Alternativ till FOSSA

Vi bygger CRACI, så väg in det; vi beskriver varje alternativ utifrån dess egen dokumentation och säger när ett annat verktyg passar bättre.

Varför team tittar bortom FOSSA

Licensefterlevnad är där FOSSA började, och det märks: licensdetektering i fulltext, automatiska policyer, extrahering av upphovsrätt och attribueringsmeddelanden i SPDX, HTML och text. Utöver det genererar FOSSA SBOM:er i SPDX och CycloneDX, importerar leverantörers SBOM:er med policyer för NTIA:s och FDA:s minimielement och delar dem via en SBOM Portal i Enterprise-planen. FOSSA CLI integrerar med fler än 20 byggsystem, och det finns en gratisplan.

Team jämför ändå alternativ, oftast av skäl som handlar om omfattning och hur väl det passar:

• Djupare kodgranskning. Analys av kodsnuttar, signaturer och binärer i stor skala, eller statisk analys av din egen kod i samma svit.
• En plattform med säkerheten först. Containerpolicy, nåbarhet eller ett centralt register för produktsäkerhet kan vara viktigare för dig än licensarbete.
• Varifrån SBOM:en kommer. FOSSA CLI frågar ditt byggverktyg när ett fungerande bygge finns och härleder från källkoden när det inte gör det. Vissa team vill ha en registrering av vad bygget hämtade.
• Priser och drift. Prissättning per projekt kanske inte passar, eller så vill du ha ett gratis, egenhostat verktyg.

Vad du ska titta efter

• Licensdjup: deklarerade och odeklarerade licenser, policyer, attribueringsmeddelanden.
• Hur SBOM:er tas fram, och om verktyget talar om när en är ofullständig.
• Mottagning av leverantörers SBOM:er, VEX och delning med kunder eller myndigheter.
• Analys av kodsnuttar, binärer eller firmware om du levererar kod du inte har byggt från källkod.
• CI-täckning, driftalternativ och hur priset skalar: per projekt, per utvecklare eller via offert.

Alternativen

1. CRACI (vår produkt)

CRACI är en GitHub Actions-runner som registrerar SBOM:en medan bygget körs. En paketmedveten proxy fångar trafiken till paketkällor, inklusive paket som återställs från CI-cachar och alla transitiva beroenden som bygget använde, och varje SBOM anger sin fullständighet per jobb och per cache. CRACI upprätthåller en egress-policy som blockerar vid fel och omvärderar bevakade SBOM:er löpande. CRACI:s inventeringsvy visar exakt vilka programvaruversioner som är driftsatta i vilka produkter, globalt.

Licenserna kommer från samma registrering. Varje registrerat paket har sin deklarerade licens, så du kan se vilka beroenden som har en kommersiell eller på annat sätt restriktiv licens innan du levererar, och copyleft-licenser fångas innan de hamnar i produkten. Regler i licenspolicyn kan blockera ett bygge på grund av en licens.

Passar bäst för: team på GitHub Actions som måste visa vad varje release byggdes av, med deklarerade licenser och licenspolicy i samma registrering. Överväg om: deklarerade licenser täcker ditt licensarbete. CRACI skannar inte kodsnuttar eller binärer, och har i dag bara stöd för GitHub Actions, med GitLab CI och Jenkins på roadmapen. CRACI jämfört med FOSSA

2. Black Duck

Black Duck SCA kombinerar skanning av pakethanterare med signaturskanning, upptäckt av kodsnuttar och binäranalys, så att det hittar öppen källkod som ingen har deklarerat. Dess KnowledgeBase följer fler än 2 750 licenser, inklusive odeklarerade licenser, fulltext och upphovsrättsdata. Black Duck Binary Analysis undersöker körbara filer, containrar och firmware utan källkod, och Coverity lägger till SAST för 22 språk.

Passar bäst för: kodbaser med kopierad eller inbäddad (vendored) öppen källkod, och team som kontrollerar tredjepartsbinärer eller firmware. Överväg om: offertbaserad prissättning fungerar för dig; det fanns inga publicerade priser per september 2026. CRACI jämfört med Black Duck

3. Sonatype

Sonatype Lifecycle är Sonatypes produkt för SCA och policy. Den levereras med 18 standardpolicyer, med licenspolicyer som omfattar fler än 2 000 licenser, och dess Advanced Binary Fingerprinting undersöker den färdiga applikationen, inklusive omdöpta eller modifierade komponenter. Repository Firewall stoppar komponenter som inte klarar dina policyer innan de kommer in i dina repon, och SBOM Manager importerar och bevakar SBOM:er med ett VEX-arbetsflöde.

