Tieni Dependency-Track. Tieni la pipeline SBOM. Tieni Slack. CRAnotify si aggancia in fondo e trasforma quello che trovano in un caso regolatorio con una scadenza, una riga nel registro a prova di manomissione e un fascicolo. Non sostituisce niente di quello che hai.
Un segnale non è mai un deposito. Tutto quello che entra diventa un caso che una persona deve leggere, qualificare e approvare. CRAnotify non trasmette niente alle autorità al posto tuo: prepara il deposito, poi lo fai tu sulla piattaforma unica ENISA con la segnalazione già compilata.
Con security.txt e un modulo pubblico per prodotto la segnalazione finisce nel registro con data e ora, non nella casella di posta di qualcuno. E quando invece arriva per telefono, il caso lo apri a mano.
Spingi CycloneDX o SPDX direttamente dalla build, oppure colleghi Dependency-Track con un URL e un token API. Componenti e vulnerabilità stanno accanto al prodotto: quando scrivi la segnalazione, quali prodotti sono coinvolti lo sai già.
Il preallarme a 24 ore, la notifica a 72 e ogni escalation arrivano su Slack o Teams, oppure su un tuo endpoint via webhook o API. Il conto alla rovescia però vive nel caso: se un canale cade, la scadenza resta dov'è.
Ogni riga dice cosa è oggi. «Disponibile» non è una parola scritta in questa pagina: viene letta dal codice in esecuzione, quindi un connettore che non esiste non può presentarsi come pronto.
Da dove arriva la distinta base dei tuoi prodotti.
| Tecnologia | Cosa ti dà | Come si collega | Stato |
|---|---|---|---|
 CycloneDX |
La distinta base della build, dentro il caso | API · push dalla CI | disponibile |
 SPDX |
Lo stesso, se la tua toolchain parla SPDX | API · push dalla CI | disponibile |
 GitHub |
La composizione dei tuoi repository, senza copiarla a mano | Connetti con un click (OAuth) | pianificata |
 GitLab |
Come GitHub, anche per le istanze self-managed | Connetti con un click (OAuth) | in arrivo |
 Dependency-Track |
Continua a scansionare lui, tu smetti di ricopiare le CVE | URL dell'istanza + API key | in arrivo |
 Snyk |
L'inventario dei progetti e le issue, come dato d'ingresso | API token | in arrivo |
 Mend |
SCA come sorgente di composizione | API token | pianificata |
 JFrog Xray |
Artefatti e scansioni dal registry | URL + API key | pianificata |
Corrispondenze proposte. Se una vulnerabilità sia sfruttata, e se riguardi il tuo prodotto, lo qualifichi tu.
| Tecnologia | Cosa ti dà | Come si collega | Stato |
|---|---|---|---|
 OSV.dev |
Possibili corrispondenze fra le tue SBOM e le vulnerabilità note | Nessuna credenziale: feed aperto | pianificata |
 CISA KEV · EUVD · CVE |
Le stesse corrispondenze dai cataloghi pubblici. Suggerisce: lo sfruttamento lo qualifichi tu | URL del catalogo | pianificata |
Il lavoro di rimedio dove già si svolge. Un ticket risolto propone una data: non la fissa.
| Tecnologia | Cosa ti dà | Come si collega | Stato |
|---|---|---|---|
 Jira |
Il caso e il ticket restano la stessa storia. Cloud e Server/Data Center | OAuth, oppure token per le istanze self-managed | pianificata |
 ServiceNow |
Lo stesso, per chi governa il cambiamento da ServiceNow | URL dell'istanza + credenziali | in arrivo |
 Azure DevOps |
Repository e board nello stesso posto | OAuth | pianificata |
| GitHub Issues |
Se la remediation vive già negli issue | Stessa connessione di GitHub | pianificata |
 Linear |
Per i team che lavorano lì | OAuth | pianificata |
Uno specchio del fascicolo. Il registro a integrità verificabile resta dentro CRAnotify.
| Tecnologia | Cosa ti dà | Come si collega | Stato |
|---|---|---|---|
 Confluence |
Uno specchio del fascicolo dove la documentazione già vive. Il registro autoritativo resta qui | OAuth, oppure token per le istanze self-managed | pianificata |
 Microsoft SharePoint |
Lo stesso specchio, per chi vive su Microsoft 365 | OAuth (Graph) | pianificata |
 Google Drive |
Lo stesso specchio su Workspace | OAuth | pianificata |
Il conto alla rovescia dove qualcuno lo vede davvero.
| Tecnologia | Cosa ti dà | Come si collega | Stato |
|---|---|---|---|
 Webhook |
Gli eventi del caso dentro il sistema che già usi, firmati | Endpoint HTTPS | disponibile |
 Slack |
Il conto alla rovescia dove il team già guarda | Connetti con un click (OAuth) | pianificata |
 Microsoft Teams |
Gli stessi avvisi, per chi vive su Microsoft | URL dell'Incoming Webhook | pianificata |
 PagerDuty |
La finestra delle 24 ore a chi è di turno, non a una casella condivisa | Routing key | pianificata |
 Opsgenie |
Lo stesso, se la reperibilità è su Opsgenie | API key | pianificata |
| Tecnologia | Cosa ti dà | Come si collega | Stato |
|---|---|---|---|
 Microsoft Entra ID |
Accesso con l'identità aziendale, senza una password in più | OIDC / SAML | pianificata |
| Tecnologia | Cosa ti dà | Come si collega | Stato |
|---|---|---|---|
 ENISA · Single Reporting Platform |
La notifica pronta e pre-compilata nel formato atteso. Il deposito resta un tuo gesto: non inviamo nulla al posto tuo, né ora né dopo | ENISA non ha ancora pubblicato le API ufficiali | API non pubblicate |
I collegamenti spostano i dati. Cosa è una vulnerabilità da segnalare, chi firma e quando si deposita lo decidi tu. Quello che fa CRAnotify è mettere per iscritto ogni passaggio di quella decisione, in ordine e con data e ora: è la parte che ti serve se fra mesi qualcuno ti chiede perché hai fatto così.
Prima dell'11 settembre 2026
Nessun risultato per «».
Prova con un articolo del regolamento (Art. 13, Art. 14), con un termine del prodotto (fascicolo, registro, SBOM) oppure scrivi a support@cranotify.eu.