Alternativer til Chainguard

Vi bygger CRACI, så tag det med i betragtning; vi beskriver hver mulighed ud fra dens egen dokumentation og siger det, når et andet værktøj passer bedre.

Hvorfor teams kigger ud over Chainguard

Chainguard bygger open source-software fra kildekoden og leverer den hærdet: container-images, som det kalder zero-CVE, Java-, Python- og JavaScript-biblioteker genbygget fra verificeret kildekode, VM-images og hærdede GitHub Actions, hver med en signeret SBOM og SLSA-provenance. For kunder med en ordre forpligter det sig til at afhjælpe kritiske CVE'er inden for 7 dage og andre alvorlighedsgrader inden for 14 dage efter en kvalificerende patch. Det er en stærk måde at starte fra rene input på.

Teams kigger på andre muligheder, når deres situation ændrer sig:

• Pris. Ud over fem gratis images starter Chainguards katalog ved $19K for et team på 10. Der findes nu også gratis hærdede kataloger.
• Omfang. Chainguards SBOM'er og provenance beskriver Chainguards artefakter. Dit eget build, og alt andet, det trækker ind, har stadig brug for sin egen registrering.
• Kontrol over buildet. Rene input begrænser ikke, hvad et build kan nå, mens det kører, og viser ikke, hvad et script downloadede.
• Migrering. At flytte til et hvilket som helst hærdet katalog betyder, at du skal skifte base-images og nogle gange den måde, du bygger dem på.

Hvad du skal kigge efter

• Om du vil sikre inputtet, buildet eller begge dele.
• De distributioner og arkitekturer, du har brug for, og hvor problemfrit images kan erstatte dine nuværende.
• En forpligtelse til at rette CVE'er, og om den kræver et betalt niveau.
• Compliance-varianter som FIPS og STIG, hvis du sælger til det offentlige.
• SBOM'er og provenance, og om de beskriver leverandørens artefakter eller dit build.
• Kontrol over, hvad et build kan nå, mens det kører.

Mulighederne

Mulighed 2 til 9 giver dig hærdede, minimale eller genbyggede images. CRACI sikrer det build, der bruger dem, og Socket sikrer de pakker, det installerer.

1. CRACI (vores produkt)

CRACI sikrer software-forsyningskæden ved buildet frem for ved dens input. Det er en runner til GitHub Actions: Mens hvert job kører, registrerer en pakkebevidst proxy, hvad det hentede, inklusive base-images, pakker og pakker gendannet fra CI-caches, og producerer en SBOM i CycloneDX eller SPDX med en fuldstændighedsstatus pr. job og pr. cache. En egress-politik valideres, før jobbet starter, og blokerer ved fejl, så et build kun når de kilder, du tillader. CRACI bliver ved med at genvurdere SBOM'erne for det, der er leveret, og dets inventaroversigt viser præcis, hvilke softwareversioner der er udrullet til hvilke produkter, globalt.

Bedst til: teams, der har brug for registrering og kontrol af hvert build, uanset hvilke base-images de bruger.

Overvej, hvis: du vil have forsyningskædesikkerhed for den software, du bygger. CRACI producerer ikke hærdede images eller biblioteker, og det understøtter GitHub Actions på Linux i dag, med GitLab CI, Jenkins, Windows og macOS på roadmappen.

CRACI og Chainguard

2. Docker Hardened Images

Docker beskriver sine hærdede images som near-zero CVE, minimale og løbende genbygget fra kildekoden, på Alpine eller Debian. Hvert image leveres med signerede SBOM'er, SLSA Level 3-provenance og OpenVEX-data om udnyttelighed. Pr. september 2026 er DHI Community-kataloget gratis og open source under Apache 2.0; DHI Select, fra $5,000 pr. repository, tilføjer en SLA om at rette kritiske CVE'er inden for 7 dage samt FIPS- og STIG-varianter, og DHI Enterprise tilføjer ubegrænset tilpasning.

Bedst til: et gratis hærdet katalog på velkendte Alpine- og Debian-baser.

Overvej, hvis: du kun vil have en SLA for de images, der har brug for en.

3. Echo

Echo tilbyder sårbarhedsfrie containere, biblioteker, VM'er og styresystempakker, med FIPS-validerede og STIG-hærdede varianter, og siger, at det eliminerer 99 % eller mere af sårbarhederne ved kilden. Priserne gives via en demo. Minimus, en anden leverandør af hærdede images, er ved at lukke ned og har overdraget sin teknologi til Echo; dets registry lukker den 22. oktober 2026.