Passar bäst för: organisationer som vill att licens- och säkerhetspolicy ska upprätthållas vid paketrepot såväl som i applikationen. Överväg om: du kör Nexus eller en annan repositoryhanterare. Nya kunder köper Sonatype Guide; Firewall Pro börjar på $4,800 per år (per september 2026). CRACI jämfört med Sonatype

4. Anchore Enterprise

Anchore Enterprise bygger på Syft och Grype med öppen källkod. Det skapar SBOM:er för containrar, källkod och filsystem, importerar SBOM:er som tagits fram på annat håll, skannar om lagrade SBOM:er löpande och upprätthåller policypaket som FedRAMP och NIST. Det kan vara egenhostat, även i isolerade (air-gapped) miljöer.

Passar bäst för: containertunga och offentliga miljöer. Överväg om: licensefterlevnad inte är ditt huvudbehov; Anchore-källorna vi använde fokuserar på säkerhetspolicy. Prissättningen sker via offert. CRACI jämfört med Anchore

5. Cybeats SBOM Studio

SBOM Studio är ett centralt register för SBOM:er från dina produkter och leverantörer. Det har stöd för SPDX 2.2 till 3.0.1 och CycloneDX 1.2 till 1.7, validerar filer med en Quality Score, matchar komponenter löpande och lägger till VEX och licensanalys av OSS och COTS. Det delar SBOM:er med kunder, bland annat via Transparency Exchange API.

Passar bäst för: produktsäkerhetsteam som driver ett SBOM-program för många produkter och leverantörer. Överväg om: du har ett separat sätt att generera SBOM:er; Cybeats hänvisar till leverantörerna på sin Marketplace. CRACI jämfört med Cybeats

6. Manifest

Manifest skapar, importerar, berikar och delar SBOM:er för dina produkter, dina leverantörers programvara och dina AI-modeller. Leverantörer laddar upp via en portal, och Manifest kan generera en SBOM från en kompilerad binär när en leverantör inte kan lämna en. Det har stöd för SPDX, CycloneDX och VEX, och gör om fynd till ärenden och riskrapporter.

Passar bäst för: organisationer vars största exponering är programvara de köper. Överväg om: licensefterlevnad är centralt; Manifest-källorna vi använde fokuserar på säkerhet och leverantörsrisk. CRACI jämfört med Manifest

7. Mend.io

Mend SCA upptäcker licenser i direkta och transitiva beroenden och upprätthåller policyer, till exempel att blockera AGPL i kommersiella produkter. Det lägger till nåbarhetsanalys med anropsgrafer, upptäckt av skadliga paket, SBOM:er i SPDX och CycloneDX, mottagning av tredjeparts-SBOM:er och VEX. Mend SAST täcker fler än 30 språk, och Mend Renovate håller beroenden aktuella.

Passar bäst för: team som vill ha licenspolicy, säkerhetsskanning och beroendeuppdateringar från en leverantör. Överväg om: prissättning per utvecklare passar; Mend AppSec har ett listpris på upp till $1,000 per bidragande utvecklare per år (per september 2026). CRACI jämfört med Mend.io

8. Dependency-Track (öppen källkod)

OWASP Dependency-Track är en gratis plattform under Apache 2.0 som spårar komponenter i hela din portfölj, hämtar sårbarhetsdata från källor som NVD och GitHub Advisories och tillämpar säkerhets-, licens- och driftpolicyer. Den tar emot och producerar CycloneDX VEX.

Passar bäst för: team som vill ha egenhostad SBOM-analys och licenspolicy utan licensavgift. Överväg om: du är redo att driva den och mata den; den analyserar SBOM:er du laddar upp och genererar dem inte. CRACI för Dependency-Track-användare

9. ScanCode Toolkit (öppen källkod)

ScanCode Toolkit, från AboutCode-projektet, upptäcker licenser, upphovsrätt, paketmanifest och direkta beroenden i källkod och binära filer. Det skriver resultat som JSON, YAML, HTML, CycloneDX eller SPDX. Verktygslådan har licensen Apache-2.0.

