123% fler rapporterade CVE:er per dag 2026 än förra året.

SBOM-export och CRA-underlag från varje bygge

SBOM:er registrerade under bygget, byggregistreringen via API:t och sårbarhetsregister ända fram till den åtgärdade releasen: de bevis som din tekniska dokumentation bygger på

SBOM:er från bygget i CycloneDX eller SPDX

CRACI registrerar SBOM:en medan varje bygge körs på dess runner, så den listar de paket som jobbet faktiskt hämtade, inklusive paket som återställs från CI-cachar. Varje SBOM exporteras i CycloneDX eller SPDX, med transitiva beroenden, de sårbarheter som hittats i komponenterna och varje komponents deklarerade licens. Varje jobbs SBOM har dessutom en fullständighetsstatus.

An SBOM recorded during the build Packages from npm, PyPI, Cargo, Go, OCI registries and the CI cache pass through a package-aware proxy on the CRACI runner. The job's SBOM lists what was fetched, states its completeness and exports as CycloneDX or SPDX. Package sources npm PyPI Cargo · Go OCI registries CI cache restore Package- aware proxy on the runner Job SBOM express 5.2.1 requests 2.32.3 serde 1.0.219 + transitive deps Declared license on every component Complete Completeness states per job and cache: Complete, Complete with connections, Incomplete, Unavailable, Not recorded CycloneDX · SPDX

SBOM:er, nätverksspårningar och proveniens via API:t

Det publika REST API:t returnerar ett jobbs SBOM, dess nätverksspårning och proveniensdata, så att byggregistreringen kan flöda in i din egen dokumentation och dina egna verktyg. SBOM-API:t returnerar CycloneDX 1.7 JSON.

Provenance data from every build Every job on CRACI records the packages it fetched and its network trace. The public REST API returns the job's SBOMs, network trace and provenance. Build release job on CRACI Recorded packages fetched network trace Provenance build data, via the API Ask the API about any job Job → SBOM, trace, provenance Returned by the API Job Packages CycloneDX SBOM Network trace Recorded on every CRACI job, no extra step

Sårbarhetsregister från triage till en åtgärdad release

Bevakade SBOM:er omvärderas när nya sårbarheter publiceras. Säkerhetsteamen triagerar varje fynd och skickar det vidare till det team som äger åtgärden, och CRACI håller registret ända fram till den åtgärdade releasen. Bygghistoriken visar varje tidigare bygge och dess SBOM, och vilka byggen som innehöll det sårbara beroendet, direkt eller transitivt, så att du vet under vilken period du var exponerad.

Vulnerability tracking after release After a release ships, its SBOM stays monitored. When a new vulnerability is published, CRACI re-evaluates the monitored SBOMs, finds the affected releases, and the security team triages the finding and routes it to the team that owns the fix. The inventory view shows which software versions are deployed to which products. Release shipped SBOM monitored Later New advisory published Re-evaluated automatically Finding: critical, in 2 releases 1. Triage 2. Route to owner 3. Team fixes Policy gates can block a build on findings · VEX supported Inventory: deployed versions Product Version Web app v4.12.0 Mobile API v2.3.1

Policyspärrar som håller ett känt problem borta

Policyspärrar kan stoppa ett bygge i realtid baserat på fynd, inklusive byggen som innehåller en specifik CVE, och baserat på licenser. Varje bygge körs dessutom under en policy för utgående trafik som upprätthålls i runnern, valideras innan jobbet startar och blockerar vid fel, med larm vid policyöverträdelser.

Policy gates in CI Every build on CRACI records its SBOM, runs under an egress policy and records provenance data. Policy gates can block the build on findings or on a license, so issues are caught in CI before release. Pull request New dependencies, added by a developer or an AI agent Every change reaches the build the same way CRACI build SBOM recorded Egress enforced Provenance Every build, no extra step Policy gate Findings or licenses outside your policy Build blocked Or passes to release

Underlag för din tekniska CRA-dokumentation

Enligt Cyber Resilience Act är det tillverkaren som tar fram den tekniska dokumentationen, genomför bedömningen av överensstämmelse och upprättar EU-försäkran om överensstämmelse. CRACI utför inte de stegen. CRACI levererar de bevis som kommer ur bygget: SBOM:er, register över sårbarheter och åtgärder samt proveniensdata. CRACI skickar också in CRA-sårbarhetsrapporterna å dina vägnar: den tidiga varningen, anmälan och slutrapporten.

CRA obligations and the evidence for them The CRA obligations that touch the software supply chain, such as the SBOM, vulnerability handling, reporting, due diligence and technical documentation, are where CRACI provides evidence. The risk assessment and the conformity assessment stay with the manufacturer. Obligation CRACI evidence Software bill of materials Yes Vulnerability handling Yes Reporting exploited vulnerabilities Submitted for you Due diligence on components Yes Technical documentation Evidence and exports Risk assessment, secure design Yours Conformity assessment, CE Yours CRACI automates a significant part of the supply chain visibility and evidence your CRA process needs

Se de bevis som dina byggen ger

Boka en demo och se SBOM-export, API:t och sårbarhetsuppföljning i CRACI

Boka en demo