StepSecurity vs CRACI

Stručná odpověď

StepSecurity je platforma pro bezpečnost softwarového dodavatelského řetězce, která pokrývá čtyři kontrolní body: počítače vývojářů, registry balíčků, repozitáře kódu a CI/CD. Její produkt pro CI/CD, Harden-Runner, je agent, který sleduje každé odchozí spojení, proces a zápis souboru v jobu, přiřazuje je ke kroku workflow, který je způsobil, a umí blokovat odchozí provoz ke všemu, co není na allowlistu. Enterprise stojí $16 za přispívajícího vývojáře měsíčně a veřejné repozitáře na runnerech hostovaných na GitHubu jsou zdarma.

CRACI nahrazuje samotný runner: jeho egress policy vynucuje platforma runneru a ověřuje se před spuštěním jobu a tentýž job vytvoří SBOM na úrovni balíčků. Toto je největší překryv, jaký má CRACI s kterýmkoli bezpečnostním dodavatelem, protože oba omezují, kam se build může dostat. Rozdíl je v tom, kde kontrola sídlí. Harden-Runner zabezpečuje runnery, které si ponecháte, včetně těch hostovaných na GitHubu. Politika CRACI je dána tím, že CRACI je runner, a zaznamenává balíčky, nejen cíle.

V kostce

„Neuvedeno“ znamená, že jsme to nedokázali ověřit na veřejných stránkách StepSecurity.

Co StepSecurity dělá dobře

Harden-Runner

• Přehled na úrovni kroků. Každé odchozí spojení, operace se souborem a spuštění procesu se přiřadí k přesnému kroku, jobu a workflow, kde k nim došlo. Úroveň Enterprise přidává argumenty procesů, cesty zápisů souborů a výstrahy e-mailem, přes Slack, Microsoft Teams nebo do vašeho SIEM.
• Nejprve audit, pak blokování. V režimu egress-policy: audit vytvoří Harden-Runner výchozí stav běžných odchozích volání každého jobu a označí cokoli nového. Pak můžete přepnout do blokovacího režimu s allowlistem koncových bodů. Globální seznam známých škodlivých domén, který spravuje StepSecurity, platí i v režimu auditu.
• Detekce manipulace. Upozorní na neočekávané změny zdrojového kódu během buildu.
• Široké pokrytí. Plná podpora na linuxových runnerech hostovaných na GitHubu, režim auditu na runnerech Windows a macOS hostovaných na GitHubu a v úrovni Enterprise vlastní virtuální stroje, bare metal a Actions Runner Controller. StepSecurity uvádí také GitLab CI, Azure DevOps a runnery třetích stran jako Blacksmith, Depot a Namespace. Na vlastních (self-hosted) runnerech je agent zabudován do image runneru, takže workflow nepotřebují žádné změny.
• Výsledky. StepSecurity uvádí, že Harden-Runner odhalil kompromitaci tj-actions/changed-files (CVE-2025-30066) a kompromitovaný npm balíček axios a že zabezpečuje více než 25 milionů běhů workflow týdně. Agent úrovně Community je open source pod licencí Apache 2.0.

Kde Harden-Runner běží

Vlastní tabulka podpory StepSecurity pro GitHub Actions, stav k září 2026:

Není podporován, když celý job běží v kontejneru na runnerech hostovaných na GitHubu, ani na ubuntu-slim. Na Actions Runner Controller jsou podporovány pouze linuxové joby.

Zbytek platformy

• Governance akcí: inventář akcí třetích stran a opakovaně použitelných workflow, které používáte, schvalovací workflow pro nové a StepSecurity Maintained Actions jako prověřené náhrady.
• Secure Registry: ochranné lhůty pro nové verze balíčků, blokování známých kompromitovaných verzí, ochrana proti typosquattingu a blocklisty pro celou organizaci, s jednou politikou pro notebooky i CI.
• Code Repo Security: checky pull requestů a Orchestrate Security, které otevírá pull requesty, jež připínají akce na SHA commitů, nastavují oprávnění GITHUB_TOKEN podle principu nejnižších oprávnění a zavádějí konfigurace Dependabotu.
• Dev Machine Guard: inventář AI agentů pro programování, MCP serverů, rozšíření IDE a balíčků na počítačích vývojářů.

V čem je CRACI jiné

Být runnerem, ne agentem na něm

Na runnerech hostovaných na GitHubu instaluje Harden-Runner krok, který přidáte jako první krok každého jobu, a jeho dosah závisí na tom, co infrastruktura GitHubu dovolí. Nic z toho není chyba produktu; vyplývá to z běhu na infrastruktuře, kterou vlastní někdo jiný.

