CRACI vs Socket Security

A resposta curta

O Socket Security é sobretudo conhecido por apanhar pacotes open source maliciosos antes de entrarem. Analisa o comportamento dos pacotes (scripts de instalação, acesso à rede e ao sistema de ficheiros, código ofuscado, malware conhecido, typosquats), informa-o no pull request, e o Socket Firewall pode bloquear um pacote malicioso no momento da instalação.

O CRACI é um runner de CI para GitHub Actions. Os seus jobs correm nele e, durante a execução, regista todas as dependências externas que obtêm, aplica uma política de egress ao job e continua a acompanhar as vulnerabilidades do que foi distribuído. O Socket pergunta se um pacote é seguro de usar. O CRACI regista o que um build usou e a que se ligou, e transforma isso em evidências de lançamento.

• Escolha o Socket para travar pacotes maliciosos e de risco no pull request e na instalação.
• Escolha o CRACI para SBOM do build, dados de proveniência, controlo de egress do build e acompanhamento de vulnerabilidades do que distribuiu, incluindo as notificações de vulnerabilidades do CRA.
• São complementares. O Socket avalia os pacotes que entram; o CRACI regista e limita o que o build fez com eles.

Visão geral

O que o Socket faz bem

O Socket for GitHub vigia os pull requests. Quando uma alteração acrescenta uma dependência, o Socket analisa o comportamento do pacote e comenta se representar um risco de segurança. As suas verificações cobrem scripts de instalação, telemetria, código nativo, malware conhecido, typosquats, protestware, código ofuscado e uso de API privilegiadas, como acesso à shell, à rede e ao sistema de ficheiros. É um sinal de natureza diferente de uma consulta de CVE: pode assinalar um pacote malicioso que ainda não tem aviso de segurança.

O Socket Firewall funciona como um wrapper de um comando do gestor de pacotes (sfw npm install) ou como um proxy entre gestores de pacotes e registos. Bloqueia pacotes maliciosos a qualquer profundidade, incluindo os transitivos. A versão gratuita não precisa de chave de API e cobre npm, yarn, pnpm, pip, uv e cargo. A versão Enterprise acrescenta políticas configuráveis, registos privados e mais ecossistemas, incluindo Go, Maven, Gradle, RubyGems e NuGet.

O Socket oferece também análise de alcançabilidade em três níveis: alcançabilidade de dependências, alcançabilidade pré-calculada a partir do plano Team e alcançabilidade completa da aplicação no Enterprise, que o Socket afirma poder assinalar até 90% dos alertas de vulnerabilidades como irrelevantes. Deteta manifestos em JavaScript, Python, Java, Go, Ruby, Rust, .NET, PHP e Swift, e a sua CLI corre em GitHub Actions, GitLab, Bitbucket, Jenkins e Azure DevOps. O CRACI não analisa o comportamento de pacotes, não comenta pull requests, não oferece análise de alcançabilidade e não bloqueia hoje pacotes individuais.

Preços do Socket, em setembro de 2026

• Free: 1.000 análises por mês, até três membros, deteção e bloqueio de malware.
• Team: $25 por programador por mês, mínimo de cinco programadores. Acrescenta pontuação de prioridade, alertas no Slack e alcançabilidade pré-calculada.
• Business: $50 por programador por mês, mínimo de 20 programadores. Acrescenta importação e exportação de SBOM, integrações de conformidade, SSO e análise de GitHub Actions.
• Enterprise: preço personalizado. Acrescenta alcançabilidade completa da aplicação e integrações com repositórios GitLab, Bitbucket e Azure DevOps.

Com a faturação anual, poupa até 20%, e o Socket afirma que será sempre gratuito para projetos open source. O Socket cobra por programador. O CRACI cobra apenas os minutos de build, $0.002 por vCPU-minuto ($0.004 para um runner predefinido de 2 vCPU), sem mensalidade nem custos por SBOM; consulte os preços do CRACI.

