Quédese con Dependency-Track. Quédese con su cadena SBOM. Quédese con Slack. CRAnotify se engancha al final de todos ellos y convierte lo que encuentran en un caso regulatorio con plazo, entrada en el registro a prueba de manipulación y expediente. No sustituye a ninguno.
Una señal nunca es una presentación. Todo lo que entra se convierte en un caso que una persona debe leer, calificar y aprobar. CRAnotify nunca envía nada a una autoridad en su lugar: prepara la presentación, usted la presenta en la plataforma única de notificación de ENISA con la notificación ya redactada.
Un security.txt y un formulario público por producto hacen que la notificación aterrice en su registro con fecha y hora, no en la bandeja de alguien. Cuando llega por teléfono, el caso lo abre usted a mano.
Envíe CycloneDX o SPDX directamente desde la build, o conecte Dependency-Track con una URL y un token de API. Componentes y vulnerabilidades quedan junto al producto, así que cuando escriba la notificación la pregunta de los productos afectados ya está respondida.
La alerta temprana de 24 horas, la notificación de 72 y cada escalado aparecen en Slack o Teams, o en un endpoint suyo mediante webhook o API. La cuenta atrás vive en el caso: si un canal se cae, el plazo no se mueve.
Cada fila dice lo que es hoy. «Disponible» no es una afirmación de este texto: se lee del código en ejecución, así que un conector que no existe no puede aparecer como listo.
De dónde llega la lista de materiales de sus productos.
| Tecnología | Qué le da | Cómo se conecta | Estado |
|---|---|---|---|
 CycloneDX |
La lista de materiales de la build, dentro del caso | API · push desde la CI | disponible |
 SPDX |
Lo mismo, si su cadena de herramientas habla SPDX | API · push desde la CI | disponible |
 GitHub |
La composición de sus repositorios, sin volver a teclearla | Conecte con un clic (OAuth) | planificada |
 GitLab |
Como GitHub, instancias autogestionadas incluidas | Conecte con un clic (OAuth) | próximamente |
 Dependency-Track |
Él sigue escaneando, usted deja de copiar CVE a mano | URL de la instancia + clave de API | próximamente |
 Snyk |
El inventario de proyectos y las issues, como dato de entrada | Token de API | próximamente |
 Mend |
SCA como fuente de composición | Token de API | planificada |
 JFrog Xray |
Artefactos y análisis desde el repositorio de artefactos | URL + clave de API | planificada |
Correspondencias propuestas. Si una vulnerabilidad se está explotando, y si afecta a su producto, lo califica usted.
| Tecnología | Qué le da | Cómo se conecta | Estado |
|---|---|---|---|
 OSV.dev |
Posibles correspondencias entre sus SBOM y las vulnerabilidades conocidas | Sin credenciales: fuente abierta | planificada |
 CISA KEV · EUVD · CVE |
Las mismas correspondencias desde los catálogos públicos. Propone: la explotación la califica usted | URL del catálogo | planificada |
El trabajo de remediación donde ya ocurre. Un ticket resuelto propone una fecha: no la fija.
| Tecnología | Qué le da | Cómo se conecta | Estado |
|---|---|---|---|
 Jira |
El caso y el ticket son la misma historia. Cloud y Server/Data Center | OAuth, o un token para instancias autogestionadas | planificada |
 ServiceNow |
Lo mismo, para equipos que gobiernan el cambio desde ServiceNow | URL de la instancia + credenciales | próximamente |
 Azure DevOps |
Repositorios y tableros en el mismo sitio | OAuth | planificada |
| GitHub Issues |
Si la remediación ya vive en las issues | La misma conexión que GitHub | planificada |
 Linear |
Para los equipos que trabajan ahí | OAuth | planificada |
Un espejo del expediente. El registro a prueba de manipulación se queda dentro de CRAnotify.
| Tecnología | Qué le da | Cómo se conecta | Estado |
|---|---|---|---|
 Confluence |
Un espejo del expediente donde ya vive su documentación. El registro que hace fe se queda aquí | OAuth, o un token para instancias autogestionadas | planificada |
 Microsoft SharePoint |
El mismo espejo, para los equipos en Microsoft 365 | OAuth (Graph) | planificada |
 Google Drive |
El mismo espejo en Workspace | OAuth | planificada |
La cuenta atrás donde alguien la ve de verdad.
| Tecnología | Qué le da | Cómo se conecta | Estado |
|---|---|---|---|
 Webhook |
Los eventos del caso enviados, firmados, al sistema que ya usa | Endpoint HTTPS | disponible |
 Slack |
La cuenta atrás donde el equipo ya mira | Conecte con un clic (OAuth) | planificada |
 Microsoft Teams |
Los mismos avisos, para los equipos en Microsoft | URL del Incoming Webhook | planificada |
 PagerDuty |
La ventana de 24 horas a quien está de guardia, no a un buzón compartido | Routing key | planificada |
 Opsgenie |
Lo mismo, si la guardia vive en Opsgenie | Clave de API | planificada |
| Tecnología | Qué le da | Cómo se conecta | Estado |
|---|---|---|---|
 Microsoft Entra ID |
Acceso con la identidad corporativa, sin una contraseña más | OIDC / SAML | planificada |
| Tecnología | Qué le da | Cómo se conecta | Estado |
|---|---|---|---|
 ENISA · Single Reporting Platform |
La notificación preparada y precumplimentada en el formato esperado. La presentación sigue siendo un acto suyo: no enviamos nada en su lugar, ni ahora ni después | ENISA aún no ha publicado las API oficiales | API no publicadas |
Las conexiones mueven los datos. Qué cuenta como vulnerabilidad notificable, quién la aprueba y cuándo va a la autoridad: las tres cosas las decide usted. Lo que hace CRAnotify es anotar cada paso de esa decisión, en orden, con su marca temporal — la parte que necesitará si alguien le pregunta, meses después, por qué hizo lo que hizo.
Antes del 11 de septiembre de 2026
Ningún resultado para «».
Prueba con un artículo del reglamento (art. 13, art. 14), con un término del producto (expediente, registro, SBOM) o escribe a support@cranotify.eu.