Alternatives à StepSecurity

Nous développons CRACI, tenez-en compte ; nous décrivons chaque option à partir de sa propre documentation et indiquons quand un autre outil convient mieux.

Pourquoi les équipes regardent au-delà de StepSecurity

Harden-Runner est un agent ajouté comme première étape d'un job. Il relie les connexions sortantes, les processus et les écritures de fichiers à chaque étape du workflow, construit une référence en mode audit et bloque le trafic sortant vers tout ce qui ne figure pas sur une liste d'autorisation. Il prend entièrement en charge les runners Linux hébergés par GitHub et s'exécute en mode audit sur Windows et macOS.

Les équipes regardent ailleurs lorsque leur situation change :

• Preuves. Il enregistre des destinations plutôt qu'une SBOM au niveau des paquets.
• Mise en place. L'agent est une étape que vous ajoutez à chaque workflow.
• Prix. En septembre 2026, l'offre Community est gratuite pour les dépôts publics et Enterprise coûte $16 par développeur contributeur et par mois.

Ce qu'il faut examiner

• Si l'outil est un agent sur votre runner ou le runner lui-même.
• Le contrôle du trafic sortant, et si vous pouvez observer avant de bloquer.
• La surveillance des processus et des fichiers, si vous en avez besoin.
• Les preuves de build : une SBOM au niveau des paquets de ce que chaque job a récupéré.
• Les runners et les systèmes CI qu'il couvre.

Les options

1. CRACI (notre produit)

CRACI est le runner lui-même plutôt qu'un agent sur le vôtre. Une politique de trafic sortant, en refus ou en autorisation par défaut, est validée avant le démarrage du job et bloque tout en cas d'échec. Pendant l'exécution du job, un proxy qui comprend les paquets enregistre ce qu'il a récupéré et produit une SBOM avec un état de complétude. L'API renvoie les SBOM, les traces réseau et la provenance.

Idéal pour : les équipes qui veulent contrôler et enregistrer le build en un seul endroit.

À envisager si : vous pouvez déplacer vos jobs vers les runners Linux de CRACI pour GitHub Actions. CRACI ne surveille ni les processus ni les écritures de fichiers, et un mode audit avant blocage figure sur sa roadmap.

CRACI face à StepSecurity

2. Cycode Cimon

Cimon, de Cycode, est un agent eBPF qui s'exécute dans vos jobs CI. Il surveille les processus, le trafic réseau sortant et l'accès aux fichiers, apprend le comportement normal d'un pipeline avant de l'imposer, produit une SBOM observée à l'exécution et signe la provenance SLSA. Cycode indique que Cimon est gratuit et open source, et il s'inscrit dans la plateforme de sécurité applicative plus large de Cycode.

Idéal pour : la protection du build à l'exécution sur les runners que vous conservez, sur plusieurs systèmes de CI.

CRACI face à Cycode

3. Namespace

Namespace exécute des runners Linux, Windows et macOS sur du matériel qu'il exploite lui-même, sélectionnés via des profils de runner. Les volumes de cache conservent les données sur un stockage local d'une exécution à l'autre. Ses politiques de trafic sortant fonctionnent en mode blocage ou en mode consultatif, qui enregistre les décisions sans bloquer afin que vous puissiez construire une liste d'autorisation à partir du trafic réel. En septembre 2026, un runner Linux 2 vCPU, 4 Go coûte $0.002 par minute dans le plan et $0.003 en dépassement.

Idéal pour : des runners Linux, Windows et macOS d'un seul fournisseur, avec volumes de cache.

À envisager si : vous voulez tester une politique de trafic sortant avant de l'appliquer.

CRACI face à Namespace

4. Depot

Depot propose des runners Linux de 2 à 64 vCPU, Windows, et macOS à partir du plan Startup, reliés à un cache distribué. L'entreprise décrit ses runners comme « jusqu'à 3x plus rapides qu'un runner hébergé par GitHub ». Son service distant de build Docker conserve un cache de couches persistant, les runners Linux prennent en charge le filtrage du trafic sortant, et sur le plan Business les runners peuvent résider dans votre propre compte AWS. En septembre 2026, le 2 vCPU coûte $0.006 par minute au-delà des minutes du plan, décompté à la seconde.