Onde o CRACI é diferente

O build é a fonte da verdade

O Socket lê os manifestos e lockfiles que um projeto declara. O CRACI observa o build enquanto corre. Um proxy que reconhece pacotes no runner vê o tráfego para fontes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e Git, além de predefinições de descarga. A evidência acompanha as caches de CI, pelo que um pacote restaurado de uma cache continua a ser contabilizado. Cada SBOM indica a sua completude por job e por cache: Complete, Complete with connections, Incomplete, Unavailable ou Not recorded.

Uma política de egress para todo o job

O Socket Firewall decide se a instalação de um pacote avança. A política de egress do CRACI decide o que o job pode sequer alcançar: negação ou permissão por defeito, com 24 predefinições integradas de fontes de software e fontes personalizadas tipadas para npm, PyPI, apt, apk, o proxy de Go, Nix, Cargo, registos OCI e Git. As políticas são validadas antes de o job arrancar e falham em modo fechado, e o CRACI pode alertá-lo em caso de violação. Um script de instalação malicioso que tenta comunicar com o exterior é tanto um problema de rede como um problema de pacotes. Os dois controlos cobrem partes diferentes do problema.

Proveniência e acompanhamento de vulnerabilidades

A API devolve SBOM, traços de rede e proveniência. O CRACI não assina a proveniência. O CRACI agrega vulnerabilidades de todos os builds e repositórios, continua a reavaliar as SBOM monitorizadas e permite às equipas de segurança fazer a triagem das conclusões e enviá-las às equipas responsáveis pela correção. As SBOM de fornecedores são monitorizadas a par dos seus próprios builds, e as SBOM são exportadas em CycloneDX ou SPDX.

Um inventário do que está implementado e onde

A vista de inventário do CRACI mostra exatamente que versões de software estão implementadas em que produtos, a nível global. Quando surge uma nova vulnerabilidade, pode ver que produtos executam a versão afetada, em vez de o reconstituir a partir de notas de lançamento e folhas de cálculo.

Uma nota sobre o comando gratuito de SBOM do Socket

A CLI do Socket oferece socket manifest cdxgen, um comando local gratuito de SBOM que não precisa de conta. O Socket documenta que este comando encaminha a chamada para o cdxgen com predefinições alteradas: um ciclo de vida pre-build que não instala dependências, e JavaScript como tipo de projeto predefinido. Essas predefinições decidem o que consegue encontrar e, num repositório sem lockfile, como expressjs/express, não há nada para resolver.

Isto descreve um wrapper local gratuito, não o produto central do Socket nem a sua exportação de SBOM do lado do servidor.

Qual se adequa melhor

• Quer travar pacotes maliciosos à porta: Socket, com as suas verificações de pull requests e o Socket Firewall.
• Quer menos alertas de CVE irrelevantes através da alcançabilidade: Socket, no Team ou no Enterprise. O CRACI não oferece análise de alcançabilidade.
• Precisa de evidências do que entrou em cada versão: o CRACI regista-o a partir do build e associa-o ao artefacto.
• Quer builds que não consigam alcançar hosts inesperados: a política de egress do CRACI.
• Distribui produtos abrangidos pelo Cyber Resilience Act: o CRACI acompanha as vulnerabilidades do que distribuiu e submete as notificações de vulnerabilidades do CRA em seu nome.
• Utiliza GitLab, Jenkins ou Azure DevOps: o Socket suporta-os hoje. O CRACI suporta hoje apenas GitHub Actions, com GitLab CI e Jenkins no roadmap.

Para o Cyber Resilience Act

Manter componentes maliciosos e de risco fora de um produto ajuda um fabricante a cumprir as suas obrigações de segurança, e o Socket foi feito para isso. O CRACI automatiza uma parte significativa da visibilidade da cadeia de abastecimento de software e das evidências de que as empresas precisam para o seu processo mais amplo de conformidade com o CRA: SBOM do build com a completude indicada, dados de proveniência, acompanhamento contínuo de vulnerabilidades e notificações de vulnerabilidades do CRA submetidas em seu nome. Nenhuma das ferramentas torna um produto conforme por si só. Consulte o que é o CRA e conformidade com o CRA.

