Alternativy ke StepSecurity: bezpečnost runnerů 2026

CRACI vyvíjíme my, berte to proto v úvahu; každou možnost popisujeme podle její vlastní dokumentace a říkáme, kdy se lépe hodí jiný nástroj.

Proč týmy hledají jiné řešení než StepSecurity

Domovská stránka StepSecurity — stepsecurity.io

Harden-Runner je agent, který se přidává jako první krok jobu. Přiřazuje odchozí spojení, procesy a zápisy souborů jednotlivým krokům workflow, v režimu auditu vytváří základní profil a blokuje odchozí provoz ke všemu, co není na seznamu povolených. Plně podporuje linuxové runnery hostované na GitHubu a ve Windows a macOS běží v režimu auditu.

Týmy hledají jinde, když se jejich situace změní:

Důkazy. Zaznamenává cíle spojení, nikoli SBOM na úrovni balíčků.
Nastavení. Agent je krok, který přidáváte do každého workflow.
Cena. K září 2026 je úroveň Community zdarma pro veřejné repozitáře a Enterprise stojí $16 za přispívajícího vývojáře měsíčně.

Na co se zaměřit

Zda je nástroj agentem na vašem runneru, nebo samotným runnerem.
Kontrola odchozího provozu a zda můžete provoz nejdřív sledovat, než ho zablokujete.
Monitorování procesů a souborů, pokud ho potřebujete.
Důkazy o buildu: SBOM na úrovni balíčků s tím, co si každý job stáhl.
Které runnery a CI systémy pokrývá.

Možnosti

1. CRACI (náš produkt)

CRACI je samotný runner, ne agent na tom vašem. Egress policy, s výchozím zákazem nebo povolením, se ověřuje před startem jobu a při selhání vše zablokuje. Během běhu jobu zaznamenává proxy, která rozumí balíčkům, co job stáhl, a vytváří SBOM se stavem úplnosti. API vrací SBOM, síťové záznamy a původ.

Nejvhodnější pro: týmy, které chtějí build řídit a zaznamenávat na jednom místě.

Zvažte, pokud: můžete přesunout joby na linuxové runnery CRACI pro GitHub Actions. CRACI nemonitoruje procesy ani zápisy do souborů a režim auditu před blokováním je v plánu vývoje.

CRACI vs StepSecurity

2. Cycode Cimon

Cimon od Cycode je agent eBPF, který běží uvnitř vašich jobů CI. Monitoruje procesy, odchozí síťový provoz a přístup k souborům, než začne vynucovat, naučí se běžné chování pipeline, vytváří SBOM pozorovaný za běhu a podepisuje původ SLSA. Cycode uvádí, že Cimon je zdarma a open source, a je součástí širší platformy Cycode pro bezpečnost aplikací.

Nejvhodnější pro: ochranu buildů za běhu na runnerech, které si ponecháte, napříč několika systémy CI.

CRACI vs Cycode

3. Namespace

Domovská stránka Namespace — namespace.so

Namespace provozuje runnery pro Linux, Windows a macOS na hardwaru, který sám spravuje, vybírané pomocí profilů runnerů. Cache volumes uchovávají data na lokálním úložišti mezi běhy. Jeho egress policy běží v režimu blokování nebo v poradním režimu, který rozhodnutí zaznamenává bez blokování, takže si můžete sestavit allowlist ze skutečného provozu. K září 2026 stojí linuxový runner se 2 vCPU a 4 GB $0.002 za minutu v rámci plánu a $0.003 nad jeho rámec.

Nejvhodnější pro: runnery pro Linux, Windows a macOS od jednoho dodavatele, s cache volumes.

Zvažte, pokud: chcete egress policy nejprve vyzkoušet a teprve pak vynucovat.

CRACI vs Namespace

4. Depot

Depot nabízí linuxové runnery od 2 do 64 vCPU a Windows a macOS v každém plánu, napojené na distribuovanou cache. Své runnery popisuje jako „až 3x rychlejší než runner hostovaný na GitHubu“. Jeho vzdálená služba pro buildy Dockeru uchovává trvalou cache vrstev, linuxové runnery podporují filtrování odchozího provozu a v plánu Business mohou runnery běžet ve vašem vlastním účtu AWS. K září 2026 stojí 2 vCPU $0.006 za minutu nad rámec minut v plánu, měřeno po sekundách.

Nejvhodnější pro: týmy, jejichž čas v CI zabírají hlavně buildy image Dockeru.

Zvažte, pokud: chcete vzdálenou cache buildů i pro Bazel, Gradle nebo Turborepo.

CRACI vs Depot

5. Self-hosted runnery s Actions Runner Controller

Actions Runner Controller (ARC) je „operátor Kubernetes, který orchestruje a škáluje self-hosted runnery pro GitHub Actions“. Runner scale sets rostou a zmenšují se podle počtu běžících workflow a runnery mohou být dočasné kontejnery. GitHub k září 2026 za self-hosted využití neúčtuje po minutách, ale za operační systém a software odpovídáte vy a GitHub varuje, že self-hosted runnery by se pro veřejné repozitáře neměly používat téměř nikdy.

