CRACI vs FOSSA

Det korta svaret

FOSSA är starkast på licensefterlevnad för öppen källkod och hantering av SBOM-livscykeln: att generera SBOM:er för applikationer, importera SBOM:er från tredje part, bevaka dem för sårbarheter och dela dem med kunder och myndigheter. CRACI är en GitHub Actions-runner som registrerar beroendena varje jobb faktiskt hämtade och tar fram SBOM:en från den registreringen, med en fullständighetsstatus.

FOSSA hanterar de SBOM:er du ger det. CRACI tar fram en från bygget och fortsätter att bevaka den, så för din egen programvara finns CI, SBOM och sårbarhetsspårning på ett ställe. Där licensefterlevnad är den främsta frågan ligger FOSSA fortfarande före.

I korthet

Vad FOSSA gör bra

• Licensefterlevnad. Det är här FOSSA började, och det märks. Det upptäcker licenser från fulltext, tillämpar policyer automatiskt, extraherar upphovsrättsinformation och genererar attributionsmeddelanden i SPDX, HTML och text. Juridik och utveckling kan arbeta utifrån samma data.
• SBOM-livscykeln. FOSSA "produces and consumes SBOMs." Det genererar SBOM:er i SPDX och CycloneDX, valfritt med VDR- eller VEX-uppgifter, och importerar befintliga SBOM:er för att "analyze dependencies you don't build yourself." SBOM-policyer kan kräva minimielementen från NTIA och FDA i importerade filer.
• Distribution. På Enterprise delar SBOM Portal SBOM-data med partner eller offentligt, så att du slipper mejla filer till kunder.
• Bred skanning. FOSSA CLI integreras med fler än 20 byggsystem, och containerskanning ingår. Skanning av kodsnuttar och binärer finns som tillägg.
• Ett gratis sätt att börja. Free-planen omfattar 5 projekt och 5 importerade SBOM:er. Business kostar $20 per projekt per månad med årsvis fakturering, och Enterprise är anpassat (per september 2026).

Om ditt huvudproblem är licensrisk, eller att hantera SBOM:er som kommer från många leverantörer, täcker FOSSA områden som CRACI inte täcker. CRACI visar metadata om deklarerade licenser, tar med dem i SBOM-exporten och upprätthåller licenspolicyn.

Där CRACI skiljer sig

SBOM:en kommer från vad bygget gjorde

FOSSA CLI analyserar ett projekt genom att integreras med dess byggverktyg när ett fungerande bygge finns, och genom att härleda beroenden från källkoden när det inte gör det. Det är ett sunt tillvägagångssätt, och det är fortfarande analys av projektet. CRACI kör i stället jobbet. Du ändrar runs-on till craci, och en paketmedveten proxy registrerar trafik till paketkällor under bygget: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk och Git-källor, plus nedladdningsförinställningar. Beroendebevisen följer med CI-cachar, så ett paket som återställs från en cache finns ändå i registreringen, inklusive alla transitiva beroenden som bygget använde.

Metoden spelar roll eftersom SBOM-generatorer är oense, och det är avsiktligt. Var och en avgör själv vad som räknas som en komponent och vilka filer den ska lita på, så om du pekar två av dem mot samma repo får du två överlappande men olika listor. Varken FOSSA eller CRACI kan jämföras på de villkoren, eftersom CRACI registrerar byggen och inte kan skanna en katalog. Poängen gäller statisk analys i allmänhet: svaret beror på verktyget, dess inställningar och filerna som finns.

Det säger till när det är ofullständigt

FOSSA:s SBOM-policyer kontrollerar att obligatoriska fält finns. CRACI lägger till en annan signal: en fullständighetsstatus per jobb och per cache (Complete, Complete with connections, Incomplete, Unavailable eller Not recorded) som säger om själva registreringen hade en lucka. När en revisor frågar hur du vet att en inventering är komplett är det svaret.

Kontroll och proveniens

Eftersom CRACI kör jobbet upprätthåller det en egress-policy för nätverket: neka eller tillåt som standard, med 24 inbyggda förinställningar för programvarukällor och typade anpassade källor, validering innan jobbet startar och blockering vid fel. API:t returnerar SBOM:er, nätverksspårningar och proveniens.

Bevakning

CRACI omvärderar bevakade SBOM:er löpande. FOSSA:s fossabot arbetar med ett annat problem: den granskar beroendeuppdateringar, inklusive de från Dependabot eller Renovate, efter brytande ändringar och påverkan.

En inventering av vad som är driftsatt var

CRACI:s inventeringsvy visar exakt vilka programvaruversioner som är driftsatta i vilka produkter, globalt. När en ny sårbarhet dyker upp kan du se vilka produkter som kör den berörda versionen i stället för att pussla ihop det från release notes och kalkylblad.

Ersätta FOSSA med CRACI

För programvaran du själv bygger täcker CRACI det som FOSSA:s funktioner för SBOM och sårbarheter gör, från källan. Det kör dina GitHub Actions-jobb, registrerar SBOM:en för varje bygge, fortsätter att omvärdera bevakade SBOM:er när nya sårbarheter publiceras, samlar fynd över byggen och repon och låter säkerhetsteam triagera dem och skicka vart och ett till teamet som äger åtgärden. Leverantörers SBOM:er kan också läggas till, så att inköpta komponenter bevakas tillsammans med dina egna byggen. Det finns inget separat CLI-steg att underhålla.

