Alternatives à Chainguard

Nous développons CRACI, tenez-en compte ; nous décrivons chaque option à partir de sa propre documentation et indiquons quand un autre outil convient mieux.

Pourquoi les équipes regardent au-delà de Chainguard

Chainguard construit les logiciels open source à partir des sources et les livre durcis : des images de conteneurs qu'il qualifie de zéro CVE, des bibliothèques Java, Python et JavaScript reconstruites à partir de sources vérifiées, des images de VM et des GitHub Actions durcies, chacune avec une SBOM signée et une provenance SLSA. Pour les clients sous contrat, il s'engage à corriger les CVE critiques sous 7 jours et les autres niveaux de gravité sous 14 jours après la publication d'un correctif éligible. C'est un excellent moyen de partir d'éléments d'entrée sains.

Les équipes envisagent d'autres options lorsque leur situation évolue :

• Le prix. Au-delà de cinq images gratuites, le catalogue de Chainguard commence à $19K pour une équipe de 10 personnes. Des catalogues durcis gratuits existent désormais aussi.
• Le périmètre. Les SBOM et la provenance de Chainguard décrivent les artefacts de Chainguard. Votre propre build, et tout ce qu'il intègre par ailleurs, a toujours besoin de son propre enregistrement.
• Le contrôle du build. Des éléments d'entrée sains ne limitent pas ce qu'un build peut joindre pendant son exécution, et ne montrent pas ce qu'un script a téléchargé.
• La migration. Passer à n'importe quel catalogue durci implique de changer d'images de base, et parfois de façon de les construire.

Les critères à examiner

• Ce que vous voulez sécuriser : les éléments d'entrée, le build, ou les deux.
• Les distributions et architectures dont vous avez besoin, et la facilité de remplacement des images.
• Un engagement de correction des CVE, et s'il nécessite une offre payante.
• Les variantes de conformité comme FIPS et STIG, si vous vendez au secteur public.
• Les SBOM et la provenance, et si elles décrivent les artefacts de l'éditeur ou votre build.
• Le contrôle de ce qu'un build peut joindre pendant son exécution.

Les options

Les options 2 à 9 vous donnent des images durcies, minimales ou reconstruites. CRACI sécurise le build qui les utilise, et Socket sécurise les paquets qu'il installe.

1. CRACI (notre produit)

CRACI sécurise la chaîne d'approvisionnement logicielle au niveau du build plutôt qu'à celui des éléments d'entrée. C'est un runner pour GitHub Actions : pendant l'exécution de chaque job, un proxy qui comprend les paquets enregistre ce qu'il a récupéré, y compris les images de base, les paquets et les paquets restaurés depuis les caches CI, et produit une SBOM CycloneDX ou SPDX avec un état de complétude par job et par cache. Une politique de trafic sortant est validée avant le démarrage du job et bloque tout en cas d'échec : un build ne joint donc que les sources que vous autorisez. CRACI continue de réévaluer les SBOM de ce qui a été livré, et sa vue d'inventaire montre précisément quelles versions de logiciels sont déployées dans quels produits, à l'échelle mondiale.

Idéal pour : les équipes qui ont besoin d'un enregistrement et d'un contrôle de chaque build, quelles que soient les images de base qu'elles utilisent.

À envisager si : vous voulez sécuriser la chaîne d'approvisionnement des logiciels que vous construisez. CRACI ne produit ni images ni bibliothèques durcies, et il prend en charge GitHub Actions sous Linux aujourd'hui, avec GitLab CI, Jenkins, Windows et macOS sur la roadmap.

CRACI et Chainguard

2. Docker Hardened Images

Docker décrit ses images durcies comme quasi zéro CVE, minimales et reconstruites en continu à partir des sources, sur Alpine ou Debian. Chaque image est accompagnée de SBOM signées, d'une provenance SLSA Level 3 et de données d'exploitabilité OpenVEX. En septembre 2026, le catalogue DHI Community est gratuit et open source sous licence Apache 2.0 ; DHI Select, à partir de $5,000 par dépôt, ajoute un SLA de correction des CVE critiques sous 7 jours et des variantes FIPS et STIG, et DHI Enterprise ajoute la personnalisation illimitée.

Idéal pour : un catalogue durci gratuit sur des bases Alpine et Debian familières.

À envisager si : vous ne voulez un SLA que pour les images qui en ont besoin.

3. Echo

Echo propose des conteneurs, des bibliothèques, des VM et des paquets système sans vulnérabilités, avec des variantes validées FIPS et durcies STIG, et affirme éliminer au moins 99 % des vulnérabilités à la source. La tarification se fait sur démo. Minimus, un autre éditeur d'images durcies, cesse son activité et a transmis sa technologie à Echo ; son registre ferme le 22 octobre 2026.

