StepSecurity vs CRACI

Det korte svar

StepSecurity er en platform til forsyningskædesikkerhed for software, der dækker fire kontrolpunkter: udviklermaskiner, pakke-registries, kode-repositories og CI/CD. Dets CI/CD-produkt, Harden-Runner, er en agent, der overvåger hver udgående forbindelse, proces og filskrivning i et job, knytter hver af dem til det workflow-trin, der forårsagede den, og kan blokere egress til alt, der ikke står på en tilladelsesliste. Enterprise koster $16 pr. bidragende udvikler pr. måned, og offentlige repositories på GitHub-hostede runnere er gratis.

CRACI erstatter selve runneren: Dets egress-politik håndhæves af runner-platformen og valideres, før jobbet starter, og det samme job producerer en SBOM på pakkeniveau. Det er det tætteste overlap, CRACI har med nogen sikkerhedsleverandør, fordi begge begrænser, hvad et build kan nå. Forskellen er, hvor kontrollen ligger. Harden-Runner sikrer de runnere, du beholder, også GitHub-hostede. CRACI's politik følger med at være runneren, og det registrerer pakker i stedet for kun destinationer.

Overblik

"Ikke oplyst" betyder, at vi ikke har kunnet bekræfte det på StepSecuritys offentlige sider.

Det, StepSecurity gør godt

Harden-Runner

• Synlighed på trinniveau. Hver udgående forbindelse, filoperation og procesudførelse kobles til det præcise trin, job og workflow, hvor det skete. Enterprise-niveauet tilføjer procesargumenter, stier til filskrivninger og alarmer pr. e-mail, Slack, Microsoft Teams eller din SIEM.
• Audit først, bloker derefter. I egress-policy: audit-tilstand bygger Harden-Runner en baseline af hvert jobs normale udgående kald og markerer alt nyt. Du kan derefter skifte til block-tilstand med en tilladelsesliste over endpoints. En global blokeringsliste over kendte ondsindede domæner, vedligeholdt af StepSecurity, gælder selv i audit-tilstand.
• Detektion af manipulation. Det advarer om uventede ændringer i kildekoden under buildet.
• Bred dækning. Fuld understøttelse på GitHub-hostede Linux-runnere, audit-tilstand på GitHub-hostede Windows og macOS og på Enterprise-niveauet selvhostede VM'er, bare metal og Actions Runner Controller. StepSecurity angiver også GitLab CI, Azure DevOps og tredjepartsrunnere som Blacksmith, Depot og Namespace. På selvhostede runnere er agenten bygget ind i runner-imaget, så workflows ikke behøver ændringer.
• Dokumenterede resultater. StepSecurity oplyser, at Harden-Runner opdagede kompromitteringen af tj-actions/changed-files (CVE-2025-30066) og den kompromitterede axios-npm-pakke, og at det sikrer over 25 millioner workflow-kørsler om ugen. Agenten på Community-niveauet er open source under Apache 2.0.

Hvor Harden-Runner kører

StepSecuritys egen supportmatrix for GitHub Actions, pr. september 2026:

Det understøttes ikke, når et helt job kører i en container på GitHub-hostede runnere, eller på ubuntu-slim. På Actions Runner Controller understøttes kun Linux-jobs.

Resten af platformen

• Actions-governance: en oversigt over de tredjeparts-actions og genbrugelige workflows, du bruger, godkendelsesworkflows for nye og StepSecurity Maintained Actions som gennemgåede drop-in-erstatninger.
• Secure Registry: cooldown-perioder for nye pakkeversioner, blokering af kendte kompromitterede versioner, beskyttelse mod typosquatting og blokeringslister på tværs af organisationen, med én politik for bærbare og CI.
• Code Repo Security: tjek af pull requests og Orchestrate Security, som åbner pull requests, der fastlåser actions på commit-SHA'er, sætter GITHUB_TOKEN-rettigheder efter mindste privilegium og ruller Dependabot-konfigurationer ud.
• Dev Machine Guard: en oversigt over AI-kodeagenter, MCP-servere, IDE-udvidelser og pakker på udviklermaskiner.

