124% fler rapporterade CVE:er per dag 2026 än förra året.

Säkerhet i mjukvarans leveranskedja, registrerad från varje bygge

Mjukvarans leveranskedja möter din produkt i CI-bygget. CRACI kör dina GitHub Actions-jobb på säkra runners och registrerar varje beroende de drar in, styr vad varje bygge kan nå och fortsätter att följa sårbarheter i det du levererat.

Boka en demo Så fungerar CRACI →

Säkra runners för GitHub Actions

Ändra runs-on till craci så körs dina GitHub Actions-jobb på CRACI:s runners, och körningarna syns fortfarande i GitHub. Varje jobb får en egen isolerad virtuell maskin på Linux x86-64 eller ARM64, med drift i Europa. Byggen går ungefär dubbelt så snabbt som på GitHub-hostade runners, tack vare snabbare hårdvara, kortare kötider och cachning.

GitHub Actions jobs on CRACI runners A GitHub Actions workflow sets runs-on to craci. Each job runs in its own isolated virtual machine on a CRACI runner, on Linux x86-64 or ARM64, hosted in Europe, and the run still appears in GitHub. .github/workflows/release.yml jobs: build: runs-on: craci was: ubuntu-latest CRACI runners Hosted in Europe Job VM build Linux x86-64 Job VM test Linux ARM64 Job VM publish Linux x86-64 One isolated virtual machine per job, 1 to 32 vCPU Runs still appear in GitHub About 2x GitHub-hosted speed

En SBOM registrerad från varje bygge

CRACI registrerar, den skannar inte. En paketmedveten proxy på runnern ser varje paket som jobbet hämtar från npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk och Git-källor, plus nedladdningsförinställningar för Yocto och OpenEmbedded, inklusive paket som återställs från CI-cachar. Varje jobbs SBOM har en fullständighetsstatus och exporteras som CycloneDX eller SPDX med transitiva beroenden och varje komponents deklarerade licens.

An SBOM recorded during the build Packages from npm, PyPI, Cargo, Go, OCI registries and the CI cache pass through a package-aware proxy on the CRACI runner. The job's SBOM lists what was fetched, states its completeness and exports as CycloneDX or SPDX. Package sources npm PyPI Cargo · Go OCI registries CI cache restore Package- aware proxy on the runner Job SBOM express 5.2.1 requests 2.32.3 serde 1.0.219 + transitive deps Declared license on every component Complete Completeness states per job and cache: Complete, Complete with connections, Incomplete, Unavailable, Not recorded CycloneDX · SPDX

Styr vad ett bygge kan nå

En egress-policy avgör vilka värdar ett jobb får ansluta till: neka som standard eller tillåt som standard, 24 inbyggda förinställningar för programvarukällor, typade egna källor för paketregister och Git samt explicita nätverksregler. Policyn valideras innan jobbet startar och blockerar vid fel, och överträdelser utlöser ett larm. Ett komprometterat beroende eller byggsteg kan inte i tysthet skicka data till en värd som du aldrig har godkänt.

An egress policy on the build network A build job connects to hosts in its egress policy, such as package registries and Git, and a connection to a host outside the policy is blocked. The policy is validated before the job starts and fails closed, and a violation sends an alert. Egress policy Default deny Validated before the job starts Fails closed · 24 source presets Build job on a CRACI runner npm registry allowed PyPI allowed Git over HTTPS allowed Unapproved host blocked Alert on policy violation Connections are recorded in the job's network trace

Proveniens för det du levererar

Det publika REST API:t returnerar SBOM:er, nätverksspårningar och proveniens för varje jobb, allt registrerat från samma bygge. Underlaget kommer direkt ur bygget, utan något extra steg i arbetsflödet.

Provenance data from every build Every job on CRACI records the packages it fetched and its network trace. The public REST API returns the job's SBOMs, network trace and provenance. Build release job on CRACI Recorded packages fetched network trace Provenance build data, via the API Ask the API about any job Job → SBOM, trace, provenance Returned by the API Job Packages CycloneDX SBOM Network trace Recorded on every CRACI job, no extra step

Sårbarhetsuppföljning efter release

CRACI omvärderar löpande SBOM:erna för det du levererat när nya sårbarheter publiceras och sammanställer fynd över byggen och repon. Säkerhetsteamen triagerar dem och skickar vart och ett vidare till teamet som äger åtgärden. Policykontroller kan stoppa ett bygge på grund av fynd eller en licens, VEX stöds, leverantörers SBOM:er bevakas tillsammans med dina egna byggen, och inventarievyn visar vilka programvaruversioner som är driftsatta i vilka produkter.

Vulnerability tracking after release After a release ships, its SBOM stays monitored. When a new vulnerability is published, CRACI re-evaluates the monitored SBOMs, finds the affected releases, and the security team triages the finding and routes it to the team that owns the fix. The inventory view shows which software versions are deployed to which products. Release shipped SBOM monitored Later New advisory published Re-evaluated automatically Finding: critical, in 2 releases 1. Triage 2. Route to owner 3. Team fixes Policy gates can block a build on findings · VEX supported Inventory: deployed versions Product Version Web app v4.12.0 Mobile API v2.3.1

Underlag för kunder och revisorer

Kunder, revisorer och regelverk efterfrågar allt oftare en SBOM per release och en registrering av hur sårbarheter har hanterats. CRACI exporterar SBOM:er som CycloneDX eller SPDX, inklusive sårbarheterna som hittats i deras komponenter, och ett publikt REST API returnerar SBOM:er, nätverksspårningar och proveniens. Samma underlag stöder EU:s Cyber Resilience Act, NIS2, FDA:s krav på SBOM och kontrollerna för leveranskedjan i ISO 27001.

