CRACI vs FOSSA

A resposta curta

O FOSSA é mais forte na conformidade de licenças open source e na gestão do ciclo de vida das SBOM: gerar SBOM de aplicações, importar SBOM de terceiros, monitorizá-las em busca de vulnerabilidades e partilhá-las com clientes e autoridades. O CRACI é um runner de GitHub Actions que regista as dependências que cada job realmente obteve e produz a SBOM a partir desse registo, com um estado de completude.

O FOSSA gere as SBOM que lhe entrega. O CRACI produz uma a partir do build e continua a monitorizá-la, pelo que, para o seu próprio software, a CI, a SBOM e o acompanhamento de vulnerabilidades ficam num só lugar. Onde a conformidade de licenças é a principal preocupação, o FOSSA continua à frente.

Visão geral

O que o FOSSA faz bem

• Conformidade de licenças. Foi aqui que o FOSSA começou, e nota-se. Deteta licenças a partir do texto integral, aplica políticas automaticamente, extrai informação de direitos de autor e gera avisos de atribuição em SPDX, HTML e texto. As equipas jurídicas e de engenharia podem trabalhar a partir dos mesmos dados.
• Ciclo de vida das SBOM. O FOSSA "produces and consumes SBOMs." Gera SBOM em SPDX e CycloneDX, opcionalmente com declarações VDR ou VEX, e importa SBOM existentes para "analyze dependencies you don't build yourself." As políticas de SBOM podem exigir os elementos mínimos da NTIA e da FDA nos ficheiros importados.
• Distribuição. No Enterprise, o SBOM Portal partilha dados de SBOM com parceiros ou publicamente, para que não tenha de enviar ficheiros por e-mail aos clientes.
• Análise abrangente. A FOSSA CLI integra-se com mais de 20 sistemas de build, e a análise de contentores está incluída. A análise de snippets e de binários está disponível como add-on.
• Uma porta de entrada gratuita. O plano Free cobre 5 projetos e 5 SBOM importadas. O Business custa $20 por projeto por mês, com faturação anual, e o Enterprise é personalizado (em setembro de 2026).

Se o seu principal problema é o risco de licenças, ou a gestão de SBOM que chegam de muitos fornecedores, o FOSSA cobre terreno que o CRACI não cobre. O CRACI mostra metadados de licenças declaradas, inclui-os na exportação de SBOM e aplica a política de licenças.

Onde o CRACI é diferente

A SBOM vem do que o build fez

A FOSSA CLI analisa um projeto integrando-se com a sua ferramenta de build quando há um build funcional disponível, e inferindo dependências a partir do código-fonte quando não há. É uma abordagem sólida, mas continua a ser uma análise do projeto. O CRACI, em vez disso, executa o job. Altera runs-on para craci, e um proxy que reconhece pacotes regista o tráfego para as fontes de pacotes durante o build: fontes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e Git, bem como predefinições de descarga. As evidências de dependências acompanham as caches de CI, pelo que um pacote restaurado de uma cache continua no registo, incluindo todas as dependências transitivas que o build usou.

O método importa porque os geradores de SBOM discordam, e discordam por conceção. Cada um decide por si o que conta como componente e em que ficheiros confiar, pelo que apontar dois deles ao mesmo repositório dá duas listas sobrepostas mas diferentes. Nem o FOSSA nem o CRACI podem ser comparados nesses termos, já que o CRACI regista builds e não consegue analisar um diretório. A questão diz respeito à análise estática em geral: a resposta depende da ferramenta, das suas definições e dos ficheiros presentes.

Indica quando está incompleta

As políticas de SBOM do FOSSA verificam se os campos obrigatórios estão presentes. O CRACI acrescenta um sinal diferente: um estado de completude por job e por cache (Complete, Complete with connections, Incomplete, Unavailable ou Not recorded) que diz se o próprio registo teve uma lacuna. Quando um auditor pergunta como sabe que um inventário está completo, essa é a resposta.

Controlo e proveniência

Como o CRACI executa o job, aplica uma política de egress de rede: negação ou permissão por defeito, com 24 predefinições integradas de fontes de software e fontes personalizadas tipadas, validada antes de o job arrancar e com falha em modo fechado. A API devolve SBOM, traços de rede e proveniência.

Monitorização

O CRACI reavalia continuamente as SBOM monitorizadas. O fossabot do FOSSA trabalha noutro problema: revê atualizações de dependências, incluindo as do Dependabot ou do Renovate, quanto a alterações incompatíveis e impacto.

Um inventário do que está implementado e onde

A vista de inventário do CRACI mostra exatamente que versões de software estão implementadas em que produtos, a nível global. Quando surge uma nova vulnerabilidade, pode ver que produtos executam a versão afetada, em vez de o reconstituir a partir de notas de lançamento e folhas de cálculo.

Substituir o FOSSA pelo CRACI

Para o software que constrói, o CRACI cobre o que fazem as funcionalidades de SBOM e de vulnerabilidades do FOSSA, a partir da origem. Executa os seus jobs de GitHub Actions, regista a SBOM de cada build, continua a reavaliar as SBOM monitorizadas à medida que são publicadas novas vulnerabilidades, agrega as conclusões de todos os builds e repositórios e permite às equipas de segurança fazer a triagem e encaminhar cada uma para a equipa responsável pela correção. Também é possível adicionar SBOM de fornecedores, para que os componentes comprados sejam monitorizados a par dos seus próprios builds. Não há um passo de CLI separado para manter.