Idéal pour : les équipes dont le temps de CI est dominé par les builds d'images Docker.

À envisager si : vous voulez aussi un cache de build distant pour Bazel, Gradle ou Turborepo.

CRACI face à Depot

5. Runners auto-hébergés avec Actions Runner Controller

Actions Runner Controller (ARC) est « un opérateur Kubernetes qui orchestre et met à l'échelle des runners auto-hébergés pour GitHub Actions ». Les runner scale sets s'agrandissent et se réduisent selon le nombre de workflows en cours, et les runners peuvent être des conteneurs éphémères. GitHub ne facture pas à la minute l'utilisation auto-hébergée en septembre 2026, mais le système d'exploitation et les logiciels sont sous votre responsabilité, et GitHub avertit que les runners auto-hébergés ne devraient presque jamais être utilisés pour des dépôts publics.

Idéal pour : les jobs qui doivent tourner dans votre réseau ou sur votre matériel.

À envisager si : vous exploitez déjà Kubernetes et avez le temps de le durcir et de le maintenir.

Runners managés ou auto-hébergés

Côte à côte

« Non précisé » signifie que nous n'avons pas pu le confirmer dans les pages publiques de l'éditeur.

Quand rester sur StepSecurity

• Vous voulez garder les runners hébergés par GitHub, Windows et macOS compris.
• Vous voulez observer le trafic en mode audit avant de bloquer.
• Vous avez besoin de surveiller les processus et les fichiers, pas seulement le réseau.
• Vous utilisez aussi GitLab CI ou Azure DevOps.

En savoir plus sur la sécurité des runners et des builds et l'intégration CI/CD.

Alternatives à StepSecurity : FAQ

Des réponses courtes aux questions que se posent les équipes qui comparent

Existe-t-il une alternative gratuite à Harden-Runner ?

Cycode indique que Cimon est gratuit et open source. C'est un agent eBPF qui surveille les processus, le trafic sortant et l'accès aux fichiers dans vos jobs CI. Harden-Runner lui-même est gratuit pour les dépôts publics sur les runners hébergés par GitHub, et l'agent de son offre Community est open source sous Apache 2.0. CRACI n'a pas d'offre gratuite.

Qu'est-ce qui remplace StepSecurity sur Azure DevOps ?

Pas CRACI : il prend uniquement en charge GitHub Actions aujourd'hui, et GitLab CI et Jenkins figurent sur la roadmap. Cycode cite Azure Pipelines parmi les systèmes CI couverts par Cimon, et Harden-Runner lui-même prend en charge Azure DevOps.

CRACI nécessite-t-il un agent ?

Non. CRACI est le runner : il n'y a donc aucun agent à ajouter à vos workflows ni aucun contrôleur à exploiter. Vous indiquez runs-on: craci, et la politique de trafic sortant est validée avant le démarrage du job et bloque tout en cas d'échec.

Combien coûte StepSecurity ?

En septembre 2026, l'offre Community est gratuite pour les dépôts publics sur les runners hébergés par GitHub, et Enterprise coûte $16 par développeur contributeur et par mois, avec un essai gratuit de 14 jours. Les minutes de runner sont un coût distinct. CRACI ne facture que le runner lui-même : $0.002 par minute vCPU ($0.004 pour un runner 2 vCPU par défaut), décompté à la seconde, sans abonnement mensuel ni frais par SBOM.

CRACI peut-il auditer le trafic sortant avant de le bloquer ?

Pas encore. Un mode de surveillance ou de simulation figure sur la roadmap de CRACI. Harden-Runner construit une référence en mode audit, et Cimon apprend le comportement normal d'un pipeline avant d'appliquer ses règles.