Idéal pour : les équipes qui veulent des images, des bibliothèques et des VM durcies chez un seul fournisseur.

À envisager si : vous êtes client de Minimus et cherchez son successeur.

4. Aikido

Les images durcies d'Aikido remplacent directement les images de base existantes et rétroportent les correctifs de sécurité au lieu d'imposer des mises à niveau de distribution, y compris après la fin de vie en amont. Il en liste plus de 2 000 sur Debian, Ubuntu et Alpine, en amd64 et arm64, avec SBOM, VEX et provenance SLSA inclus à chaque pull. Vous pouvez démarrer gratuitement.

Idéal pour : corriger les CVE des images que vous utilisez déjà, sans changer de distribution.

À envisager si : vous voulez aussi la plateforme AppSec plus large d'Aikido.

CRACI face à Aikido

5. RapidFort

RapidFort propose plus de 35 000 images sélectionnées quasi zéro CVE, construites sur Ubuntu, RHEL, Debian et Alpine, qui remplacent directement les images de base standard, et affirme qu'elles éliminent jusqu'à 99,9 % des CVE. Le catalogue complet ajoute des variantes durcies CIS et DISA STIG, des images FIPS 140-2 et 140-3, et l'export de SBOM en SPDX et CycloneDX. Son offre plateforme profile les conteneurs à l'exécution pour voir quels composants s'exécutent réellement, et supprime les paquets inutilisés pour réduire la surface d'attaque jusqu'à 90 %. Cinq images sélectionnées sont gratuites ; le catalogue complet est tarifé sur devis.

Idéal pour : les équipes qui veulent des images durcies sur les distributions qu'elles utilisent déjà.

À envisager si : le profilage à l'exécution et la réduction de la surface d'attaque comptent autant que les images.

6. Bitnami Secure Images

Bitnami, qui fait désormais partie de Broadcom, vend des images durcies d'applications open source sur une base minimale Photon OS : plus de 350 images de conteneurs et 140 charts Helm. Chaque image est accompagnée d'une SBOM, de documents VEX, de résultats de scan des CVE et de signatures d'attestation SLSA 3, et le catalogue prend en charge FIPS, STIG et FedRAMP. Les développeurs peuvent utiliser gratuitement une partie des images hors production, uniquement avec le tag latest ; le catalogue complet est vendu via l'équipe commerciale ou la marketplace Arrow.

Idéal pour : les équipes qui déploient déjà des applications et des charts Helm Bitnami.

À envisager si : vous avez besoin d'images de production, qui nécessitent un abonnement payant.

7. Google distroless

Les images distroless « ne contiennent que votre application et ses dépendances d'exécution », sans gestionnaire de paquets ni shell. Elles reposent sur Debian 13, sont gratuites sous licence Apache 2.0 et signées avec cosign. Il n'y a pas d'engagement de correction des CVE ; les correctifs arrivent au rythme des publications de Debian.

Idéal pour : une surface d'attaque réduite, sans frais.

À envisager si : vous pouvez vous passer d'un shell dans les images de production.

8. Iron Bank

Iron Bank est la source de conteneurs durcis du Département de la Défense des États-Unis, au sein de Platform One. Les éditeurs, les communautés open source et les équipes gouvernementales soumettent des images, qui sont reconstruites sans accès à Internet, scannées selon les critères d'acceptation d'Iron Bank et surveillées toutes les 12 heures. Il ne coûte rien aux contributeurs ni aux utilisateurs, mais les pulls depuis Registry1 nécessitent un compte Platform One, et les éditeurs et contributeurs sont responsables de la correction des résultats sur leurs images.

Idéal pour : les logiciels destinés aux systèmes du DoD qui ont besoin d'images de base accréditées.

À envisager si : vous acceptez que la maintenance de chaque image dépende de son contributeur.

9. Cloud Native Buildpacks et Paketo

Les Cloud Native Buildpacks, un projet diplômé de la CNCF, transforment le code source d'une application en images OCI sans Dockerfile. Le rebase met à jour l'image de base sans reconstruire l'application, les builds produisent des SBOM en CycloneDX, SPDX et Syft JSON, et relancer un build reproduit le même digest d'image. Paketo Buildpacks, un projet communautaire de la Cloud Foundry Foundation, fournit des buildpacks prêts à l'emploi pour Java, Go, .NET Core, Node.js, PHP, Python et Ruby.

Idéal pour : les équipes qui préfèrent ne pas maintenir de Dockerfiles et veulent patcher les couches système par rebase.

À envisager si : vous pouvez vous passer d'un engagement de correction des CVE par un éditeur ; il s'agit d'une façon de construire des images, pas d'un catalogue.

