StepSecurity-Alternativen

Wir entwickeln CRACI, bitte berücksichtigen Sie das; wir beschreiben jede Option anhand ihrer eigenen Dokumentation und sagen, wann ein anderes Tool besser passt.

Warum Teams Alternativen zu StepSecurity prüfen

Harden-Runner ist ein Agent, der als erster Schritt eines Jobs hinzugefügt wird. Er ordnet ausgehende Verbindungen, Prozesse und Dateischreibvorgänge jedem Workflow-Schritt zu, erstellt im Audit-Modus eine Baseline und blockiert Egress zu allem, was nicht auf einer Allowlist steht. Er unterstützt GitHub-gehostete Linux-Runner vollständig und läuft auf Windows und macOS im Audit-Modus.

Teams sehen sich anderswo um, wenn sich ihre Lage ändert:

• Nachweise. Er zeichnet Ziele auf, keine SBOM auf Paketebene.
• Einrichtung. Der Agent ist ein Schritt, den Sie jedem Workflow hinzufügen.
• Preis. Stand September 2026 ist die Community-Stufe für öffentliche Repositories kostenlos, und Enterprise kostet $16 pro beitragendem Entwickler und Monat.

Worauf Sie achten sollten

• Ob das Tool ein Agent auf Ihrem Runner oder der Runner selbst ist.
• Egress-Kontrolle, und ob Sie beobachten können, bevor Sie blockieren.
• Prozess- und Dateiüberwachung, falls Sie sie brauchen.
• Build-Nachweise: eine SBOM auf Paketebene dessen, was jeder Job geladen hat.
• Welche Runner und CI-Systeme es abdeckt.

Die Optionen

1. CRACI (unser Produkt)

CRACI ist selbst der Runner, statt eines Agents auf Ihrem. Eine Egress-Richtlinie, standardmäßig Deny oder Allow, wird vor dem Start des Jobs validiert und blockiert im Zweifel. Während der Job läuft, zeichnet ein paketbewusster Proxy auf, was er geladen hat, und erzeugt eine SBOM mit Vollständigkeitsstatus. Die API liefert SBOMs, Netzwerk-Traces und Provenienzdaten.

Ideal für: Teams, die den Build an einer Stelle kontrollieren und aufzeichnen wollen.

Sinnvoll, wenn: Sie Jobs auf die Linux-Runner von CRACI für GitHub Actions verlagern können. CRACI überwacht keine Prozesse oder Dateischreibvorgänge, und ein Audit-Modus vor dem Blockieren ist auf der Roadmap.

CRACI vs. StepSecurity

2. Cycode Cimon

Cimon von Cycode ist ein eBPF-Agent, der in Ihren CI-Jobs läuft. Er überwacht Prozesse, ausgehenden Netzwerkverkehr und Dateizugriffe, lernt das normale Verhalten einer Pipeline, bevor er es durchsetzt, erzeugt eine zur Laufzeit beobachtete SBOM und signiert SLSA-Provenienz. Laut Cycode ist Cimon kostenlos und Open Source, und es ist Teil der umfassenderen Plattform für Anwendungssicherheit von Cycode.

Ideal für: Laufzeitschutz für Builds auf Runnern, die Sie behalten, über mehrere CI-Systeme hinweg.

CRACI vs. Cycode

3. Namespace

Namespace betreibt Runner für Linux, Windows und macOS auf eigener Hardware, ausgewählt über Runner-Profile. Cache-Volumes halten Daten über Läufe hinweg auf lokalem Speicher. Die Egress-Richtlinien laufen im Blockiermodus oder im Advisory-Modus, der Entscheidungen protokolliert, ohne zu blockieren, sodass Sie eine Allowlist aus echtem Datenverkehr aufbauen können. Stand September 2026 kostet ein Linux-Runner mit 2 vCPU und 4 GB $0.002 pro Minute im Plan und $0.003 bei Überschreitung.

Ideal für: Runner für Linux, Windows und macOS von einem Anbieter, mit Cache-Volumes.

Sinnvoll, wenn: Sie eine Egress-Richtlinie erst testen wollen, bevor Sie sie durchsetzen.

