Mais 123% CVE comunicadas por dia em 2026 do que no ano passado.

Exportação de SBOM e evidências do CRA de cada build

SBOM registadas durante o build, o registo do build através da API e registos de vulnerabilidades até à versão corrigida: as evidências em que assenta a sua documentação técnica

SBOM geradas durante o build, em CycloneDX ou SPDX

O CRACI regista a SBOM enquanto cada build é executado no seu runner, pelo que esta lista os pacotes que o job realmente obteve, incluindo os pacotes restaurados a partir de caches de CI. Cada SBOM é exportada em CycloneDX ou SPDX, com as dependências transitivas, as vulnerabilidades encontradas nos respetivos componentes e a licença declarada de cada componente. A SBOM de cada job inclui também um estado de completude.

An SBOM recorded during the build Packages from npm, PyPI, Cargo, Go, OCI registries and the CI cache pass through a package-aware proxy on the CRACI runner. The job's SBOM lists what was fetched, states its completeness and exports as CycloneDX or SPDX. Package sources npm PyPI Cargo · Go OCI registries CI cache restore Package- aware proxy on the runner Job SBOM express 5.2.1 requests 2.32.3 serde 1.0.219 + transitive deps Declared license on every component Complete Completeness states per job and cache: Complete, Complete with connections, Incomplete, Unavailable, Not recorded CycloneDX · SPDX

SBOM, traços de rede e proveniência através da API

A REST API pública devolve a SBOM de um job, o respetivo traço de rede e os dados de proveniência, para que o registo do build possa ser integrado na sua própria documentação e nas suas ferramentas. A API de SBOM devolve JSON em CycloneDX 1.7.

Provenance data from every build Every job on CRACI records the packages it fetched and its network trace. The public REST API returns the job's SBOMs, network trace and provenance. Build release job on CRACI Recorded packages fetched network trace Provenance build data, via the API Ask the API about any job Job → SBOM, trace, provenance Returned by the API Job Packages CycloneDX SBOM Network trace Recorded on every CRACI job, no extra step

Registos de vulnerabilidades, da triagem à versão corrigida

As SBOM monitorizadas são reavaliadas à medida que são publicadas novas vulnerabilidades. As equipas de segurança fazem a triagem de cada vulnerabilidade detetada e encaminham-na para a equipa responsável pela correção, e o CRACI mantém o registo até à versão corrigida. O histórico de builds mostra todos os builds anteriores e a respetiva SBOM, bem como os builds que continham a dependência vulnerável, direta ou transitiva, para que saiba durante que período esteve exposto.

Vulnerability tracking after release After a release ships, its SBOM stays monitored. When a new vulnerability is published, CRACI re-evaluates the monitored SBOMs, finds the affected releases, and the security team triages the finding and routes it to the team that owns the fix. The inventory view shows which software versions are deployed to which products. Release shipped SBOM monitored Later New advisory published Re-evaluated automatically Finding: critical, in 2 releases 1. Triage 2. Route to owner 3. Team fixes Policy gates can block a build on findings · VEX supported Inventory: deployed versions Product Version Web app v4.12.0 Mobile API v2.3.1

Policy gates que mantêm de fora um problema conhecido

As policy gates podem parar um build em tempo real com base nas conclusões, incluindo builds que contêm uma CVE específica, e em licenças. Cada build é também executado sob uma política de egress aplicada no runner, validada antes do início do job e que falha em modo fechado, com alertas em caso de violação da política.

Policy gates in CI Every build on CRACI records its SBOM, runs under an egress policy and records provenance data. Policy gates can block the build on findings or on a license, so issues are caught in CI before release. Pull request New dependencies, added by a developer or an AI agent Every change reaches the build the same way CRACI build SBOM recorded Egress enforced Provenance Every build, no extra step Policy gate Findings or licenses outside your policy Build blocked Or passes to release

Evidências para a sua documentação técnica do CRA

Ao abrigo do Cyber Resilience Act, é o fabricante que prepara a documentação técnica, realiza a avaliação da conformidade e elabora a declaração UE de conformidade. O CRACI não executa esses passos. Fornece as evidências que resultam do build: SBOM, registos de vulnerabilidades e de correção, e dados de proveniência. O CRACI submete também, em seu nome, as notificações de vulnerabilidades exigidas pelo CRA: o alerta precoce, a notificação e o relatório final.

CRA obligations and the evidence for them The CRA obligations that touch the software supply chain, such as the SBOM, vulnerability handling, reporting, due diligence and technical documentation, are where CRACI provides evidence. The risk assessment and the conformity assessment stay with the manufacturer. Obligation CRACI evidence Software bill of materials Yes Vulnerability handling Yes Reporting exploited vulnerabilities Submitted for you Due diligence on components Yes Technical documentation Evidence and exports Risk assessment, secure design Yours Conformity assessment, CE Yours CRACI automates a significant part of the supply chain visibility and evidence your CRA process needs

Veja as evidências que os seus builds produzem

Marque uma demo para ver a exportação de SBOM, a API e o acompanhamento de vulnerabilidades no CRACI

Marcar uma demo