Tenha bem presente aquilo de que abdica. A conformidade de licenças do FOSSA é madura: políticas, deteção de licenças por texto integral, extração de direitos de autor e avisos de atribuição. O CRACI exporta a licença declarada de cada componente e aplica a política de licenças, incluindo bloquear um build por uma licença; a deteção e a atribuição do FOSSA vão mais longe. O CRACI também não tem análise de snippets nem de binários, nem portal de partilha de SBOM, e suporta hoje apenas GitHub Actions, com GitLab CI e Jenkins no roadmap. Se a conformidade de licenças é a sua principal preocupação, mantenha o FOSSA.

Para o Cyber Resilience Act

O FOSSA publica orientações sobre o CRA. O seu resumo do requisito de SBOM: os fabricantes elaboram uma SBOM num formato de uso comum e legível por máquina que cubra "at the very least the top-level dependencies of the products", e partilham-na com as autoridades de fiscalização do mercado como parte da documentação técnica. O FOSSA posiciona a importação, a geração, a análise de vulnerabilidades e a partilha segura com as autoridades como a sua ajuda para o CRA.

As dependências de nível superior são o mínimo, não o objetivo. Uma vulnerabilidade num pacote transitivo continua no seu produto. As obrigações de reporte do CRA aplicam-se a partir de 11 de setembro de 2026, com um alerta precoce devido no prazo de 24 horas para uma vulnerabilidade ativamente explorada, e as suas principais disposições aplicam-se a partir de 11 de dezembro de 2027. O CRACI regista o conjunto completo de dependências que cada build usou, devolve SBOM, traços de rede e proveniência através da sua API e exporta SBOM em CycloneDX ou SPDX, incluindo vulnerabilidades.

O CRACI automatiza uma parte significativa da visibilidade e das evidências da cadeia de abastecimento de software de que as empresas precisam para o seu processo mais amplo de conformidade com o CRA. Nenhum dos produtos torna um fabricante conforme por si só. Consulte o que exige o CRA e a conformidade com o CRA com o CRACI.

CRACI e FOSSA: perguntas frequentes

Substituir o FOSSA, preços, formatos de SBOM e suporte de CI

O CRACI é uma alternativa ao FOSSA?

Sim, para as SBOM e a monitorização de vulnerabilidades do software que constrói. O CRACI executa os seus jobs de GitHub Actions, regista a SBOM de cada build, continua a reavaliar as SBOM monitorizadas e permite às equipas de segurança fazer a triagem das conclusões e encaminhá-las para a equipa responsável. O FOSSA mantém-se à frente na conformidade de licenças open source, por isso, se essa for a sua principal preocupação, mantenha o FOSSA.

O CRACI substitui o FOSSA ou funciona ao lado dele?

Para o seu próprio software, o CRACI substitui-o: a CI, a SBOM e o acompanhamento de vulnerabilidades ficam num só produto, sem um passo de CLI separado para manter. Abdica da conformidade de licenças madura do FOSSA (deteção de licenças por texto integral, extração de direitos de autor e avisos de atribuição), dos seus add-ons de análise de snippets e de binários e do seu SBOM Portal.

Como se comparam os preços do CRACI e do FOSSA?

Em setembro de 2026, o FOSSA tem um plano Free que cobre 5 projetos e 5 SBOM importadas, o Business a $20 por projeto por mês com faturação anual e preços Enterprise personalizados. O CRACI cobra apenas os minutos de build: $0.002 por vCPU-minuto ($0.004 para um runner predefinido de 2 vCPU), medido ao segundo, sem mensalidade e sem custo por SBOM. Consulte os preços para as condições atuais.

Que formatos de SBOM suportam o FOSSA e o CRACI?

Ambos exportam SPDX e CycloneDX. O FOSSA pode acrescentar declarações VDR ou VEX às suas SBOM. O CRACI exporta a SBOM de cada build com dependências transitivas e a licença declarada de cada componente, indica quão completo foi o registo por job e por cache, e suporta VEX.

O CRACI pode acompanhar SBOM de fornecedores como o FOSSA?

Sim. Pode adicionar SBOM de fornecedores ao CRACI, e esses componentes comprados são monitorizados a par do software que constrói. O FOSSA importa ficheiros SPDX e CycloneDX e pode aplicar-lhes políticas de SBOM, como exigir os elementos mínimos da NTIA e da FDA.

Que sistemas de CI suportam o FOSSA e o CRACI?

A FOSSA CLI corre dentro da sua CI e integra-se com mais de 20 sistemas de build. O CRACI é hoje um runner para GitHub Actions; outros sistemas de CI estão no roadmap, entre eles o GitLab CI e o Jenkins.

O CRACI ajuda com o Cyber Resilience Act?

Sim. O CRACI regista o conjunto completo de dependências que cada build usou, não apenas as de nível superior, devolve SBOM, traços de rede e proveniência através da sua API e submete as notificações de vulnerabilidades do CRA em seu nome. Automatiza uma parte significativa da visibilidade e das evidências da cadeia de abastecimento de que o seu processo de CRA precisa; nenhum dos produtos torna um fabricante conforme por si só. Marque uma demo para comparar a SBOM do CRACI com a que gere hoje.