Hvor CRACI er anderledes

At være runneren, ikke en agent på den

På GitHub-hostede runnere installeres Harden-Runner af et trin, du tilføjer som første trin i hvert job, og dets rækkevidde afhænger af, hvad GitHubs infrastruktur tillader. Intet af det er en fejl i produktet; det følger af at køre på infrastruktur, som andre ejer.

CRACI's politik er en del af runneren. Den valideres, før jobbet starter, afviser ukendte felter og blokerer ved fejl (fail closed), så en politik, der ikke kan anvendes, ikke giver en ubeskyttet kørsel. Kørsler vises stadig i GitHub, og at flytte et job er en ændring af dets runs-on-label.

Pakker, ikke kun destinationer

Harden-Runners tilladelsesliste er en liste over endpoints, og dets network insights viser, hvilke hosts hvert trin kontaktede. CRACI's kilder er typet efter økosystem, med 24 indbyggede presets for softwarekilder, brugerdefinerede kilder til npm, PyPI, apt, apk, Go-proxyen, Nix, Cargo, OCI-registries og Git over HTTPS og SSH samt eksplicitte TLS-, TCP-, UDP- og ICMP-regler. En pakkebevidst proxy registrerer, hvilke pakker hvert job hentede, inklusive pakker gendannet fra CI-caches, og producerer en CycloneDX- eller SPDX-SBOM med en fuldstændighedsstatus pr. job og pr. cache.

Efter buildet

• Provenance-data kommer tilbage fra API'et sammen med SBOM'er og netværkstraces. CRACI signerer ikke provenance og gør ikke krav på noget SLSA-niveau.
• Overvågning genvurderer SBOM'erne for det, du har leveret, når nye sårbarheder dukker op, og sikkerhedsteams triagerer fund og sender dem til de teams, der ejer rettelsen.
• Inventaroversigten viser præcis, hvilke softwareversioner der er udrullet til hvilke produkter, globalt, så en ny sårbarhed kobles direkte til de produkter, der kører den berørte version.

Pris

Pr. september 2026 er StepSecuritys Community-niveau gratis for et ubegrænset antal offentlige repositories på GitHub-hostede runnere. Enterprise-niveauet koster $16 pr. måned pr. bidragende udvikler, det vil sige enhver, der har bidraget til et sikret repository inden for de seneste 90 dage, og omfatter Dev Machine Guard og Secure Registry. Dev Machine Guard alene koster $8 pr. enhed pr. måned. Private repositories og selvhostede runnere kræver Enterprise, begge betalte niveauer har en gratis prøveperiode på 14 dage, og StepSecurity tilbyder mængderabatter. Harden-Runner sikrer runnere, du allerede betaler for, så runner-minutter er en separat omkostning.

CRACI tager kun betaling for build-minutter: $0.002 pr. vCPU-minut ($0.004 for en standard-runner med 2 vCPU), målt pr. sekund, uden månedligt gebyr. Fordi CRACI er runneren, dækker den pris både compute og dokumentationen. Se CRACI's priser for de aktuelle vilkår.

Hvilken passer

StepSecurity passer bedst, når

• du vil beholde GitHub-hostede runnere, også Windows og macOS.
• du kører selvhostede runnere, GitLab CI eller Azure DevOps.
• du vil overvåge trafik i audit-tilstand, før du blokerer noget.
• du har brug for synlighed på proces- og filniveau til hændelseshåndtering.
• dit open source-projekt kører på GitHub-hostede runnere og har brug for en gratis løsning.

CRACI passer bedst, når

• du vil have runneren og egress-politikken ét sted, uden en agent at udrulle.
• du har brug for en SBOM på pakkeniveau fra hvert build med en fuldstændighedsstatus.
• du vil have overvågning af det leverede.
• du har brug for CRA-dokumentation eller dataopbevaring i EU på CRACI's Enterprise-plan.

Hvad du opgiver ved at flytte jobs til CRACI

For at sige det ligeud: CRACI har endnu ingen audit- eller monitor-tilstand (den er på roadmappen), overvåger ikke processer eller filskrivninger, kører endnu ikke på GitHub-hostede runnere eller andre CI-systemer (GitLab CI og Jenkins er på roadmappen), har kun blokeringslister for pakker på sin roadmap, og dets alarmer dækker kun brud på politikker, uden integration med Slack, Teams eller SIEM. Er det dine prioriteter, dækker StepSecurity dem i dag.