CRACI vs. Namespace

4. Depot

Depot bietet Linux-Runner mit 2 bis 64 vCPUs, Windows sowie macOS ab dem Startup-Plan, angebunden an einen verteilten Cache. Das Unternehmen beschreibt seine Runner als „bis zu 3x schneller als ein GitHub-hosted Runner“. Der Remote-Docker-Build-Dienst hält einen persistenten Layer-Cache vor, Linux-Runner unterstützen Egress-Filterung, und im Business-Plan können Runner in Ihrem eigenen AWS-Konto laufen. Stand September 2026 kosten 2 vCPU $0.006 pro Minute über die Planminuten hinaus, sekundengenau erfasst.

Ideal für: Teams, deren CI-Zeit vor allem auf Docker-Image-Builds entfällt.

Sinnvoll, wenn: Sie auch Remote-Build-Caching für Bazel, Gradle oder Turborepo wollen.

CRACI vs. Depot

5. Selbst gehostete Runner mit Actions Runner Controller

Actions Runner Controller (ARC) ist „ein Kubernetes-Operator, der selbst gehostete Runner für GitHub Actions orchestriert und skaliert“. Runner Scale Sets wachsen und schrumpfen mit der Zahl der laufenden Workflows, und Runner können kurzlebige Container sein. GitHub berechnet für selbst gehostete Nutzung keine Minutenpreise (Stand September 2026), aber Sie sind für Betriebssystem und Software verantwortlich, und GitHub warnt, dass selbst gehostete Runner fast nie für öffentliche Repositories eingesetzt werden sollten.

Ideal für: Jobs, die in Ihrem Netzwerk oder auf Ihrer Hardware laufen müssen.

Sinnvoll, wenn: Sie Kubernetes bereits betreiben und die Zeit haben, es zu härten und zu pflegen.

Verwaltete vs. selbst gehostete Runner

Im direkten Vergleich

„Keine Angabe“ bedeutet, dass wir es auf den öffentlichen Seiten des Anbieters nicht bestätigen konnten.

Wann Sie bei StepSecurity bleiben sollten

• Sie möchten GitHub-gehostete Runner behalten, einschließlich Windows und macOS.
• Sie möchten den Datenverkehr im Audit-Modus beobachten, bevor Sie blockieren.
• Sie brauchen Prozess- und Dateiüberwachung, nicht nur Netzwerkkontrolle.
• Sie betreiben auch GitLab CI oder Azure DevOps.

Mehr über Runner- und Build-Sicherheit und CI/CD-Integration.

StepSecurity-Alternativen: FAQ

Kurze Antworten auf die Fragen, die Teams beim Vergleichen stellen

Gibt es eine kostenlose Alternative zu Harden-Runner?

Laut Cycode ist Cimon kostenlos und Open Source. Es ist ein eBPF-Agent, der Prozesse, Egress und Dateizugriffe in Ihren CI-Jobs überwacht. Harden-Runner selbst ist für öffentliche Repositories auf GitHub-gehosteten Runnern kostenlos, und der Agent der Community-Stufe ist Open Source unter Apache 2.0. CRACI hat keinen kostenlosen Plan.

Was ersetzt StepSecurity auf Azure DevOps?

Nicht CRACI: Es unterstützt heute nur GitHub Actions; GitLab CI und Jenkins sind auf der Roadmap. Cycode nennt Azure Pipelines unter den CI-Systemen, die Cimon abdeckt, und Harden-Runner selbst unterstützt Azure DevOps.

Braucht CRACI einen Agenten?

Nein. CRACI ist der Runner. Es gibt also keinen Agenten, den Sie Ihren Workflows hinzufügen, und keinen Controller, den Sie betreiben müssten. Sie setzen runs-on: craci, und die Egress-Richtlinie wird vor dem Start des Jobs validiert und blockiert im Zweifel (fail closed).

Was kostet StepSecurity?

Stand September 2026 ist die Community-Stufe für öffentliche Repositories auf GitHub-gehosteten Runnern kostenlos, und Enterprise kostet $16 pro beitragendem Entwickler und Monat, mit einer 14-tägigen kostenlosen Testphase. Runner-Minuten sind separate Kosten. CRACI berechnet nur den Runner selbst: $0.002 pro vCPU-Minute ($0.004 für einen Standard-Runner mit 2 vCPU), sekundengenau abgerechnet, ohne Monatsgebühr und ohne Gebühr pro SBOM.

Kann CRACI Egress prüfen, bevor es blockiert?

Noch nicht. Ein Monitor- oder Dry-Run-Modus ist auf der Roadmap von CRACI. Harden-Runner erstellt im Audit-Modus eine Baseline, und Cimon lernt das normale Verhalten einer Pipeline, bevor es Regeln durchsetzt.