10. Socket

Socket sécurise un autre élément d'entrée : les paquets open source. Il analyse le comportement des paquets, signale les ajouts à risque dans les pull requests, et Socket Firewall bloque les paquets malveillants à l'installation, avec une version gratuite pour npm, yarn, pnpm, pip, uv et cargo.

Idéal pour : arrêter les paquets dangereux avant qu'ils n'arrivent, y compris ceux qui ne font encore l'objet d'aucun avis de sécurité.

CRACI face à Socket

Côte à côte

« Non précisé » signifie que nous n'avons pas pu le confirmer dans les pages publiques de l'éditeur. RapidFort, Bitnami Secure Images, Iron Bank et Buildpacks sont décrits plus haut.

Ce que coûtent Chainguard et ses alternatives

La plupart des catalogues durcis payants sont tarifés sur devis : comparez donc ce que coûtent chez chacun un engagement de correction des CVE, les variantes FIPS ou STIG et la personnalisation. Les catalogues gratuits sont généralement sans engagement de correction.

Chainguard ou Docker Hardened Images

Ce sont les deux options que les équipes comparent le plus directement. Toutes deux livrent des images minimales avec des SBOM signées et une provenance SLSA. Les différences tiennent à leur mode de construction et au contenu de l'offre gratuite :

• La base. Les Docker Hardened Images reposent sur Alpine ou Debian, que la plupart des équipes connaissent déjà. Chainguard construit ses images à partir des sources.
• L'offre gratuite. Le catalogue DHI Community est gratuit sous licence Apache 2.0. Chainguard propose cinq images gratuites.
• L'engagement de correction des CVE. Docker s'engage à corriger les CVE critiques sous 7 jours avec DHI Select, à partir de $5,000 par dépôt. Chainguard s'engage sur 7 jours pour les critiques et 14 pour les autres niveaux de gravité, pour les clients sous contrat.
• Au-delà des images. Chainguard reconstruit aussi des bibliothèques de langages et propose des images de VM et des GitHub Actions durcies.

Quand rester sur Chainguard

• Vous avez besoin d'images et de bibliothèques durcies dans plusieurs langages, avec un engagement sur les CVE, chez un seul fournisseur.
• Vous utilisez Chainguard Libraries via Artifactory, Nexus ou Cloudsmith.
• Vous pouvez combiner : des éléments d'entrée durcis et un build enregistré et contrôlé couvrent des parties différentes de la chaîne.

En savoir plus sur la génération de SBOM au build et le comparatif des outils de sécurité de la chaîne d'approvisionnement logicielle.

Alternatives à Chainguard : FAQ

Des réponses courtes aux questions que se posent les équipes qui comparent

Qui sont les concurrents de Chainguard ?

Pour les images de conteneurs durcies : Docker Hardened Images, RapidFort, Bitnami Secure Images de Broadcom, Echo, Aikido, et des options gratuites comme Google distroless et Iron Bank du DoD. Les Cloud Native Buildpacks sont un moyen open source de construire des images sans Dockerfile. Socket sécurise plutôt les paquets open source, et CRACI sécurise et enregistre le build qui utilise tous ces éléments.

Quelle est la différence entre Docker et Chainguard ?

Les Docker Hardened Images reposent sur Alpine ou Debian, et le catalogue Community est gratuit sous licence Apache 2.0 ; l'engagement de correction des CVE critiques sous 7 jours est inclus dans l'offre payante DHI Select, à partir de $5,000 par dépôt. Chainguard construit ses images à partir des sources, s'engage à corriger les CVE critiques sous 7 jours et les autres sous 14 pour les clients sous contrat, et propose aussi des bibliothèques, des VM et des GitHub Actions.

Combien coûte Chainguard ?

Chainguard propose cinq images gratuites. En septembre 2026, la tarification du catalogue commence à $19K pour une équipe de 10 personnes, avec l'accès au catalogue complet et un SLA sur les CVE, et le tarif par image est sur devis.

Existe-t-il une alternative gratuite à Chainguard ?

Oui. Le catalogue Docker Hardened Images Community et Google distroless sont gratuits sous licence Apache 2.0, Iron Bank est gratuit avec un compte Platform One, et RapidFort et Aikido permettent de démarrer gratuitement. Les options gratuites sont généralement sans engagement de correction des CVE.

CRACI remplace-t-il Chainguard ?

Non. CRACI ne produit ni images ni bibliothèques durcies. Il sécurise plutôt le build : il enregistre ce que chaque job GitHub Actions a récupéré, images de base comprises, et applique une politique de trafic sortant qui bloque tout en cas d'échec. Des éléments d'entrée durcis et un build enregistré et contrôlé couvrent des parties différentes de la chaîne d'approvisionnement.