Bedst til: teams, der vil have hærdede images, biblioteker og VM'er fra én leverandør.

Overvej, hvis: du er Minimus-kunde og leder efter afløseren.

4. Aikido

Aikidos hærdede images kan erstatte eksisterende base-images direkte og backporter sikkerhedsrettelser i stedet for at tvinge opgraderinger af distributionen igennem, også efter upstream end of life. Det lister mere end 2.000 images på tværs af Debian, Ubuntu og Alpine på amd64 og arm64, med SBOM, VEX og SLSA-provenance inkluderet ved hvert pull. Du kan starte gratis.

Bedst til: at rette CVE'er i de images, du allerede bruger, uden at skifte distribution.

Overvej, hvis: du også vil have Aikidos bredere AppSec-platform.

CRACI vs. Aikido

5. RapidFort

RapidFort tilbyder mere end 35.000 kuraterede near-zero CVE-images bygget på Ubuntu, RHEL, Debian og Alpine, som direkte erstatninger for almindelige base-images, og siger, at de fjerner op til 99,9 % af CVE'erne. Hele kataloget tilføjer CIS- og DISA STIG-hærdede varianter, FIPS 140-2- og 140-3-images og SBOM-eksport i SPDX og CycloneDX. Platformniveauet profilerer containere under kørsel for at se, hvilke komponenter der faktisk kører, og fjerner ubrugte pakker for op til 90 % mindre angrebsflade. Fem kuraterede images er gratis; hele kataloget prissættes efter tilbud.

Bedst til: teams, der vil have hærdede images på de distributioner, de allerede bruger.

Overvej, hvis: profilering under kørsel og reduktion af angrebsfladen betyder lige så meget som selve images.

6. Bitnami Secure Images

Bitnami, nu en del af Broadcom, sælger hærdede images af open source-applikationer på en minimal Photon OS-base: mere end 350 container-images og 140 Helm charts. Hvert image leveres med en SBOM, VEX-dokumenter, CVE-scanningsresultater og SLSA 3-attestationssignaturer, og kataloget understøtter FIPS, STIG og FedRAMP. Udviklere kan bruge en del af images gratis til ikke-produktionsbrug, kun i latest-tagget; hele kataloget fås via salgsafdelingen eller Arrow marketplace.

Bedst til: teams, der allerede udruller Bitnami-applikationer og Helm charts.

Overvej, hvis: du har brug for images til produktion, hvilket kræver et betalt abonnement.

7. Google distroless

Distroless-images "indeholder kun din applikation og dens runtime-afhængigheder", uden pakkehåndtering eller shell. De er baseret på Debian 13, gratis under Apache 2.0 og signeret med cosign. Der er ingen forpligtelse til at rette CVE'er; rettelserne kommer, efterhånden som Debian udgiver dem.

Bedst til: en mindre angrebsflade uden omkostninger.

Overvej, hvis: du kan leve uden en shell i produktions-images.

8. Iron Bank

Iron Bank er det amerikanske forsvarsministeriums (DoD) kilde til hærdede containere, en del af Platform One. Leverandører, open source-fællesskaber og offentlige teams indsender images, som genbygges uden internetadgang, scannes mod Iron Banks acceptkriterier og overvåges hver 12. time. Det koster ingenting for bidragydere eller brugere, men pulls fra Registry1 kræver en Platform One-konto, og leverandører og bidragydere har ansvaret for at rette fundene i deres images.

Bedst til: software på vej til DoD-systemer, der kræver akkrediterede base-images.

Overvej, hvis: du accepterer, at vedligeholdelsen af hvert image afhænger af dets bidragyder.

9. Cloud Native Buildpacks og Paketo

Cloud Native Buildpacks, et graduated CNCF-projekt, gør applikationens kildekode til OCI-images uden en Dockerfile. Rebase opdaterer base-imaget uden at genbygge appen, builds producerer SBOM'er i CycloneDX, SPDX og Syft JSON, og når et build køres igen, gengives det samme image-digest. Paketo Buildpacks, et fællesskabsprojekt under Cloud Foundry Foundation, leverer færdige buildpacks til Java, Go, .NET Core, Node.js, PHP, Python og Ruby.

Bedst til: teams, der helst ikke vil vedligeholde Dockerfiles og vil patche styresystemlag via rebase.

Overvej, hvis: du kan undvære en leverandørs forpligtelse til at rette CVE'er; det er en måde at bygge images på, ikke et katalog.