Usar o CRACI com o Socket

O CRACI substitui o runner, não o GitHub Actions: as execuções continuam a aparecer no GitHub, e o Socket continua a verificar os seus pull requests. O Socket avalia os pacotes antes de serem adicionados e durante a instalação; o CRACI regista o que cada build obteve, limita a que se pode ligar e continua a acompanhar as vulnerabilidades do que foi distribuído. Saiba mais sobre a geração de SBOM durante o build e o acompanhamento de vulnerabilidades.

A ponderar também outras ferramentas de segurança de pacotes? Consulte as alternativas ao Socket.

Socket Security e CRACI: perguntas frequentes

Preços, SBOM e onde cada ferramenta se enquadra

O que é o Socket Security?

O Socket (socket.dev) é uma plataforma de segurança da cadeia de abastecimento de software para dependências open source. Analisa o que os pacotes realmente fazem, como scripts de instalação, acesso à rede e ao sistema de ficheiros, código ofuscado, malware conhecido e typosquats, e assinala ou bloqueia pacotes de risco em pull requests, na CI e, com o Socket Firewall, no momento da instalação.

O Socket Security é gratuito?

O Socket tem um plano gratuito com 1.000 análises por mês e até três membros, e afirma que será sempre gratuito para projetos open source. O Socket Firewall tem também uma versão gratuita que não precisa de chave de API e cobre npm, yarn, pnpm, pip, uv e cargo. Os planos pagos acrescentam alcançabilidade, exportação de SBOM e mais integrações.

Quanto custa o Socket?

Em setembro de 2026, a página de preços do Socket indica Team a $25 por programador por mês (mínimo de cinco programadores), Business a $50 por programador por mês (mínimo de 20) e preços Enterprise personalizados, com até 20% de desconto na faturação anual. A exportação de SBOM começa no Business, e as integrações com repositórios GitLab, Bitbucket e Azure DevOps estão no Enterprise.

O Socket gera SBOM?

Sim. A importação e a exportação de SBOM estão disponíveis a partir do plano Business, e a sua API de exportação CycloneDX está identificada como beta. O Socket constrói a SBOM a partir dos manifestos e lockfiles que deteta. O CRACI regista a SBOM enquanto o build corre, a partir dos pacotes que o job realmente obteve, e indica se o registo de cada job está completo.

O CRACI deteta pacotes maliciosos como o Socket?

Não como o Socket. O CRACI assinala uma versão maliciosa assim que tem um CVE publicado, como qualquer outra vulnerabilidade, mas não analisa o comportamento de pacotes nem lhes atribui pontuações, pelo que um novo pacote malicioso passa sem ser assinalado até existir um aviso de segurança. Controla a que um build se pode ligar com uma política de egress ao nível do runner que falha em modo fechado, regista cada pacote que o build obteve e continua a reavaliar o que foi distribuído face a dados de vulnerabilidades. As listas de bloqueio de pacotes para toda a organização estão no roadmap.

O CRACI é uma alternativa ao Socket?

Não para avaliar pacotes antes de serem adicionados: essa é a função central do Socket e o CRACI não a faz. O CRACI é a escolha quando precisa de evidências do que entrou em cada versão: SBOM do build, dados de proveniência, uma política de egress para o build, acompanhamento contínuo de vulnerabilidades e notificações de vulnerabilidades do CRA. As equipas preocupadas com pacotes maliciosos podem executar o Socket nos pull requests e construir no CRACI.

Que sistemas de CI suportam o Socket e o CRACI?

A CLI do Socket corre em GitHub Actions, GitLab, Bitbucket, Jenkins e Azure DevOps. O CRACI é hoje um runner para GitHub Actions, com GitLab CI e Jenkins no roadmap.