Scandar und Socket
Socket ist eine gehostete Firewall und ein Scanner für die Lieferkette. Scandar liest die Lockfile im Repository und öffnet einen Pull Request.
Informationen geprüft am 25. Oktober 2026; Pläne ändern sich, sieh auf deren Website nach.
| Scandar | Socket | Quelle | |
|---|---|---|---|
| Veröffentlichter Preis | Die Preise sind das, was Polar auf diesem Server verkaufen soll, angezeigt auf der Preisseite. Solange Zahlungen nicht eingerichtet sind, sind alle Funktionen offen und alle Grenzen unbegrenzt. Das Produkt hat keinen eigenen Preis pro Entwickler. | Die Vergleichstabelle nennt Free mit 0 $, Team mit 25 $ und Business mit 50 $ pro Entwicklerplatz und Monat. Enterprise ist individuell. | Socket-Preise Geprüft am 25. Oktober 2026 |
| Entwicklerplätze | Keine Platzzahl. Personen teilen sich einen Plan über eine Organisation, wenn diese Funktion aktiv ist. | Die Vergleichstabelle nennt 1 Platz in Free, ab 5 in Team, ab 20 in Business und individuell in Enterprise. | Socket-Preise Geprüft am 25. Oktober 2026 |
| Scans pro Monat | Öffentliche Scans und Scans mit Anmeldung nutzen die Grenzen dieser App, keinen Zähler eines Drittanbieters. | Die Vergleichstabelle nennt 1.000 Scans/Monat in Free, 5.000 in Team und unbegrenzt in Business und Enterprise. | Socket-Preise Geprüft am 25. Oktober 2026 |
| Erreichbarkeit | Erreichbarkeit über Import und Require für lesbaren Code. Nicht auf Funktionsebene. | Die Vergleichstabelle nennt Erreichbarkeitsanalyse als nicht in Free enthalten und ab Team enthalten. Volle CVE-Erreichbarkeit auf Funktionsebene gibt es nur in Enterprise. | Socket-Preise Geprüft am 25. Oktober 2026 |
| Bösartige Pakete | OSV-Advisories, deren ID mit MAL- beginnt, erscheinen zuerst, mit der Anweisung, das Paket zu entfernen. | Die Vergleichstabelle nennt das Blockieren bösartiger Pakete bei der Installation als in jedem Plan enthalten. | Socket-Preise Geprüft am 25. Oktober 2026 |
| SAST, Secrets, Container | Nicht Teil von Scandar. | Unter Socket Basics nennt die Vergleichstabelle SAST-Sprachen und Secret-Detektoren als nicht enthalten bis Enterprise, wo über 15 Sprachen und über 800 Secret-Detektoren stehen. Öffentliche Container-Registries stehen bei Enterprise. | Socket-Preise Geprüft am 25. Oktober 2026 |
| Quellcode | Das Repository-Archiv wird heruntergeladen, damit der Scan sieht, welche Pakete der Code importiert. | Die Preis-FAQ sagt, dass Quellcode nie deinen Computer oder deine CI-Umgebung verlässt. Nur die Abhängigkeitsliste wird an Socket gesendet. | Socket-Preise Geprüft am 25. Oktober 2026 |
| Open Source und Jahresabrechnung | Die öffentlichen Paket- und CVE-Seiten sind kostenlos lesbar. Repository-Scans folgen den Grenzen oben. | Laut FAQ ist Socket für Open Source kostenlos, und jährliche Zahlung spart bis zu 20 % gegenüber monatlicher. Ein Entwickler hat in den letzten 90 Tagen in ein von Socket gescanntes Repository committet. | Socket-Preise Geprüft am 25. Oktober 2026 |
Wo Scandar passt
- Ein Fix-Pull-Request listet jedes Paket, die Ausgangs- und Zielversion, ob die Änderung direkt oder ein Override ist, und die Advisory-IDs. Liegt bereits eine Erklärung im Cache, fügt der Pull Request einen Abschnitt „In plain words“ hinzu. Das Öffnen der Seite ruft das Modell nicht auf.
- Die Priorität berücksichtigt, ob das Projekt das Paket importiert, nicht nur den Schweregrad der Advisory.
- Ein Node-Prozess, den du hostest. Der Scan liest die Lockfile, die du bereits committet hast.
Wo Socket mehr kann
- Die Vergleichstabelle nennt „block malicious packages at install“ als enthalten in Free, Team, Business und Enterprise. Scandar meldet OSV-Malware-Advisories; es sitzt nicht vor npm install.
- Erreichbarkeitsanalyse ist ab dem Team-Plan aufgeführt, volle CVE-Erreichbarkeit auf Funktionsebene nur in Enterprise. Scandar endet bei Imports und Requires.
- Laut FAQ verlässt Quellcode nie deinen Computer oder deine CI, und nur die Abhängigkeitsliste wird gesendet. Scandar lädt das Repository-Archiv herunter, um zu sehen, welche Pakete importiert werden.
- Enterprise nennt SAST (über 15 Sprachen), über 800 Secret-Detektoren und öffentliche Container-Registries. Das macht Scandar nicht.
Welches du nutzen solltest
Wähle Socket, wenn du eine gehostete Firewall willst, die bösartige Installationen blockiert, Erreichbarkeit über Imports hinaus oder SAST, Secrets und Container im Enterprise-Plan.
Wähle Scandar, wenn du den Fix als Pull Request in deinem Repository willst, mit einfach erklärter Advisory, wenn dieser Text bereits im Cache liegt.