CRACI vs DefectDojo

Det korta svaret

DefectDojo är en plattform för sårbarhetshantering med öppen källkod och ett OWASP Flagship-projekt, med en kommersiell utgåva, DefectDojo Pro, från DefectDojo Inc. i Austin, Texas. Den importerar resultat från de säkerhetsverktyg du redan kör, deduplicerar dem till en enda kö och följer upp åtgärderna. Pro lägger till SBOM-hantering och en PSIRT Advisory Engine. CRACI är en runner för GitHub Actions som registrerar vad varje bygge drar in medan det körs, tar fram SBOM:en från den registreringen, bevakar den för nya sårbarheter och låter säkerhetsteamen triagera det den hittar. DefectDojo samlar in vad andra verktyg rapporterar; CRACI är källan till beroenderegistreringen för den programvara du bygger.

I korthet

Vad DefectDojo gör bra

En enda kö för alla skannrar. DefectDojos webbplats listar mer än 500 verktyg som stöds och beskriver målet rakt på sak: "Every SAST, DAST, SCA, cloud, and container scanner in your stack, deduplicated into a single queue." Deduplicering mellan överlappande skannrar är skälet till att många team börjar använda det. Fynden får ägare, SLA:er och Jira-ärenden därifrån.

Öppen källkod med lång historik. Community Edition är gratis under BSD 3-Clause-licensen och körs med Docker Compose. OWASP listar DefectDojo som ett Flagship-projekt, och DefectDojo säger att mer än 10 000 organisationer använder det. DefectDojo Inc. tog in $7 miljoner i en Series A-runda i september 2024.

SBOM:er som tillgångsmodell. I Pro blir en SBOM som laddas upp till en tillgång en uppsättning beroenden i Locations, DefectDojos tillgångsmodell på komponentnivå. Det importerar CycloneDX (JSON och XML) och SPDX (JSON, XML och tag-value), exporterar CycloneDX 1.6 eller SPDX 2.3 och exporterar fyndens status som ett CycloneDX VEX-dokument. Dess dokumentation säger tydligt att DefectDojo inte själv genererar SBOM:er.

Ett PSIRT-arbetsflöde. DefectDojo lanserade sin PSIRT Advisory Engine i april 2026 som "the first purpose-built security platform for PSIRT", den första säkerhetsplattformen byggd specifikt för PSIRT. Det är en Pro-funktion. Den läser in säkerhetsmeddelanden från flöden som CISA Known Exploited Vulnerabilities, NVD, EUVD, Red Hat och Exploit-DB, matchar dem mot SBOM-data eller egna tillgångsregler, prioriterar dem efter CVSS, EPSS och KEV-status, grupperar dem i ärenden med ägare och publicerar varumärkesprofilerade säkerhetsmeddelanden i PDF. Pro-releasen i september 2026 lade till export av säkerhetsmeddelanden i CSAF 2.0 och VEX och ett gränssnitt för rapportering enligt CRA artikel 14.

Publicerade priser. Pro med betalning efter användning kostar $100 i månaden plus $0.15 per bearbetat fynd, med rabatt vid årlig förskottsbetalning. Community Edition förblir gratis.

Där CRACI skiljer sig

DefectDojo arbetar utifrån resultat som andra verktyg tar fram. CRACI tar fram sin egen registrering, eftersom det är maskinen som bygget körs på.

SBOM:en kommer från bygget

DefectDojos matchning av säkerhetsmeddelanden är bara så bra som de SBOM-data du läser in, och den SBOM:en kommer från en generator någonstans längre upp i kedjan. CRACI ersätter runnern: du ändrar runs-on till craci, och en paketmedveten proxy registrerar vad varje jobb hämtar från paketkällor, inklusive paket som återställs från CI-cachar och dolda beroenden som ingen lockfile listar. SBOM:en, i CycloneDX eller SPDX, kommer från den registreringen, och var och en anger hur komplett den är per jobb och per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded.