StepSecuritys Secure Registry, Code Repo Security og Dev Machine Guard beskytter punkter, CRACI ikke rører: det registry, dine pakker kommer fra, dine repositories og udvikleres bærbare. De afhænger ikke af runneren, så de påvirkes ikke af, hvor dine jobs kører.

Til Cyber Resilience Act

Cyber Resilience Act beder producenter om at kende komponenterne i deres produkter, håndtere sårbarheder i dem og opbevare dokumentation. StepSecurity fokuserer på at forebygge og opdage angreb på forsyningskæden, og dets runtime-indsigter hjælper, når du undersøger en hændelse i CI. CRACI automatiserer en væsentlig del af den synlighed i og dokumentation for softwareforsyningskæden, som virksomheder har brug for i deres bredere CRA-compliance-proces: SBOM'er fra buildet eksporteret som CycloneDX eller SPDX, sårbarhedssporing og provenance via API'et. Se CRA-dokumentation.

Læs mere om CI/CD-integration og SBOM-generering under buildet, eller book en demo for at se et job køre under en egress-politik på CRACI.

Spørgsmål om StepSecurity besvaret

Hvad er StepSecurity?

StepSecurity er en platform til forsyningskædesikkerhed for software. Dets mest kendte produkt, Harden-Runner, er en agent, der overvåger netværks-egress, filintegritet og procesaktivitet på CI/CD-runnere og kan blokere egress uden for en tilladelsesliste. Platformen dækker også pakke-registries (Secure Registry), kode-repositories (Code Repo Security), udviklermaskiner (Dev Machine Guard) og threat intelligence.

Hvad koster StepSecurity?

Pr. september 2026 er Community-niveauet gratis for et ubegrænset antal offentlige repositories. Enterprise koster $16 pr. bidragende udvikler pr. måned, hvor en bidragende udvikler er enhver, der har bidraget til et sikret repository inden for de seneste 90 dage, og omfatter Dev Machine Guard og Secure Registry. Dev Machine Guard alene koster $8 pr. enhed pr. måned. Begge betalte niveauer har en gratis prøveperiode på 14 dage, og runner-minutter er en separat omkostning.

Er Harden-Runner gratis?

Ja, for offentlige repositories på GitHub-hostede runnere. Private repositories og selvhostede runnere, også selvhostede runnere til offentlige repositories, kræver Enterprise-niveauet. Agenten på Community-niveauet er open source under Apache 2.0-licensen.

Hvilke runnere understøtter Harden-Runner?

GitHub-hostede Linux-runnere i audit- og block-tilstand, GitHub-hostede Windows- og macOS-runnere i audit-tilstand og på Enterprise selvhostede VM'er, bare metal og Actions Runner Controller. StepSecurity angiver også GitLab CI, Azure DevOps og tredjepartsrunnere som Blacksmith, Depot og Namespace. Det understøttes ikke, når et helt job kører i en container på GitHub-hostede runnere, eller på ubuntu-slim.

Hvad er forskellen på StepSecurity og CRACI?

Harden-Runner er en agent, du tilføjer til de runnere, du beholder. CRACI er runneren: Dets egress-politik håndhæves af runner-platformen, valideres, før jobbet starter, og blokerer ved fejl (fail closed), og hvert job producerer også en SBOM på pakkeniveau med en fuldstændighedsstatus. StepSecurity er foran på audit-tilstand, overvågning af processer og filer samt dækning af runnere og CI-systemer.

Kan CRACI erstatte Harden-Runner?

For GitHub Actions-jobs på Linux, ja: Flytter du et job til CRACI, får det egress-kontrol fra selve runneren, så der ikke er brug for en agent på det job. Du opgiver audit-tilstand (på CRACI's roadmap), overvågning af processer og filer samt dækning af GitHub-hostede, Windows-, macOS- og ikke-GitHub-runnere.

Genererer StepSecurity en SBOM?

Harden-Runner registrerer de destinationer, processer og filer, et job berørte, ikke en SBOM på pakkeniveau af buildet. CRACI registrerer, hvilke pakker hvert job hentede, inklusive pakker gendannet fra CI-caches, og eksporterer CycloneDX og SPDX.