10. Socket

Socket sikrer et andet input: open source-pakker. Det analyserer, hvordan pakker opfører sig, markerer risikable tilføjelser i pull requests, og Socket Firewall blokerer ondsindede pakker ved installation, med en gratis version til npm, yarn, pnpm, pip, uv og cargo.

Bedst til: at stoppe dårlige pakker, før de lander, også dem, der endnu ikke har en advisory.

CRACI vs. Socket

Side om side

"Ikke oplyst" betyder, at vi ikke kunne bekræfte det på leverandørens offentlige sider. RapidFort, Bitnami Secure Images, Iron Bank og Buildpacks er beskrevet ovenfor.

Hvad Chainguard og alternativerne koster

De fleste betalte hærdede kataloger prissættes efter tilbud, så sammenlign, hvad en forpligtelse til at rette CVE'er, FIPS- eller STIG-varianter og tilpasning koster hos hver enkelt. Gratis kataloger kommer som regel uden en forpligtelse til rettelser.

Chainguard vs. Docker Hardened Images

Det er de to muligheder, teams oftest sammenligner direkte. Begge leverer minimale images med signerede SBOM'er og SLSA-provenance. Forskellene ligger i, hvordan de bygges, og hvad det gratis niveau indeholder:

• Base. Docker Hardened Images er baseret på Alpine eller Debian, som de fleste teams allerede kender. Chainguard bygger sine images fra kildekoden.
• Gratis niveau. DHI Community-kataloget er gratis under Apache 2.0. Chainguard tilbyder fem images gratis.
• Forpligtelse til at rette CVE'er. Docker forpligter sig til at rette kritiske CVE'er inden for 7 dage på DHI Select, fra $5,000 pr. repository. Chainguard forpligter sig til 7 dage for kritiske og 14 for andre alvorlighedsgrader for kunder med en ordre.
• Ud over images. Chainguard genbygger også sprogbiblioteker og tilbyder VM-images og hærdede GitHub Actions.

Hvornår du skal blive på Chainguard

• Du har brug for hærdede images og biblioteker i flere sprog, med en CVE-forpligtelse, fra én leverandør.
• Du er afhængig af Chainguard Libraries via Artifactory, Nexus eller Cloudsmith.
• Du kan kombinere: Hærdede input og et registreret, kontrolleret build dækker forskellige dele af kæden.

Læs mere om SBOM-generering under buildet og værktøjer til forsyningskædesikkerhed for software sammenlignet.

Alternativer til Chainguard: ofte stillede spørgsmål

Korte svar på de spørgsmål, teams stiller, når de sammenligner

Hvem konkurrerer med Chainguard?

Inden for hærdede container-images: Docker Hardened Images, RapidFort, Bitnami Secure Images fra Broadcom, Echo, Aikido og gratis muligheder som Google distroless og DoD's Iron Bank. Cloud Native Buildpacks er en open source-måde at bygge images på uden Dockerfiles. Socket sikrer i stedet open source-pakker, og CRACI sikrer og registrerer det build, der bruger alle disse input.

Hvad er forskellen mellem Docker og Chainguard?

Docker Hardened Images er baseret på Alpine eller Debian, og Community-kataloget er gratis under Apache 2.0; en forpligtelse til at rette kritiske CVE'er inden for 7 dage følger med det betalte niveau DHI Select, fra $5,000 pr. repository. Chainguard bygger sine images fra kildekoden, forpligter sig til at rette kritiske CVE'er inden for 7 dage og andre inden for 14 for kunder med en ordre og tilbyder også biblioteker, VM'er og GitHub Actions.

Hvad koster Chainguard?

Chainguard tilbyder fem images gratis. Pr. september 2026 starter priserne for kataloget ved $19K for et team på 10, med adgang til hele kataloget og en CVE-SLA, og priser pr. image gives efter tilbud.

Findes der et gratis alternativ til Chainguard?

Ja. Docker Hardened Images' Community-katalog og Google distroless er gratis under Apache 2.0, Iron Bank er gratis med en Platform One-konto, og RapidFort og Aikido lader dig starte gratis. Gratis muligheder kommer som regel uden en forpligtelse til at rette CVE'er.

Erstatter CRACI Chainguard?

Nej. CRACI producerer ikke hærdede images eller biblioteker. Det sikrer i stedet buildet: Det registrerer, hvad hvert GitHub Actions-job hentede, inklusive base-images, og håndhæver en egress-politik, der blokerer ved fejl. Hærdede input og et registreret, kontrolleret build dækker forskellige dele af forsyningskæden.