Alternativer til StepSecurity

Vi bygger CRACI, så tag det med i vurderingen; vi beskriver hver mulighed ud fra dens egen dokumentation og siger, når et andet værktøj passer bedre.

Derfor kigger teams ud over StepSecurity

Harden-Runner er en agent, der tilføjes som jobbets første trin. Den kortlægger udgående forbindelser, processer og filskrivninger for hvert workflow-trin, bygger en baseline i audit-tilstand og blokerer egress til alt, der ikke står på en tilladelsesliste. Den understøtter GitHub-hostede Linux-runnere fuldt ud og kører i audit-tilstand på Windows og macOS.

Teams kigger andre steder hen, når deres situation ændrer sig:

• Dokumentation. Den registrerer destinationer i stedet for en SBOM på pakkeniveau.
• Opsætning. Agenten er et trin, du tilføjer til hvert workflow.
• Pris. Pr. september 2026 er Community-niveauet gratis for offentlige repositories, og Enterprise koster $16 pr. bidragende udvikler pr. måned.

Hvad du skal se efter

• Om værktøjet er en agent på din runner eller selve runneren.
• Egress-kontrol, og om du kan observere, før du blokerer.
• Overvågning af processer og filer, hvis du har brug for det.
• Build-dokumentation: en SBOM på pakkeniveau af det, hvert job hentede.
• Hvilke runnere og CI-systemer det dækker.

Mulighederne

1. CRACI (vores produkt)

CRACI er selve runneren frem for en agent på din. En egress-politik, default deny eller allow, valideres, før jobbet starter, og blokerer ved fejl. Mens jobbet kører, registrerer en pakkebevidst proxy, hvad det hentede, og producerer en SBOM med en fuldstændighedsstatus. API'et returnerer SBOM'er, netværkstraces og provenance.

Bedst til: teams, der vil kontrollere og registrere buildet ét sted.

Overvej det, hvis: du kan flytte jobs til CRACI's Linux-runnere til GitHub Actions. CRACI overvåger ikke processer eller filskrivninger, og en audit-tilstand før blokering er på roadmappen.

CRACI over for StepSecurity

2. Cycode Cimon

Cimon, fra Cycode, er en eBPF-agent, der kører inde i dine CI-jobs. Den overvåger processer, netværks-egress og filadgang, lærer en pipelines normale adfærd, før den håndhæver den, producerer en SBOM observeret under kørsel og signerer SLSA-provenance. Cycode siger, at Cimon er gratis og open source, og den indgår i Cycodes bredere platform til applikationssikkerhed.

Bedst til: runtime-beskyttelse af buildet på runnere, du beholder, på tværs af flere CI-systemer.

CRACI over for Cycode

3. Namespace

Namespace kører Linux-, Windows- og macOS-runnere på hardware, firmaet selv driver, valgt via runner-profiler. Cache-volumes holder data på lokalt lager på tværs af kørsler. Dets egress-politikker kører i blokeringstilstand eller i vejledende tilstand, som registrerer beslutninger uden at blokere, så du kan bygge en allowlist ud fra reel trafik. Pr. september 2026 koster en Linux-runner med 2 vCPU og 4 GB $0.002 pr. minut i planen og $0.003 ved overforbrug.

Bedst til: Linux-, Windows- og macOS-runnere fra én leverandør, med cache-volumes.

Overvej det, hvis: du vil afprøve en egress-politik, før du håndhæver den.

CRACI over for Namespace

4. Depot

Depot tilbyder Linux-runnere fra 2 til 64 vCPU'er, Windows og macOS på Startup-planen og opefter, koblet til en distribueret cache. Firmaet beskriver sine runnere som "up to 3x faster than a GitHub-hosted runner." Dets remote Docker-build-tjeneste holder en vedvarende layer-cache, Linux-runnere understøtter egress-filtrering, og på Business-planen kan runnere ligge i din egen AWS-konto. Pr. september 2026 koster 2 vCPU $0.006 pr. minut ud over planens minutter, målt pr. sekund.

Bedst til: teams, hvis CI-tid domineres af Docker-image-builds.

Overvej det, hvis: du også vil have remote build-caching til Bazel, Gradle eller Turborepo.

CRACI over for Depot

5. Selvhostede runnere med Actions Runner Controller

Actions Runner Controller (ARC) er "a Kubernetes operator that orchestrates and scales self-hosted runners for GitHub Actions." Runner scale sets vokser og skrumper med antallet af kørende workflows, og runnere kan være flygtige containere. GitHub opkræver ikke betaling pr. minut for selvhostet brug pr. september 2026, men du er ansvarlig for styresystemet og softwaren, og GitHub advarer om, at selvhostede runnere næsten aldrig bør bruges til offentlige repositories.

Bedst til: jobs, der skal køre i dit netværk eller på din hardware.

Overvej det, hvis: du allerede kører Kubernetes og har tid til at hærde og vedligeholde det.

Administrerede over for selvhostede runnere

Side om side

"Ikke oplyst" betyder, at vi ikke kunne bekræfte det på leverandørens offentlige sider.

Hvornår du skal blive hos StepSecurity

• Du vil beholde GitHub-hostede runnere, inklusive Windows og macOS.
• Du vil følge trafikken i audit-tilstand, før du blokerer.
• Du har brug for overvågning af processer og filer, ikke kun netværkskontrol.
• Du kører også GitLab CI eller Azure DevOps.

Læs mere om runner- og build-sikkerhed og CI/CD-integration.

Ofte stillede spørgsmål om alternativer til StepSecurity

Korte svar på de spørgsmål, teams stiller, når de sammenligner

Findes der et gratis alternativ til Harden-Runner?

Cycode siger, at Cimon er gratis og open source. Det er en eBPF-agent, der overvåger processer, egress og filadgang inde i dine CI-jobs. Harden-Runner selv er gratis for offentlige repositories på GitHub-hostede runnere, og dens agent i Community-niveauet er open source under Apache 2.0. CRACI har intet gratis niveau.

Hvad erstatter StepSecurity på Azure DevOps?

Ikke CRACI: Det understøtter kun GitHub Actions i dag, med GitLab CI og Jenkins på roadmappen. Cycode angiver Azure Pipelines blandt de CI-systemer, Cimon dækker, og Harden-Runner selv understøtter Azure DevOps.

Skal CRACI bruge en agent?

Nej. CRACI er runneren, så der er ingen agent at tilføje til dine workflows og ingen controller at drive. Du sætter runs-on: craci, og egress-politikken valideres, før jobbet starter, og blokerer ved fejl (fail closed).

Hvad koster StepSecurity?

Pr. september 2026 er Community-niveauet gratis for offentlige repositories på GitHub-hostede runnere, og Enterprise koster $16 pr. bidragende udvikler pr. måned, med en gratis prøveperiode på 14 dage. Runner-minutter er en separat udgift. CRACI tager kun betaling for selve runneren: $0.002 pr. vCPU-minut ($0.004 for en standardrunner med 2 vCPU), målt pr. sekund, uden månedligt gebyr og uden betaling pr. SBOM.

Kan CRACI auditere egress, før det blokerer?

Ikke endnu. En monitor- eller dry-run-tilstand er på CRACI's roadmap. Harden-Runner bygger en baseline i audit-tilstand, og Cimon lærer en pipelines normale adfærd, før den håndhæver.