GitOps Code Report vs
OWASP Dependency-Track
Ambos muestran el riesgo de las dependencias, pero parten de puntos distintos. Code Report ejecuta Trivy, Syft y Gitleaks contra tu repositorio; Dependency-Track ingiere SBOM CycloneDX y monitoriza continuamente un portfolio de software.
Precio fijo según el tamaño de la empresa
Todos los planes incluyen Vault, Code Report y State IaC. Sin cargos por identidad, y los tokens de servidor no te hacen subir de plan.
Ver todos los precios$0/mo
Siempre gratis
Vault, Code Report y State IaC
$5/mo
1–10 usuarios de empresa
Incluye Vault, Code Report y State IaC. Los usuarios y tokens de servidor no se facturan como identidades.
$20/mo
11–25 usuarios de empresa
Incluye Vault, Code Report y State IaC. Los usuarios y tokens de servidor no se facturan como identidades.
$100/mo
26–usuarios ilimitados
Incluye Vault, Code Report y State IaC. Los usuarios y tokens de servidor no se facturan como identidades.
Todos los planes GitOps incluyen Vault, Code Report y State IaC. Dependency-Track es gratuito y de código abierto, pero no ofrece un plan Cloud gestionado oficial.
Software gratuito, modelos operativos diferentes
Dependency-Track no tiene coste de licencia, pero en producción requiere ejecutar sus servicios y PostgreSQL. GitOps ofrece planes Cloud gestionados y GitOps Self-Hosted también es completamente gratis.
Dependency-Track v5 usa PostgreSQL y servicios de aplicación separados. La guía oficial de v4 indica un mínimo de 2 núcleos de CPU y 2 GB de RAM para el servidor API, con 4 núcleos y 8 GB recomendados, además del frontend y la base de datos.
GitOps Cloud, 1–10 usuarios
Plataforma gestionada; gratis durante la beta
5 $/mes después de la beta
Licencia GitOps Self-Hosted
Vault, Code Report y State IaC
0 $
Licencia Dependency-Track
Apache-2.0; infraestructura no incluida
0 $
Elige Code Report para escaneo nativo del repositorio
Ejecuta conjuntamente escáneres de vulnerabilidades, licencias, SBOM y secretos, y conserva los resultados vinculados al servicio y revisión Git que los generaron.
Elige Dependency-Track para operar SBOM
Mantén un inventario de componentes persistente, reanalízalo continuamente con inteligencia de vulnerabilidades y gobierna un portfolio amplio de software.
Compara el modelo operativo
Code Report ejecuta los escáneres donde corre tu código. Dependency-Track funciona como una aplicación persistente con base de datos y recibe SBOM desde los pipelines.
Una comparativa práctica de funciones
Basada en el comportamiento actual de GitOps Code Report y la documentación oficial de Dependency-Track. Los productos se solapan en SCA, pero no pertenecen exactamente a la misma categoría.
| Función | GitOps Code Report | Dependency-Track |
|---|---|---|
| Flujo principal | Ejecutar Trivy, Syft y Gitleaks localmente o en CI | Ingerir y analizar continuamente SBOM CycloneDX |
| Análisis de vulnerabilidades conocidas | Hallazgos de Trivy vinculados al servicio y revisión Git | Análisis continuo con múltiples fuentes de vulnerabilidades |
| Flujo SBOM | Generar y almacenar resultados SBOM con Syft | Inventario nativo de CycloneDX y seguimiento de portfolio |
| Escaneo de secretos | Incluido mediante Gitleaks | No es un tipo de análisis principal de Dependency-Track |
| Análisis de licencias | Hallazgos de licencias de Trivy y Syft | Evaluación de licencias y cumplimiento de políticas |
| Reanálisis continuo | Nuevo análisis al ejecutar un escaneo | Reanálisis automático cuando cambia la inteligencia |
| Contexto de revisión Git | Repositorio, rama, commit, autor, versión y etiquetas | Proyecto y versión proporcionados con el SBOM |
| Integración CI/CD | Un comando CLI ejecuta los escáneres configurados y sube los resultados | Publicar un SBOM CycloneDX generado mediante API o plugins |
| Backend de datos en producción | Almacenamiento nativo de Git de la plataforma | PostgreSQL |
| Cloud gestionado oficial | GitOps Cloud | El proyecto no publica un servicio gestionado oficial |
| Precio del software Self-Hosted | Gratis | Gratis |
| Mejor opción para | Equipos que quieren escaneo de repositorios dentro de una plataforma DevSecOps más amplia | Equipos AppSec que operan un programa continuo de SBOM e inventario de componentes |
PostgreSQL y el cómputo de aplicación suman costes
En producción, Dependency-Track requiere PostgreSQL y servicios persistentes de API y frontend. GitOps almacena los datos de la plataforma en Git, por lo que un repositorio privado existente puede tener coste incremental de almacenamiento cero.
Estimaciones ilustrativas en USD antes de impuestos, usando 730 horas al mes en regiones de EE. UU. El cómputo de aplicación, backups, alta disponibilidad y tráfico de red no están incluidos en las estimaciones de base de datos.
Repositorio Git privado existente
Coste incremental del backend Git
$0/mo
Cloud SQL PostgreSQL
db-f1-micro + SSD de 10 GiB, Iowa, sin HA
~$9.40/mo
Amazon RDS PostgreSQL
db.t4g.micro + gp3 de 20 GiB, Norte de Virginia, Single-AZ
~$15/mo
Preguntas frecuentes sobre Code Report y Dependency-Track
¿Es Code Report un sustituto directo de Dependency-Track?
No en todos los flujos. Code Report es un producto de escaneo e informes orientado al repositorio que ejecuta Trivy, Syft y Gitleaks. Dependency-Track es una plataforma persistente de análisis SBOM diseñada para inventario y reanálisis continuo de componentes.
¿Se pueden alojar gratis ambos productos?
Sí. GitOps Self-Hosted es completamente gratis, sin coste de licencia, y Dependency-Track es código abierto con licencia Apache-2.0. Los costes de infraestructura y operación siguen aplicándose a ambos despliegues.
¿Code Report admite SBOM?
Sí. Code Report puede ejecutar Syft y almacenar sus resultados SBOM y de licencias. Dependency-Track recibe SBOM CycloneDX de CI o proveedores y mantiene con ellos un inventario analizado continuamente.
¿Qué producto detecta secretos filtrados?
Code Report incluye Gitleaks como escáner configurable para credenciales expuestas. El escaneo de secretos no figura como tipo de análisis principal de Dependency-Track.
¿Ofrece Dependency-Track un plan Cloud gestionado oficial?
El proyecto OWASP publica distribuciones Self-Hosted de código abierto y documentación de despliegue. No publica un plan Cloud gestionado oficial; pueden existir ofertas alojadas por terceros.
Seguridad del repositorio en un único flujo
Escanea código, dependencias, licencias y secretos.
Referencias de la comparativa e infraestructura comprobadas el 14 de septiembre de 2026. Los nombres y marcas OWASP y Dependency-Track pertenecen a sus respectivos propietarios. Las funciones y requisitos pueden cambiar; verifica la documentación actual antes de tomar una decisión.