CRACI vs Socket Security

Det korta svaret

Socket Security är mest känt för att fånga dåliga open source-paket innan de kommer in i koden. Det analyserar paketbeteende (installationsskript, nätverks- och filsystemsåtkomst, obfuskerad kod, känd skadlig kod, typosquats), berättar om det i pull requesten, och Socket Firewall kan blockera ett skadligt paket vid installation.

CRACI är en CI-runner för GitHub Actions. Dina jobb körs på den, och medan de körs registrerar den varje externt beroende de hämtar, upprätthåller en egress-policy för jobbet och fortsätter att spåra sårbarheter i det som levererats. Socket frågar om ett paket är säkert att använda. CRACI registrerar vad ett bygge använde och vart det anslöt, och gör det till bevis för releasen.

• Välj Socket för att stoppa skadliga och riskabla paket i pull requesten och vid installation.
• Välj CRACI för SBOM:er från bygget, proveniensdata, egress-kontroll för bygget och sårbarhetsspårning av det du har levererat, inklusive CRA-anmälningar om sårbarheter.
• De kompletterar varandra. Socket granskar paket på väg in; CRACI registrerar och begränsar vad bygget gjorde med dem.

I korthet

Vad Socket gör bra

Socket for GitHub bevakar pull requests. När en ändring lägger till ett beroende analyserar Socket paketets beteende och kommenterar om det är en säkerhetsrisk. Dess kontroller täcker installationsskript, telemetri, nativ kod, känd skadlig kod, typosquats, protestware, obfuskerad kod och användning av privilegierade API:er som skal-, nätverks- och filsystemsåtkomst. Det är en annan typ av signal än en CVE-sökning: den kan flagga ett paket som är skadligt men ännu inte har något säkerhetsmeddelande.

Socket Firewall fungerar som en wrapper runt ett pakethanterarkommando (sfw npm install) eller som en proxy mellan pakethanterare och register. Det blockerar skadliga paket på alla nivåer, även transitiva. Gratisversionen kräver ingen API-nyckel och täcker npm, yarn, pnpm, pip, uv och cargo. Enterprise-versionen lägger till konfigurerbara policyer, privata register och fler ekosystem, bland annat Go, Maven, Gradle, RubyGems och NuGet.

Socket erbjuder också reachability-analys i tre nivåer: reachability för beroenden, förberäknad reachability från Team-planen och reachability för hela applikationen på Enterprise, som Socket säger kan flagga upp till 90 % av sårbarhetsvarningarna som irrelevanta. Det upptäcker manifest för JavaScript, Python, Java, Go, Ruby, Rust, .NET, PHP och Swift, och dess CLI körs i GitHub Actions, GitLab, Bitbucket, Jenkins och Azure DevOps. CRACI analyserar inte paketbeteende, kommenterar inte i pull requests, erbjuder inte reachability-analys och blockerar inte enskilda paket i dag.

Sockets priser, per september 2026

• Free: 1 000 skanningar per månad, upp till tre medlemmar, upptäckt och blockering av skadlig kod.
• Team: $25 per utvecklare och månad, minst fem utvecklare. Lägger till prioritetspoäng, Slack-varningar och förberäknad reachability.
• Business: $50 per utvecklare och månad, minst 20 utvecklare. Lägger till import och export av SBOM:er, efterlevnadsintegrationer, SSO och skanning av GitHub Actions.
• Enterprise: anpassade priser. Lägger till reachability för hela applikationen och repointegrationer för GitLab, Bitbucket och Azure DevOps.

Med årsvis fakturering sparar du upp till 20 %, och Socket säger att det alltid kommer att vara gratis för open source-projekt. Socket prissätter per utvecklare. CRACI tar bara betalt för byggminuter, $0.002 per vCPU-minut ($0.004 för en standardrunner med 2 vCPU), utan månadsavgift och utan avgift per SBOM; se CRACI:s priser.

