SBOM que carrega. O próprio FOSSA também tem um plano gratuito. As ferramentas gratuitas deixam o alojamento, a configuração e os relatórios a seu cargo.

Que alternativas ao FOSSA aplicam políticas de licenças?

O FOSSA, o Black Duck, o Sonatype, o Mend.io e o Dependency-Track aplicam todos políticas de licenças, e o ORT avalia regras de licenças escritas por si. O Mend.io, por exemplo, pode bloquear AGPL em produtos comerciais. No CRACI, cada pacote registado indica a sua licença declarada, pelo que as licenças copyleft são detetadas antes de chegarem ao produto, e uma regra de política de licenças pode bloquear o build.

O CRACI trata da conformidade de licenças?

Sim, para licenças declaradas. Cada pacote que o CRACI regista a partir do build indica a sua licença declarada, que é exportada na SBOM, e as regras de política de licenças podem bloquear um build com base numa licença. O CRACI não faz análise de snippets nem de binários, pelo que não encontra open source copiado para o seu código sem um pacote.

Em que difere o FOSSA do Black Duck?

O FOSSA começou na conformidade de licenças e acrescenta gestão de SBOM, com um plano gratuito e preços por projeto. O Black Duck é um portefólio AppSec mais alargado: SCA com análise de assinaturas, de snippets e de binários, uma KnowledgeBase com mais de 2.750 licenças e o Coverity SAST, vendido sob orçamento. O FOSSA oferece análise de snippets e de binários como add-ons.