Politika CRACI je součástí runneru. Ověřuje se před spuštěním jobu, odmítá neznámá pole a při selhání vše zablokuje, takže politika, kterou nelze uplatnit, nevede k nechráněnému běhu. Běhy se stále zobrazují na GitHubu a přesun jobu znamená změnu jeho štítku runs-on.

Balíčky, nejen cíle

Allowlist Harden-Runneru je seznam koncových bodů a jeho síťové přehledy ukazují, které hostitele každý krok kontaktoval. Zdroje CRACI jsou typované podle ekosystému, s 24 vestavěnými předvolbami softwarových zdrojů, vlastními zdroji pro npm, PyPI, apt, apk, Go proxy, Nix, Cargo, registry OCI a Git přes HTTPS a SSH a explicitními pravidly pro TLS, TCP, UDP a ICMP. Proxy, která rozumí balíčkům, zaznamenává, které balíčky každý job stáhl, včetně balíčků obnovených z cache CI, a vytváří SBOM ve formátu CycloneDX nebo SPDX se stavem úplnosti pro každý job a každou cache.

Po buildu

• Údaje o původu vrací API spolu se SBOM a síťovými záznamy. CRACI údaje o původu nepodepisuje a nedeklaruje žádnou úroveň SLSA.
• Monitorování znovu vyhodnocuje SBOM toho, co jste dodali, když se objeví nové zranitelnosti, a bezpečnostní týmy provádějí triáž nálezů a předávají je týmům, které odpovídají za opravu.
• Inventář přesně ukazuje, které verze softwaru jsou nasazeny ve kterých produktech, globálně, takže novou zranitelnost lze přímo přiřadit k produktům, na kterých běží dotčená verze.

Cena

K září 2026 je úroveň Community od StepSecurity zdarma pro neomezený počet veřejných repozitářů na runnerech hostovaných na GitHubu. Úroveň Enterprise stojí $16 měsíčně za přispívajícího vývojáře, tedy každého, kdo za posledních 90 dní přispěl do zabezpečeného repozitáře, a zahrnuje Dev Machine Guard a Secure Registry. Samotný Dev Machine Guard stojí $8 za zařízení měsíčně. Soukromé repozitáře a vlastní (self-hosted) runnery potřebují Enterprise, obě placené úrovně mají 14denní zkušební verzi zdarma a StepSecurity nabízí množstevní slevy. Harden-Runner zabezpečuje runnery, za které už platíte, takže minuty runnerů jsou samostatný náklad.

CRACI účtuje pouze minuty buildu: $0.002 za vCPU-minutu ($0.004 za výchozí runner s 2 vCPU), účtováno po sekundách, bez měsíčního poplatku. Protože CRACI je runner, tato cena pokrývá výpočetní výkon i důkazy. Aktuální podmínky najdete v ceníku CRACI.

Co se hodí pro vás

StepSecurity se hodí lépe, když

• Chcete si ponechat runnery hostované na GitHubu, včetně Windows a macOS.
• Provozujete vlastní (self-hosted) runnery, GitLab CI nebo Azure DevOps.
• Chcete sledovat provoz v režimu auditu dříve, než cokoli zablokujete.
• Pro reakci na incidenty potřebujete přehled na úrovni procesů a souborů.
• Váš open source projekt běží na runnerech hostovaných na GitHubu a potřebuje bezplatnou možnost.

CRACI se hodí lépe, když

• Chcete mít runner a egress policy na jednom místě, bez agenta, kterého je třeba nasadit.
• Potřebujete SBOM z každého buildu na úrovni balíčků, se stavem úplnosti.
• Chcete monitorovat to, co bylo dodáno.
• Potřebujete důkazy pro CRA nebo uložení dat v EU v plánu Enterprise od CRACI.

Čeho se vzdáte přesunem jobů na CRACI

Řekněme to na rovinu: CRACI zatím nemá režim auditu ani monitorovací režim (je v plánu vývoje), nemonitoruje procesy ani zápisy souborů, zatím neběží na runnerech hostovaných na GitHubu ani v jiných systémech CI (GitLab CI a Jenkins jsou v plánu vývoje), blocklisty balíčků má zatím jen v plánu vývoje a jeho výstrahy pokrývají pouze porušení politiky, bez integrace se Slackem, Teams nebo SIEM. Pokud jsou to vaše priority, StepSecurity je pokrývá už dnes.