Där CRACI skiljer sig

Bygget är sanningskällan

Socket läser manifesten och lockfilerna som ett projekt deklarerar. CRACI observerar bygget medan det körs. En paketmedveten proxy på runnern ser trafik till paketkällor: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk och Git-källor, plus nedladdningsförinställningar. Bevisen följer med CI-cachar, så ett paket som återställs från en cache räknas ändå. Varje SBOM anger sin fullständighet per jobb och per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded.

En egress-policy för hela jobbet

Socket Firewall avgör om en paketinstallation släpps igenom. CRACI:s egress-policy avgör vad jobbet över huvud taget kan nå: neka eller tillåt som standard, med 24 inbyggda förinställningar för programvarukällor och typade anpassade källor för npm, PyPI, apt, apk, Go-proxyn, Nix, Cargo, OCI-register och Git. Policyer valideras innan jobbet startar och blockerar vid fel, och CRACI kan varna dig vid en överträdelse. Ett skadligt installationsskript som försöker ringa hem är lika mycket ett nätverksproblem som ett paketproblem. De två kontrollerna täcker olika delar av det.

Proveniens och sårbarhetsspårning

API:t returnerar SBOM:er, nätverksspårningar och proveniens. CRACI signerar inte proveniens. CRACI sammanställer sårbarheter över byggen och repon, fortsätter att omvärdera bevakade SBOM:er och låter säkerhetsteam triagera fynd och skicka dem till teamen som äger åtgärden. Leverantörers SBOM:er bevakas bredvid dina egna byggen, och SBOM:er exporteras som CycloneDX eller SPDX.

En inventering av vad som är driftsatt var

CRACI:s inventeringsvy visar exakt vilka programvaruversioner som är driftsatta i vilka produkter, globalt. När en ny sårbarhet dyker upp ser du vilka produkter som kör den berörda versionen i stället för att pussla ihop det från release notes och kalkylblad.

En anmärkning om Sockets gratiskommando för SBOM

Socket CLI erbjuder socket manifest cdxgen, ett gratis lokalt SBOM-kommando som inte kräver något konto. Socket dokumenterar att kommandot vidarebefordrar anropet till cdxgen med ändrade standardvärden: en pre-build-livscykel som hoppar över installation av beroenden, och JavaScript som standardprojekttyp. De standardvärdena avgör vad det kan hitta, och i ett repo utan lockfile, som expressjs/express, finns det inget att lösa.

Det beskriver en gratis lokal wrapper, inte Sockets kärnprodukt eller dess SBOM-export på serversidan.

Vilken som passar

• Du vill stoppa skadliga paket vid dörren: Socket, med dess kontroller av pull requests och Socket Firewall.
• Du vill ha färre irrelevanta CVE-varningar genom reachability: Socket, på Team eller Enterprise. CRACI erbjuder inte reachability-analys.
• Du behöver bevis för vad som ingick i varje release: CRACI registrerar det från bygget och kopplar det till artefakten.
• Du vill ha byggen som inte kan nå oväntade värdar: CRACI:s egress-policy.
• Du levererar produkter som omfattas av Cyber Resilience Act: CRACI spårar sårbarheter i det du har levererat och lämnar in CRA-anmälningarna om sårbarheter åt dig.
• Du kör GitLab, Jenkins eller Azure DevOps: Socket har stöd för dem i dag. CRACI har i dag bara stöd för GitHub Actions, med GitLab CI och Jenkins på roadmapen.

För Cyber Resilience Act

Att hålla skadliga och riskabla komponenter borta från en produkt hjälper en tillverkare att uppfylla sina säkerhetsskyldigheter, och Socket är byggt för det. CRACI automatiserar en betydande del av den insyn i och de bevis om programvarans leveranskedja som företag behöver för sitt bredare arbete med CRA-efterlevnad: SBOM:er från bygget med angiven fullständighet, proveniensdata, löpande sårbarhetsspårning och CRA-anmälningar om sårbarheter som lämnas in åt dig. Inget av verktygen gör en produkt regelefterlevande på egen hand. Se vad CRA är och CRA-efterlevnad.