Evidence from the build record SBOMs export as CycloneDX or SPDX, including the vulnerabilities found in their components, and the public REST API returns SBOMs, network traces and provenance, for customers, auditors and frameworks such as the EU Cyber Resilience Act, NIS2, FDA SBOM requirements and ISO 27001 supply chain controls. The build record SBOMs Vulnerability records Provenance Network traces Export CycloneDX SPDX REST API Who asks for it Customers Auditors Security reviews Frameworks this evidence supports EU Cyber Resilience Act NIS2 supply chain security FDA SBOM for cyber devices ISO 27001 supply chain controls

Frågorna som en incident i leveranskedjan väcker

När ett paket, en CI-action eller ett register komprometteras går de första timmarna åt till att ta reda på om du är drabbad. Det här är frågorna team ställer, och var CRACI:s registrering av bygget besvarar dem.

Frågan Hur CRACI besvarar den
Drog något av våra byggen in den komprometterade paketversionen? Varje bygges SBOM listar de paket som jobbet faktiskt hämtade, så du söker i registrerade byggen i stället för att skanna om repon.
Vilka av våra produkter och releaser berörs? Bevakade SBOM:er omvärderas löpande, och inventarievyn kopplar programvaruversioner till de produkter där de är driftsatta.
Kan ett byggsteg ha skickat hemligheter någonstans? Varje jobbs nätverksspårning registrerar anslutningarna det gjorde, och egress-policyn blockerar värdar utanför policyn innan de nås.
Är den här SBOM:en tillräckligt komplett för att lämnas över? Varje jobbs SBOM anger sin fullständighet: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded.
Vem åtgärdar det, och kan vi bevisa att det har hanterats? Fynd triageras och skickas vidare till ansvariga team, och SBOM:er exporteras som CycloneDX eller SPDX med sårbarheterna som hittats i deras komponenter.

CRACI täcker bygget och det som levereras. Kodskanning, skanning efter hemligheter och reachability-analys ligger kvar hos dina verktyg för applikationssäkerhet. GitHub Actions stöds i dag, och andra CI-system finns på roadmapen.

Säkerhet i mjukvarans leveranskedja: svar på vanliga frågor

Vad det omfattar, varför det hör hemma i CI/CD och var CRACI passar in

Vad är säkerhet i mjukvarans leveranskedja?

Säkerhet i mjukvarans leveranskedja skyddar allt som går in i din programvara mellan den första committen och releasen: open source-beroenden, basavbilder, byggverktyg, tredjeparts-actions i CI, själva CI-pipelinen och artefakterna du levererar. Det innebär att veta vilka delarna är, styra var de kommer ifrån och kunna bevisa vad som ingick i varje release.

Varför säkra mjukvarans leveranskedja i CI/CD?

Release-bygget är där dina beroenden löses, laddas ner och paketeras. Ett produktionsbygge är inte bygget på en laptop: versionsintervall, föränderliga taggar och cachar gör att det kan dra in något annat. En registrering som görs medan release-bygget körs är den enda pålitliga registreringen av vad som levererades, och byggrunnern är där du kan styra vad bygget får nå.

Hur skiljer sig CRACI från en skanner för säkerhet i leveranskedjan?

Skannrar läser filer i efterhand: ett manifest, en lockfile, källkod eller en färdig binär. CRACI är runnern för dina GitHub Actions-jobb, så den observerar bygget medan det pågår och registrerar de paket som varje jobb faktiskt drog in, inklusive paket som återställs från CI-cachar. Varje SBOM anger sin egen fullständighet, en egress-policy styr vad bygget kan nå, och API:t returnerar SBOM:er, nätverksspårningar och proveniens.

Ersätter CRACI mina GitHub Actions-arbetsflöden?

Nej. CRACI ersätter runnern, inte GitHub Actions. Du ändrar runs-on till craci, och dina arbetsflöden, triggers och körhistorik stannar i GitHub.

Vilka CI-system och plattformar har CRACI stöd för?

GitHub Actions i dag; andra CI-system finns på roadmapen, bland dem GitLab CI och Jenkins. Runners kör Linux på x86-64 och ARM64, och Windows och macOS finns på roadmapen.

Gör CRACI SAST, skanning efter hemligheter eller reachability-analys?

Nej. CRACI registrerar och styr bygget, följer sårbarheter i det du levererat och tar fram underlaget. Att skanna din egen kod efter brister eller hemligheter, och reachability-analys, är uppgifter för ett verktyg för applikationssäkerhet.

Var lagras mina byggdata?

CRACI drivs i Europa, på europeisk bare metal-infrastruktur, och data sparas i 180 dagar som standard, med anpassad lagringstid på Enterprise. CRACI lagrar inte din källkod. CRACI är certifierat enligt ISO 27001; detaljerna finns i Trust Center.

Se vad dina byggen faktiskt drar in

Boka en demo och se den SBOM, nätverksspårning, egress-policy och proveniens som CRACI registrerar för ett GitHub Actions-bygge

Boka en demo