Passar bäst för: team som vill ha gratis detektering av licenser och upphovsrätt på filnivå som de kan köra var som helst. Överväg om: du kan bygga arbetsflödet runt det. Det är en skanner, så policyer, bevakning och rapportering får du lägga till själv.

10. OSS Review Toolkit (öppen källkod)

OSS Review Toolkit (ORT) är ett Linux Foundation-projekt under Apache 2.0 som automatiserar policy för öppen källkod. Dess Analyzer löser beroenden i olika pakethanterare, Downloader hämtar deras källkod, Scanner kör licens- och upphovsrättsskannrar, Advisor hämtar säkerhetsmeddelanden, Evaluator tillämpar dina policyregler och Reporter tar fram rapporter, meddelanden om öppen källkod och SBOM:er.

Passar bäst för: team som vill ha en gratis, egenhostad pipeline för licensefterlevnad med policy som kod. Överväg om: du har utvecklartid för att konfigurera och köra den.

Sida vid sida

”Anchore” betyder Anchore Enterprise, och ”Cybeats” betyder SBOM Studio. ScanCode och ORT är verktygslådor du sätter ihop till ditt eget arbetsflöde, så de beskrivs ovan och finns inte med i tabellen. ”Ej angivet” betyder att funktionen inte beskrivs i leverantörernas dokumentation, inte att den saknas.

När du ska stanna kvar hos FOSSA

• Licensefterlevnad och attribueringsmeddelanden är din främsta fråga, som juridik och utveckling delar på.
• Du vill börja gratis och betala per projekt när du växer.
• Du delar SBOM:er med partner eller allmänheten via FOSSAs SBOM Portal.

Läs mer om att registrera SBOM:er vid källan under SBOM-generering under bygget, CRA-bevis och priser.

Alternativ till FOSSA: vanliga frågor

Korta svar på de frågor team ställer när de jämför

Vilket är det bästa alternativet till FOSSA?

Det beror på vad som saknas. För skanning av kodsnuttar och binärer, titta på Black Duck. För licenspolicy vid paketrepot, titta på Sonatype. För licenspolicy med säkerhetsskanning och beroendeuppdateringar, titta på Mend.io. För SBOM-program som omfattar leverantörer, titta på Cybeats eller Manifest. För gratisverktyg, titta på ScanCode Toolkit, ORT och Dependency-Track. Om du behöver en registrering av vad varje bygge hämtade, registrerar CRACI det från själva bygget.

Finns det ett gratis alternativ till FOSSA?

Ja. ScanCode Toolkit och OSS Review Toolkit (ORT) är gratis licensskannrar med öppen källkod, och OWASP Dependency-Track är en gratis plattform som tillämpar licenspolicy på SBOM:er du laddar upp. FOSSA har också en gratisplan. Gratisverktyg lämnar drift, konfiguration och rapportering åt dig.

Vilka alternativ till FOSSA upprätthåller licenspolicy?

FOSSA, Black Duck, Sonatype, Mend.io och Dependency-Track tillämpar alla licenspolicy, och ORT utvärderar licensregler du skriver. Mend.io kan till exempel blockera AGPL i kommersiella produkter. I CRACI har varje registrerat paket sin deklarerade licens, så copyleft-licenser fångas innan de hamnar i produkten, och en regel i licenspolicyn kan blockera bygget.

Hanterar CRACI licensefterlevnad?

Ja, för deklarerade licenser. Varje paket som CRACI registrerar från bygget har sin deklarerade licens, som exporteras i SBOM:en, och regler i licenspolicyn kan blockera ett bygge på grund av en licens. CRACI skannar inte kodsnuttar eller binärer, så det hittar inte öppen källkod som har kopierats in i din kod utan ett paket.

Hur skiljer sig FOSSA från Black Duck?

FOSSA började med licensefterlevnad och lägger till SBOM-hantering, med en gratisplan och prissättning per projekt. Black Duck är en bredare AppSec-portfölj: SCA med analys av signaturer, kodsnuttar och binärer, en KnowledgeBase med fler än 2 750 licenser och Coverity SAST, som säljs via offert. FOSSA erbjuder skanning av kodsnuttar och binärer som tillägg.