Använd CRACI med Socket

CRACI ersätter runnern, inte GitHub Actions: körningar syns fortfarande i GitHub, och Socket fortsätter att kontrollera dina pull requests. Socket granskar paket innan de läggs till och när de installeras; CRACI registrerar vad varje bygge hämtade, begränsar vart det kan ansluta och fortsätter att spåra sårbarheter i det som levererats. Läs mer om SBOM-generering under bygget och sårbarhetsspårning.

Överväger du också andra verktyg för paketsäkerhet? Se Alternativ till Socket.

Socket Security och CRACI: vanliga frågor

Priser, SBOM:er och var respektive verktyg passar

Vad är Socket Security?

Socket (socket.dev) är en plattform för säkerhet i mjukvarans leveranskedja för open source-beroenden. Den analyserar vad paket faktiskt gör, till exempel installationsskript, nätverks- och filsystemsåtkomst, obfuskerad kod, känd skadlig kod och typosquats, och flaggar eller blockerar riskabla paket i pull requests, i CI och, med Socket Firewall, vid installation.

Är Socket Security gratis?

Socket har en gratisplan med 1 000 skanningar per månad och upp till tre medlemmar, och Socket säger att det alltid kommer att vara gratis för open source-projekt. Socket Firewall har också en gratisversion som inte kräver någon API-nyckel och täcker npm, yarn, pnpm, pip, uv och cargo. Betalda planer lägger till reachability, SBOM-export och fler integrationer.

Vad kostar Socket?

Per september 2026 listar Sockets prissida Team för $25 per utvecklare och månad (minst fem utvecklare), Business för $50 per utvecklare och månad (minst 20) och anpassade Enterprise-priser, med upp till 20 % rabatt vid årsvis fakturering. SBOM-export börjar på Business, och repointegrationer för GitLab, Bitbucket och Azure DevOps finns på Enterprise.

Genererar Socket SBOM:er?

Ja. Import och export av SBOM:er finns på Sockets Business-plan och uppåt, och dess export-API för CycloneDX är märkt som beta. Socket bygger SBOM:en från manifesten och lockfilerna det upptäcker. CRACI registrerar SBOM:en medan bygget körs, utifrån paketen jobbet faktiskt hämtade, och anger om varje jobbs registrering är komplett.

Upptäcker CRACI skadliga paket som Socket gör?

Inte på samma sätt som Socket. CRACI flaggar en skadlig release när den har en publicerad CVE, som vilken annan sårbarhet som helst, men det analyserar inte paketbeteende och poängsätter inte paket, så ett nytt skadligt paket förblir oflaggat tills ett säkerhetsmeddelande finns. Det styr vad ett bygge kan ansluta till med en egress-policy på runnernivå som blockerar vid fel, registrerar varje paket som bygget hämtade och fortsätter att omvärdera det som levererats mot sårbarhetsdata. Blocklistor för paket i hela organisationen finns på roadmapen.

Är CRACI ett alternativ till Socket?

Inte för att granska paket innan de läggs till: det är Sockets kärnuppgift och CRACI gör det inte. CRACI är valet när du behöver bevis för vad som ingick i varje release: SBOM:er från bygget, proveniensdata, en egress-policy för bygget, löpande sårbarhetsspårning och CRA-anmälningar om sårbarheter. Team som oroar sig för skadliga paket kan köra Socket på pull requests och bygga på CRACI.

Vilka CI-system stöder Socket och CRACI?

Sockets CLI körs i GitHub Actions, GitLab, Bitbucket, Jenkins och Azure DevOps. CRACI är i dag en runner för GitHub Actions, med GitLab CI och Jenkins på roadmapen.