Secure Registry, Code Repo Security a Dev Machine Guard od StepSecurity chrání body, kterých se CRACI nedotýká: registr, ze kterého pocházejí vaše balíčky, vaše repozitáře a notebooky vývojářů. Nezávisejí na runneru, takže je neovlivní, kde vaše joby běží.

Pro Cyber Resilience Act

Cyber Resilience Act požaduje, aby výrobci znali komponenty ve svých produktech, řešili jejich zranitelnosti a uchovávali důkazy. StepSecurity se zaměřuje na prevenci a detekci útoků na dodavatelský řetězec a jeho přehledy za běhu pomáhají při vyšetřování incidentu v CI. CRACI automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firmy potřebují pro svůj širší proces souladu s CRA: SBOM z doby buildu exportované jako CycloneDX nebo SPDX, sledování zranitelností a údaje o původu přes API. Viz důkazy pro CRA.

Přečtěte si více o integraci CI/CD a generování SBOM v době buildu, nebo si rezervujte demo a podívejte se, jak job běží pod egress policy na CRACI.

StepSecurity: odpovědi na otázky

Co je StepSecurity?

StepSecurity je platforma pro bezpečnost softwarového dodavatelského řetězce. Její nejznámější produkt, Harden-Runner, je agent, který na runnerech CI/CD monitoruje odchozí síťový provoz, integritu souborů a aktivitu procesů a umí blokovat odchozí provoz mimo allowlist. Platforma pokrývá také registry balíčků (Secure Registry), repozitáře kódu (Code Repo Security), počítače vývojářů (Dev Machine Guard) a threat intelligence.

Kolik StepSecurity stojí?

K září 2026 je úroveň Community zdarma pro neomezený počet veřejných repozitářů. Enterprise stojí $16 za přispívajícího vývojáře měsíčně, přičemž přispívajícím vývojářem je každý, kdo za posledních 90 dní přispěl do zabezpečeného repozitáře, a zahrnuje Dev Machine Guard a Secure Registry. Samotný Dev Machine Guard stojí $8 za zařízení měsíčně. Obě placené úrovně mají 14denní zkušební verzi zdarma a minuty runnerů jsou samostatný náklad.

Je Harden-Runner zdarma?

Ano, pro veřejné repozitáře na runnerech hostovaných na GitHubu. Soukromé repozitáře a vlastní (self-hosted) runnery, včetně vlastních runnerů pro veřejné repozitáře, potřebují úroveň Enterprise. Agent úrovně Community je open source pod licencí Apache 2.0.

Které runnery Harden-Runner podporuje?

Linuxové runnery hostované na GitHubu v režimu auditu i blokovacím režimu, runnery Windows a macOS hostované na GitHubu v režimu auditu a v úrovni Enterprise vlastní virtuální stroje, bare metal a Actions Runner Controller. StepSecurity uvádí také GitLab CI, Azure DevOps a runnery třetích stran jako Blacksmith, Depot a Namespace. Není podporován, když celý job běží v kontejneru na runnerech hostovaných na GitHubu, ani na ubuntu-slim.

Jaký je rozdíl mezi StepSecurity a CRACI?

Harden-Runner je agent, kterého přidáte na runnery, které si ponecháte. CRACI je samotný runner: jeho egress policy vynucuje platforma runneru, ověřuje se před spuštěním jobu a při selhání vše zablokuje a každý job navíc vytvoří SBOM na úrovni balíčků se stavem úplnosti. StepSecurity má náskok v režimu auditu, monitorování procesů a souborů a v pokrytí runnerů a systémů CI.

Může CRACI nahradit Harden-Runner?

U jobů GitHub Actions na Linuxu ano: přesunem jobu na CRACI získá job kontrolu odchozího provozu přímo od runneru, takže na něm není potřeba žádný agent. Vzdáváte se režimu auditu (v plánu vývoje CRACI), monitorování procesů a souborů a pokrytí runnerů hostovaných na GitHubu, runnerů Windows, macOS a runnerů mimo GitHub.

Generuje StepSecurity SBOM?

Harden-Runner zaznamenává cíle, procesy a soubory, kterých se job dotkl, nikoli SBOM buildu na úrovni balíčků. CRACI zaznamenává, které balíčky každý job stáhl, včetně balíčků obnovených z cache CI, a exportuje CycloneDX a SPDX.