Bevakning och triage på samma registrering

CRACI omvärderar bevakade SBOM:er när nya sårbarheter publiceras och sammanställer fynd över byggen och repon. Bygghistoriken visar varje tidigare bygge och dess SBOM inom din lagringsperiod, så du kan se vilka byggen som innehöll ett sårbart beroende och hur länge. Inventeringsvyn visar vilka programvaruversioner som är driftsatta i vilka produkter. Säkerhetsteamen triagerar fynd och skickar vart och ett till det team som äger åtgärden, registrerar VEX och sätter policyspärrar som blockerar ett bygge, även byggen som innehåller en specifik CVE. Du kan också lägga till leverantörers SBOM:er, så att inköpta komponenter bevakas bredvid dina egna byggen.

Kontroll över vad bygget kan nå

Eftersom CRACI kör jobbet upprätthåller den en egress-policy för nätverket: neka som standard eller tillåt som standard, med 24 inbyggda förinställningar för programvarukällor. Policyer valideras innan jobbet startar och blockerar vid fel. DefectDojo kan följa en riskabel komponent i efterhand; en egress-policy begränsar var ett bygge över huvud taget kan hämta från.

Vad CRACI inte gör

CRACI importerar inte fynd från andra skannrar, så det är ingen gemensam kö för resultat från SAST, DAST, moln och containrar. Det skannar inte källkod; SAST och skanning efter hemligheter ligger avsiktligt utanför dess område. Det erbjuder inte nåbarhetsanalys, och det har i dag stöd för enbart GitHub Actions, med GitLab CI och Jenkins på roadmapen.

När du ska välja vilket

• Du behöver en kö för fynd från många verktyg. DefectDojo. Det är byggt för att ta emot resultat från skannrar för SAST, DAST, SCA, moln och containrar och deduplicera dem, och det gör inte CRACI.
• Din största exponering är beroendena i programvara du bygger på GitHub Actions. CRACI. Den tar fram SBOM:en i bygget, bevakar den och för triagen hela vägen till det ägande teamet, så det finns ingen generator att köra och ingen SBOM-uppladdning att underhålla.
• Du vill ha flöden av säkerhetsmeddelanden matchade mot produkter, säkerhetsmeddelanden i PDF och ett gränssnitt för rapportering enligt CRA artikel 14 i ett verktyg. DefectDojo Pro bygger in det i sin PSIRT Advisory Engine.
• Du behöver ett gratis verktyg som du hostar själv. DefectDojos Community Edition. CRACI är en hanterad tjänst i dag, med kundhostade runners på roadmapen för Enterprise.

Ersätta SBOM-delen av DefectDojo

Om DefectDojo främst innehåller SCA-fynd och uppladdade SBOM:er för programvara du bygger täcker CRACI det jobbet i en produkt: bygget, SBOM:en, löpande bevakning och triage. Det finns ingen generator att hålla i takt med varje ekosystem och inget importjobb att underhålla, och inventeringen kommer från vad bygget faktiskt hämtade i stället för från vad en skanning uppskattade.

Var tydlig med vad du avstår från. DefectDojo är öppen källkod och kan hostas själv. Det deduplicerar fynd från hundratals verktyg, inte bara beroenden. Om det är stället där alla skannrars resultat möts, behåll det för det jobbet; CRACI tar inte emot andra verktygs fynd.

I ett PSIRT

Den första frågan i de flesta PSIRT-ärenden är vilka produkter och versioner som innehåller den berörda komponenten. FIRST:s PSIRT Services Framework kallar inventeringen av produktkomponenter avgörande för att kunna besvara den. DefectDojo svarar utifrån de SBOM-data du läser in; CRACI svarar utifrån en registrering av vad varje bygge hämtade, och fortsätter att svara när nya CVE:er dyker upp. Läs vad ett PSIRT gör, CRACI för PSIRT-team och PSIRT-verktyg i jämförelse.

För reglerade produkter automatiserar CRACI en betydande del av den insyn i och de bevis om programvarans leveranskedja som företag behöver för sitt bredare arbete med CRA-efterlevnad. Inget verktyg på den här sidan gör en produkt regelefterlevande på egen hand.

Väljer du mellan fler än två verktyg? Alternativ till DefectDojo jämför sex alternativ, däribland Dependency-Track.