SPDX o CycloneDX: la herramienta pesa más que la riqueza del formato

Para elegir entre SPDX y CycloneDX, determine primero qué debe hacer el sistema que recibe el SBOM y qué versiones admiten las herramientas de su cadena. SPDX merece especial atención cuando el trabajo se centra en licencias y distribución de software; CycloneDX ofrece un modelo explícito para servicios, vulnerabilidades y activos criptográficos. En ambos casos, la elección depende de que los datos necesarios lleguen al analista o al auditor.

La capacidad de una especificación no garantiza que el generador rellene sus campos ni que el importador los interprete. Una cadena que produce un documento válido, pero pierde las relaciones entre componentes al convertirlo, puede fallar en la tarea para la que se adoptó. Conviene evaluar generación, intercambio y consumo como un recorrido completo.

Qué permite representar cada especificación

La página de especificaciones de SPDX identifica la versión 3.0 como actual, incluye la 2.3 entre las anteriores y señala el reconocimiento de la especificación como estándar internacional ISO/IEC 5962:2021. La versión publicada y la versión que acepta un producto son cuestiones distintas. Si el receptor solo importa una versión anterior, generar un documento con la más reciente no completa el intercambio.

La especificación de CycloneDX 1.7 describe un modelo modular para componentes, servicios, dependencias y activos criptográficos; contempla también licencias, vulnerabilidades y datos sobre su posible impacto. Puede expresar dependencias directas y transitivas, así como relaciones entre componentes y servicios. Esta amplitud resulta útil cuando el inventario debe conectar varias preguntas de seguridad, siempre que las herramientas produzcan y consuman esas partes del modelo.

Matriz de elección según el trabajo

• Licencias y distribución. SPDX es un candidato natural si el receptor necesita relacionar licencias aplicables, avisos de copyright y condiciones para distribuir software. El perfil de licencias de SPDX define esos datos y su relación con las expresiones y la lista de licencias del proyecto. CycloneDX también registra información de licencias: la diferencia práctica está en la que reconoce el producto encargado de aplicar la política y preparar los avisos.
• Vulnerabilidades. CycloneDX resulta atractivo cuando se quiere comunicar una vulnerabilidad junto con el componente o servicio afectado y su posible explotabilidad. El perfil de seguridad de SPDX también permite intercambiar información sobre vulnerabilidades, gravedad, impacto y remediación. La elección requiere comprobar si el receptor interpreta esos datos y los asocia con el elemento correcto; el nombre del formato, por sí solo, no resuelve la priorización.
• Inventario criptográfico. CycloneDX ofrece un modelo explícito para estos activos y sus relaciones. Tiene sentido considerarlo cuando se necesita localizar algoritmos, protocolos o material criptográfico dentro del inventario de un sistema. Su utilidad dependerá de lo que el generador pueda descubrir: un campo disponible en el esquema seguirá vacío si el proceso de generación no obtiene el dato.
• Integración continua. El formato preferible es el que puede generarse para el artefacto entregado y consumirse sin ajustes manuales posteriores. En una prueba conviene distinguir entre exportar un archivo, importarlo, analizarlo y convertirlo: son funciones diferentes aunque un catálogo las reúna bajo la palabra «compatible». También importa que el SBOM conserve versiones de componentes y relaciones de dependencia útiles para la tarea prevista.
• Intercambio con clientes o auditores. La versión exigida por quien recibe el SBOM puede decidir el formato de entrega. Si se necesitan ambos, la conversión debe tratarse como una operación que puede perder detalle propio de cada modelo. Abrir el archivo demuestra compatibilidad sintáctica; responder con él a una consulta concreta de licencias o seguridad demuestra que el intercambio sirve para su propósito.

Qué aporta la evidencia sobre herramientas

La comparación académica de herramientas SBOM clasificó 170 anunciadas públicamente: 78 admitían ambos formatos, 19 solo SPDX y 73 solo CycloneDX; su análisis se centró en versiones anteriores, SPDX 2.2 y CycloneDX 1.3. El estudio encontró una asociación de las herramientas exclusivas de CycloneDX con la construcción de SBOM y de las exclusivas de SPDX con la comparación y la traducción. Es una clasificación de funciones declaradas en un conjunto concreto de herramientas, no una prueba de que cualquier producto actual ejecute bien esas operaciones.

La distinción importa al interpretar las cifras. Una herramienta que admite ambos formatos puede ser adecuada para importar documentos, pero no conservar necesariamente todos los datos al traducirlos. Tampoco cabe trasladar sin comprobación los resultados obtenidos con versiones anteriores a las capacidades de las especificaciones actuales. Para una decisión de compra o de arquitectura, «admite SPDX» o «admite CycloneDX» debe convertirse en una afirmación más precisa: versión, operación y campos que sobreviven hasta el destino.

La prueba de compatibilidad que decide el formato

Prepare un proyecto de prueba con datos conocidos y defina qué información es imprescindible para el trabajo previsto. Para licencias, incluya componentes con sus licencias y los avisos que deban revisarse; para seguridad, identifique una dependencia y la información de vulnerabilidad que el receptor deba relacionar con ella. Si el objetivo es un inventario criptográfico, incorpore un activo que el proceso de generación esté en condiciones de detectar. Estos son supuestos de prueba, no resultados observados en una herramienta concreta.

1. Genere el SBOM con la configuración prevista para la cadena de desarrollo y anote la versión emitida. Inspeccione el archivo para saber si contiene los componentes, identificadores y relaciones que definió como imprescindibles. Que el documento sea válido frente al esquema no demuestra que esté completo para su objetivo.
2. Importe el archivo en el producto que lo utilizará. Compruebe allí las licencias, las relaciones de dependencia y los datos de seguridad o criptografía pertinentes. Si falta algo, distinga si el generador no lo produjo o si el importador no lo presenta ni lo procesa.
3. Repita el recorrido con el otro formato cuando ambos sean opciones reales. Compare la información disponible para la decisión del analista o auditor, además de la aceptación del archivo. El tamaño del documento y el número de campos definidos por cada estándar no indican por sí mismos cuál conserva mejor los datos necesarios.
4. Si habrá conversión, examine el archivo convertido e impórtelo de nuevo. Una pérdida puede ser aceptable para un inventario básico y decisiva para evaluar licencias, localizar una dependencia vulnerable o mantener relaciones entre activos criptográficos. Documente esa diferencia antes de fijar un formato de intercambio.

El resultado puede justificar salidas distintas para receptores distintos: SPDX para un flujo de cumplimiento y CycloneDX para otro centrado en seguridad, por ejemplo. Si una sola salida preserva todos los datos exigidos por ambos, mantenerla simplifica la entrega. La decisión queda definida por la versión y las operaciones que funcionan de extremo a extremo, no por la riqueza teórica del esquema.

Lee también:

• Twitch añade una suscripción por cada cinco regalos, pero solo en formato doble
• Adobe lleva 70 herramientas a Slack: crear no obliga a salir del chat
• GitHub Copilot o Cursor: el tipo de tarea pesa más que el precio