Alternativas a StepSecurity

Nosotros desarrollamos CRACI, así que téngalo en cuenta; describimos cada opción a partir de su propia documentación e indicamos cuándo encaja mejor otra herramienta.

Por qué los equipos buscan más allá de StepSecurity

Harden-Runner es un agente que se añade como primer paso de un job. Asigna las conexiones salientes, los procesos y las escrituras de archivos a cada paso del workflow, crea una línea de base en modo auditoría y bloquea el egress hacia todo lo que no esté en una lista de permitidos. Es totalmente compatible con los runners Linux alojados en GitHub y funciona en modo auditoría en Windows y macOS.

Los equipos buscan otras opciones cuando cambia su situación:

• Evidencia. Registra destinos en lugar de una SBOM a nivel de paquete.
• Configuración. El agente es un paso que usted añade a cada workflow.
• Precio. A septiembre de 2026, el nivel Community es gratuito para repositorios públicos y Enterprise cuesta $16 por desarrollador colaborador al mes.

Qué tener en cuenta

• Si la herramienta es un agente en su runner o el propio runner.
• El control de egress, y si puede observar antes de bloquear.
• La monitorización de procesos y archivos, si la necesita.
• La evidencia del build: una SBOM a nivel de paquete de lo que descargó cada job.
• Qué runners y sistemas de CI cubre.

Las opciones

1. CRACI (nuestro producto)

CRACI es el propio runner, no un agente en el suyo. Una política de egress, con denegación o permiso por defecto, se valida antes de que empiece el job y, si falla, bloquea (fail closed). Mientras se ejecuta el job, un proxy que entiende de paquetes registra lo que descargó y genera una SBOM con un estado de completitud. La API devuelve SBOM, trazas de red y procedencia.

Ideal para: equipos que quieren controlar y registrar el build en un solo lugar.

Considérelo si: puede trasladar sus jobs a los runners Linux de CRACI para GitHub Actions. CRACI no monitoriza procesos ni escrituras de archivos, y un modo de auditoría previo al bloqueo está en su hoja de ruta.

CRACI frente a StepSecurity

2. Cycode Cimon

Cimon, de Cycode, es un agente eBPF que se ejecuta dentro de sus jobs de CI. Monitoriza procesos, egress de red y acceso a archivos, aprende el comportamiento normal de un pipeline antes de aplicarlo, genera una SBOM observada en tiempo de ejecución y firma la procedencia SLSA. Cycode afirma que Cimon es gratuito y de código abierto, y forma parte de la plataforma de seguridad de aplicaciones más amplia de Cycode.

Ideal para: protección del build en tiempo de ejecución en los runners que conserva, en varios sistemas de CI.

CRACI frente a Cycode

3. Namespace

Namespace ejecuta runners de Linux, Windows y macOS en hardware que opera ella misma, seleccionados mediante perfiles de runner. Los volúmenes de caché conservan los datos en almacenamiento local entre ejecuciones. Sus políticas de egress funcionan en modo de bloqueo o en modo consultivo, que registra las decisiones sin bloquear para que pueda elaborar una lista de permitidos a partir del tráfico real. A septiembre de 2026, un runner Linux de 2 vCPU y 4 GB cuesta $0.002 por minuto dentro del plan y $0.003 por encima del plan.

Ideal para: runners de Linux, Windows y macOS de un solo proveedor, con volúmenes de caché.

Considérelo si: quiere probar una política de egress antes de aplicarla.

CRACI frente a Namespace

4. Depot

Depot ofrece runners Linux de 2 a 64 vCPU, Windows, y macOS desde el plan Startup, conectados a una caché distribuida. Describe sus runners como "hasta 3 veces más rápidos que un runner alojado en GitHub". Su servicio remoto de build de Docker mantiene una caché de capas persistente, los runners Linux admiten filtrado del egress y, en el plan Business, los runners pueden residir en su propia cuenta de AWS. A septiembre de 2026, 2 vCPU cuesta $0.006 por minuto por encima de los minutos del plan, contabilizado por segundo.

Ideal para: equipos cuyo tiempo de CI se va sobre todo en builds de imágenes Docker.

Considérelo si: también quiere caché remota de build para Bazel, Gradle o Turborepo.

CRACI frente a Depot

5. Runners autoalojados con Actions Runner Controller

Actions Runner Controller (ARC) es "un operador de Kubernetes que orquesta y escala runners autoalojados para GitHub Actions". Los runner scale sets crecen y se reducen según el número de workflows en ejecución, y los runners pueden ser contenedores efímeros. A septiembre de 2026, GitHub no cobra por minuto el uso autoalojado, pero usted es responsable del sistema operativo y del software, y GitHub advierte que los runners autoalojados casi nunca deberían usarse en repositorios públicos.

Ideal para: jobs que deben ejecutarse en su red o en su hardware.

Considérelo si: ya opera Kubernetes y tiene tiempo para reforzarlo y mantenerlo.

Runners gestionados frente a autoalojados

Lado a lado

«No indicado» significa que no pudimos confirmarlo en las páginas públicas del proveedor.

Cuándo quedarse con StepSecurity

• Quiere conservar los runners alojados en GitHub, incluidos Windows y macOS.
• Quiere observar el tráfico en modo auditoría antes de bloquear.
• Necesita monitorización de procesos y archivos, no solo control de red.
• También utiliza GitLab CI o Azure DevOps.

Lea más sobre la seguridad de runners y builds y la integración con CI/CD.

Alternativas a StepSecurity: preguntas frecuentes

Respuestas breves a las preguntas que se plantean los equipos al comparar

¿Existe una alternativa gratuita a Harden-Runner?

Cycode afirma que Cimon es gratuito y de código abierto. Es un agente eBPF que monitoriza procesos, egress y acceso a archivos dentro de sus jobs de CI. El propio Harden-Runner es gratuito para repositorios públicos en runners alojados en GitHub, y su agente del nivel Community es de código abierto bajo Apache 2.0. CRACI no tiene nivel gratuito.

¿Qué sustituye a StepSecurity en Azure DevOps?

CRACI no: hoy solo es compatible con GitHub Actions, con GitLab CI y Jenkins en la hoja de ruta. Cycode incluye Azure Pipelines entre los sistemas de CI que cubre Cimon, y el propio Harden-Runner es compatible con Azure DevOps.

¿Necesita CRACI un agente?

No. CRACI es el runner, así que no hay ningún agente que añadir a sus workflows ni ningún controlador que operar. Usted configura runs-on: craci, y la política de egress se valida antes de que empiece el job y bloquea si falla.

¿Cuánto cuesta StepSecurity?

A septiembre de 2026, el nivel Community es gratuito para repositorios públicos en runners alojados en GitHub, y Enterprise cuesta $16 por desarrollador colaborador al mes, con una prueba gratuita de 14 días. Los minutos de runner son un coste aparte. CRACI cobra solo por el propio runner: $0.002 por vCPU-minuto ($0.004 para un runner de 2 vCPU por defecto), medido por segundo, sin cuota mensual ni cargo por SBOM.

¿Puede CRACI auditar el egress antes de bloquearlo?

Todavía no. Un modo de monitorización o de simulación está en la hoja de ruta de CRACI. Harden-Runner crea una línea de base en modo auditoría, y Cimon aprende el comportamiento normal de un pipeline antes de aplicar las reglas.