Nejvhodnější pro: joby, které musí běžet ve vaší síti nebo na vašem hardwaru.

Zvažte, pokud: už provozujete Kubernetes a máte čas ho zabezpečit a udržovat.

Spravované vs self-hosted runnery

Vedle sebe

K září 2026.
Funkce	CRACI	StepSecurity Harden-Runner	Cycode (Cimon)	GitHub Advanced Security
Kde běží	Sám je runnerem	Agent na runnerech, které si udržujete	Agent ve vašem stávajícím CI	Skenuje repozitáře na GitHubu
Kontrola odchozího provozu buildu	Výchozí blokování nebo povolení, při selhání vše zablokuje	Allowlist v režimu blokování	Režim prevence s povolenými hosty
Režim auditu před blokováním	Režim monitorování nebo dry-run	Výchozí profily pro každý job	Režim detekce	Bez kontroly odchozího provozu
Monitorování procesů a souborů			eBPF	Neuvedeno
SBOM zaznamenaná z buildu	Pro každý job, se stavem úplnosti	Zaznamenává cíle, procesy, soubory	SBOM zjištěná za běhu	Graf z manifestů a odeslaná data z buildu
Podepsaný původ buildu	Bez podepsaného původu	Neuvedeno	SLSA Provenance v1.0	Atestace artefaktů
SAST		Neuvedeno		CodeQL
Skenování tajných klíčů		Neuvedeno		Secret Protection
Podporované systémy CI	Dnes GitHub Actions; GitLab CI a Jenkins v plánu vývoje	GitHub Actions, GitLab CI, Azure DevOps	GitHub Actions, Azure Pipelines, Jenkins, GitLab CI, Buildkite, Harness	GitHub, Azure DevOps jako samostatný nákup
Cena	$0.002 za vCPU-minutu ($0.004 za 2 vCPU), runner v ceně	Zdarma pro veřejné repozitáře; Enterprise $16 za přispívajícího vývojáře měsíčně	Zdarma a open source, podle Cycode	$19 Secret Protection, $30 Code Security za aktivního committera měsíčně

Součástí
Částečně
Není součástí
V plánu vývoje

„Neuvedeno“ znamená, že jsme to nemohli ověřit na veřejných stránkách dodavatele.

Kdy zůstat u StepSecurity

Chcete si ponechat runnery hostované na GitHubu, včetně Windows a macOS.
Chcete provoz nejdřív sledovat v režimu auditu, než ho zablokujete.
Potřebujete monitorování procesů a souborů, nejen kontrolu sítě.
Používáte také GitLab CI nebo Azure DevOps.

Přečtěte si více o bezpečnosti runnerů a buildů a o integraci CI/CD.

Časté dotazy k alternativám ke StepSecurity

Stručné odpovědi na otázky, které si týmy kladou při srovnávání

Existuje bezplatná alternativa k Harden-Runner?

Podle Cycode je Cimon zdarma a open source. Jde o eBPF agenta, který monitoruje procesy, odchozí provoz a přístup k souborům uvnitř vašich CI jobů. Samotný Harden-Runner je zdarma pro veřejné repozitáře na runnerech hostovaných na GitHubu a jeho agent pro úroveň Community je open source pod licencí Apache 2.0. CRACI bezplatnou úroveň nemá.

Co nahradí StepSecurity v Azure DevOps?

CRACI ne: dnes podporuje pouze GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje. Cycode uvádí Azure Pipelines mezi CI systémy, které Cimon pokrývá, a samotný Harden-Runner Azure DevOps podporuje.

Potřebuje CRACI agenta?

Ne. CRACI je samotný runner, takže do workflow nepřidáváte žádného agenta a neprovozujete žádný controller. Nastavíte runs-on: craci a egress policy se ověří ještě před spuštěním jobu a při selhání vše zablokuje (fail-closed).

Kolik stojí StepSecurity?

K září 2026 je úroveň Community zdarma pro veřejné repozitáře na runnerech hostovaných na GitHubu a Enterprise stojí $16 za přispívajícího vývojáře měsíčně, se 14denní bezplatnou zkušební verzí. Minuty runnerů se platí zvlášť. CRACI účtuje jen samotný runner: $0.002 za vCPU-minutu ($0.004 za výchozí runner se 2 vCPU), účtováno po sekundách, bez měsíčního poplatku a bez poplatku za SBOM.

Umí CRACI auditovat odchozí provoz, než ho zablokuje?

Zatím ne. Režim monitorování neboli zkušebního běhu (dry run) je v plánu vývoje CRACI. Harden-Runner si v režimu auditu vytváří základní profil (baseline) a Cimon se naučí běžné chování pipeline, než začne pravidla vynucovat.