Var tydlig med vad du avstår från. FOSSA:s licensefterlevnad är mogen: policyer, fulltextdetektering av licenser, extrahering av upphovsrätt och attributionsmeddelanden. CRACI exporterar varje komponents deklarerade licens och upprätthåller licenspolicyn, inklusive att blockera ett bygge på grund av en licens; FOSSA:s detektering och attributionsresultat går längre. CRACI har inte heller någon skanning av kodsnuttar eller binärer, ingen portal för att dela SBOM:er och stöder bara GitHub Actions i dag, med GitLab CI och Jenkins på roadmapen. Om licensefterlevnad är din främsta fråga, behåll FOSSA.

För Cyber Resilience Act

FOSSA publicerar vägledning om CRA. Dess sammanfattning av SBOM-kravet: tillverkare tar fram en SBOM i ett allmänt använt, maskinläsbart format som omfattar "at the very least the top-level dependencies of the products", och delar den med marknadskontrollmyndigheter som en del av den tekniska dokumentationen. FOSSA positionerar import, generering, sårbarhetsanalys och säker delning med myndigheter som sin CRA-hjälp.

Beroenden på toppnivå är golvet, inte målet. En sårbarhet i ett transitivt paket finns ändå i din produkt. CRA:s rapporteringsskyldigheter gäller från den 11 september 2026, med en tidig varning inom 24 timmar för en aktivt utnyttjad sårbarhet, och dess huvudsakliga bestämmelser gäller från den 11 december 2027. CRACI registrerar hela uppsättningen beroenden som varje bygge använde, returnerar SBOM:er, nätverksspårningar och proveniens via sitt API och exporterar SBOM:er som CycloneDX eller SPDX, inklusive sårbarheter.

CRACI automatiserar en betydande del av den insyn i och de bevis om programvarans leveranskedja som företag behöver för sitt bredare arbete med CRA-efterlevnad. Ingen av produkterna gör ensam en tillverkare regelefterlevande. Se vad CRA kräver och CRA-efterlevnad med CRACI.

CRACI och FOSSA: vanliga frågor

Ersätta FOSSA, priser, SBOM-format och CI-stöd

Är CRACI ett alternativ till FOSSA?

Ja, för SBOM:er och sårbarhetsbevakning av programvaran du bygger. CRACI kör dina GitHub Actions-jobb, registrerar SBOM:en för varje bygge, fortsätter att omvärdera bevakade SBOM:er och låter säkerhetsteam triagera fynd och skicka dem till teamet som äger dem. FOSSA ligger fortfarande före på licensefterlevnad för öppen källkod, så om det är din främsta fråga, behåll FOSSA.

Ersätter CRACI FOSSA eller fungerar det bredvid?

För din egen programvara ersätter CRACI det: CI, SBOM och sårbarhetsspårning finns i en produkt, utan något separat CLI-steg att underhålla. Det du avstår från är FOSSA:s mogna licensefterlevnad (fulltextdetektering av licenser, extrahering av upphovsrätt och attributionsmeddelanden), dess tillägg för skanning av kodsnuttar och binärer och dess SBOM Portal.

Hur står sig CRACI:s priser mot FOSSA?

Per september 2026 har FOSSA en Free-plan som omfattar 5 projekt och 5 importerade SBOM:er, Business för $20 per projekt per månad med årsvis fakturering och anpassade priser för Enterprise. CRACI tar bara betalt för byggminuter: $0.002 per vCPU-minut ($0.004 för en standardrunner med 2 vCPU), mätt per sekund, utan månadsavgift och utan avgift per SBOM. Se priser för aktuella villkor.

Vilka SBOM-format har FOSSA och CRACI stöd för?

Båda exporterar SPDX och CycloneDX. FOSSA kan lägga till VDR- eller VEX-uppgifter i sina SBOM:er. CRACI exporterar varje bygges SBOM med transitiva beroenden och varje komponents deklarerade licens, anger hur komplett registreringen var per jobb och per cache och har stöd för VEX.

Kan CRACI spåra leverantörers SBOM:er som FOSSA?

Ja. Du kan lägga till leverantörers SBOM:er i CRACI, och de inköpta komponenterna bevakas tillsammans med programvaran du bygger. FOSSA importerar SPDX- och CycloneDX-filer och kan tillämpa SBOM-policyer på dem, till exempel krav på minimielementen från NTIA och FDA.

Vilka CI-system har FOSSA och CRACI stöd för?

FOSSA CLI körs i din CI och integreras med fler än 20 byggsystem. CRACI är i dag en runner för GitHub Actions; andra CI-system finns på roadmapen, bland dem GitLab CI och Jenkins.

Hjälper CRACI med Cyber Resilience Act?

Ja. CRACI registrerar hela uppsättningen beroenden som varje bygge använde, inte bara de på toppnivå, returnerar SBOM:er, nätverksspårningar och proveniens via sitt API och skickar in CRA-sårbarhetsanmälningar åt dig. Det automatiserar en betydande del av den insyn i och de bevis om leveranskedjan som din CRA-process behöver; ingen av produkterna gör ensam en tillverkare regelefterlevande. Boka en demo för att jämföra CRACI:s SBOM med den du förvaltar i dag.