CycloneDX vs SPDX

Det korta svaret

Använd det format som dina kunder, tillsynsmyndigheter eller verktyg efterfrågar. Om ingen frågar är CycloneDX det vanligare valet för säkerhetsarbete, eftersom det har inbyggt stöd för VEX, och SPDX det vanligare valet där licensefterlevnad står i centrum. De flesta generatorer, CRACI inräknat, kan producera båda.

Sida vid sida

CycloneDX

CycloneDX utvecklas av OWASP Foundation och är standardiserat av Ecma International som ECMA-424. Version 1.7 släpptes i oktober 2025. Formatet utgick från säkerhet och risker i leveranskedjan och täcker mer än programvara: SBOM:er, SaaSBOM:er för tjänster och HBOM:er för hårdvara. Det stöder VEX, så samma format kan ange om en sårbarhet påverkar en produkt. Det serialiseras som JSON, XML eller Protocol Buffers.

SPDX

SPDX är ett open source-projekt som drivs av Linux Foundation och är erkänt som den internationella standarden ISO/IEC 5962:2021. Det utgick från licensefterlevnad, och dess licensidentifierare används långt utanför SBOM:er. SPDX 3.0, som släpptes i april 2024, lade till profiler för säkerhet, bygge, dataset och AI.

Se: grunderna i SBOM

Från vårt föredrag på KCD Helsinki: vad en SBOM registrerar, hur SPDX och CycloneDX skiljer sig i praktiken och vad OpenVEX tillför.

5:15

Vad tillsynsmyndigheter godtar

EU:s Cyber Resilience Act kräver en SBOM i ”ett allmänt använt och maskinläsbart format” och namnger inget. Tyska BSI:s TR-03183-2, version 2.1.0, är mer specifik: CycloneDX 1.6 eller senare, eller SPDX 3.0.1 eller senare, i JSON eller XML. Se CRA:s krav på SBOM:er.

Innehållet väger tyngre än formatet

Båda formaten kan rymma en ofullständig SBOM. Det som avgör om en SBOM är användbar är om den listar allt som gick in i produkten, inklusive transitiva beroenden. CRACI registrerar SBOM:en medan ditt GitHub Actions-bygge körs, anger dess fullständighet per jobb och per cache och exporterar den i CycloneDX eller SPDX. Se SBOM-generering under bygget.

CycloneDX vs SPDX: vanliga frågor

Är CycloneDX eller SPDX bäst?

Inget av dem är bäst generellt. CycloneDX växte fram ur säkerhetsarbete och har inbyggt stöd för VEX; SPDX växte fram ur licensefterlevnad och är en ISO-standard. De flesta verktyg kan producera båda. Välj det som dina kunder, tillsynsmyndigheter eller verktyg efterfrågar.

Vilket SBOM-format kräver EU:s Cyber Resilience Act?

CRA kräver ett allmänt använt och maskinläsbart format och namnger inget. Tyska BSI:s TR-03183-2 godtar CycloneDX 1.6 eller senare och SPDX 3.0.1 eller senare, i JSON eller XML.

Kan jag konvertera mellan CycloneDX och SPDX?

Det finns verktyg som konverterar åt båda hållen, men formaten motsvarar inte varandra rakt av, så en konvertering kan tappa detaljer. Om du kan, generera formatet du behöver direkt.

Exporterar CRACI CycloneDX eller SPDX?

Båda. CRACI registrerar SBOM:en medan ditt GitHub Actions-bygge körs och exporterar den i CycloneDX eller SPDX, inklusive transitiva beroenden och varje komponents deklarerade licens.