CRACI vs Wiz

En bref

Wiz est une plateforme de sécurité cloud qui fait partie de Google depuis le 11 mars 2026. Wiz Code est son produit de sécurité du code : il scanne le code, les dépendances, les secrets et l'IaC, vérifie les paramètres de gestion de versions et de CI/CD, et relie ses résultats aux ressources cloud sur lesquelles le code finit par s'exécuter. En avril 2026, Wiz a étendu Wiz Code à GitHub Actions : il analyse désormais les fichiers de workflow, modélise les workflows, les jobs et les runners sur son Security Graph, et signale les déclencheurs, les permissions, les actions tierces et les configurations d'agents IA à risque.

C'est de l'analyse de configuration : elle vous indique quels workflows pourraient être détournés. CRACI intervient une couche plus bas. C'est le runner pour GitHub Actions : il enregistre donc les paquets que chaque job a réellement récupérés, applique une politique de trafic sortant pendant l'exécution du job et continue de surveiller ce qui a été livré. Wiz couvre bien plus de terrain, du code au cloud ; CRACI couvre ce qui se passe à l'intérieur du build.

En un coup d'œil

« Non précisé » signifie que nous n'avons pas pu le confirmer sur les pages publiques de Wiz.

Ce que Wiz fait bien

Du code au cloud

• Le contexte cloud. Le cœur de Wiz est la sécurité cloud sur AWS, Azure, Google Cloud et Oracle Cloud. Il scanne les VM, les conteneurs et les fonctions serverless sans agent, et classe les vulnérabilités à l'aide du contexte de son Security Graph : exposition réseau, identités, sensibilité des données et chemins d'attaque.
• La correspondance code-to-cloud. Wiz Code fait remonter un risque trouvé dans le cloud jusqu'au code source qui l'a produit, et suggère le correctif dans ce code. Pour une équipe déjà sur Wiz, les résultats sur le code arrivent dans le même graphe que tout le reste.
• Tous les scans au même endroit. SCA et SBOM pour les dépendances directes et transitives, scan IaC de Terraform, CloudFormation, Azure Resource Manager, Kubernetes et Docker selon plus de 1 000 règles, secrets dans le code, les templates IaC et les images de conteneur, données sensibles telles que les PII et PHI, et scan des malwares dans la base de code « before it reaches your CI runners ». Wiz SAST et les résultats de scanners tiers complètent le tableau.

GitHub Actions et posture CI/CD

• Les workflows sur le graphe. Wiz analyse le YAML des workflows GitHub Actions et modélise les workflows, les jobs, les runners et leurs relations : un pipeline devient ainsi un actif interrogeable, avec le contexte de ce qui le déclenche et de ce à quoi il peut accéder.
• La configuration à risque. Il signale les déclencheurs dangereux tels que pull_request_target, analyse les permissions déclarées dans les fichiers de workflow et remonte celles qui sont risquées ou excessives, fait ressortir les entrées à risque et les fuites potentielles de secrets dans les définitions de pipeline, inventorie les actions tierces utilisées par chaque workflow et signale les agents IA des workflows exposés à l'injection de prompt.
• Les benchmarks. Wiz Code vérifie les systèmes de gestion de versions et de CI/CD pour détecter les erreurs de configuration et les paramètres par défaut non sécurisés, avec les OpenSSF Best Practices, l'OWASP Top 10 CI/CD Risks et les benchmarks CIS pour GitHub et GitLab.
• La détection des menaces. Wiz ingère les logs d'audit des plateformes de gestion de versions et de CI/CD pour repérer des événements tels qu'un clone suspect ou la suppression d'une règle de protection de branche, et son Sensor sur les runners CI auto-hébergés peut détecter une activité suspecte, comme un runner qui contacte un domaine de minage de cryptomonnaie.

Ce qui distingue CRACI

Un contrôle appliqué dans le job, pas des résultats à son sujet

L'annonce de Wiz décrit l'inventaire, l'analyse et les résultats. Elle ne décrit pas le contrôle de ce qu'un job peut atteindre pendant son exécution. La politique de trafic sortant de CRACI fait partie du runner. Les politiques fonctionnent en refus par défaut ou en autorisation par défaut, avec 24 presets de sources logicielles intégrés, des sources personnalisées typées pour npm, PyPI, apt, apk, le proxy Go, Nix, Cargo, les registres OCI et Git, et des règles TLS, TCP, UDP et ICMP explicites. Elles sont validées avant le démarrage du job et bloquent tout en cas d'échec, et CRACI vous alerte en cas de violation.

C'est important, car les attaques de la chaîne d'approvisionnement s'exécutent dans des jobs qui semblent correctement configurés. Les recherches de Wiz elles-mêmes sur la deuxième vague Shai-Hulud ont montré que la plupart des infections se sont produites dans des pipelines CI/CD. Un résultat de posture peut vous dire qu'un workflow est exposé ; il ne peut pas arrêter un paquet compromis déjà en cours d'exécution. Avec une politique de refus par défaut, une connexion vers un hôte dont le build n'a pas besoin est bloquée, même lors d'une attaque jamais vue.

Ce que le build a récupéré, pas ce que le code déclare

Le SCA de Wiz Code scanne les dépendances de votre code, et ses SBOM sans agent décrivent les charges de travail cloud. CRACI voit le trafic qui entre dans chaque build : un proxy qui comprend les paquets enregistre chaque paquet récupéré par le job depuis les sources npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk et Git, ainsi que les presets de téléchargement, y compris les paquets restaurés depuis les caches CI. C'est ainsi que CRACI enregistre les dépendances cachées que les outils fondés sur les lockfiles manquent, comme le code téléchargé par les hooks d'installation npm ou les couches d'image de base d'un build de conteneur. Les GitHub Actions exécutées par un workflow figurent aussi dans la SBOM, épinglées au commit utilisé. Chaque SBOM porte un état de complétude par job et par cache : lorsque l'enregistrement présente une lacune, il le dit.

Des preuves issues du build

L'API renvoie les SBOM, les traces réseau et la provenance. CRACI ne signe pas la provenance et ne revendique aucun niveau SLSA. CRACI continue de réévaluer les SBOM de ce que vous avez livré à mesure que de nouvelles vulnérabilités sont publiées, et montre chaque build passé qui contenait une dépendance vulnérable : vous savez ainsi combien de temps vous avez été exposé.

Là où Wiz a l'avantage

Disons-le clairement : CRACI ne propose ni SAST, ni scan de secrets, d'IaC ou de malwares, ni vérifications de posture CI/CD, ni surveillance des processus sur les runners, ni sécurité cloud, ni correspondance code-to-cloud. Il n'exécute aujourd'hui que GitHub Actions, avec GitLab CI et Jenkins sur la roadmap. Si votre priorité est une vue unique du risque, du code au cloud, Wiz couvre bien plus.

Lequel choisir

Wiz convient mieux si

• Vous utilisez déjà Wiz pour la sécurité cloud et voulez le risque du code et des pipelines dans le même graphe.
• Vous voulez trouver les déclencheurs de workflow, les permissions et les actions tierces à risque sur de nombreux dépôts.
• Vous avez besoin du scan SAST, de secrets, d'IaC et de malwares avec le contexte cloud pour la priorisation.
• Vous exploitez des runners auto-hébergés et voulez y détecter les menaces.

CRACI convient mieux si

• Vous voulez une politique de trafic sortant appliquée dans chaque job GitHub Actions, pas seulement des résultats sur le workflow.
• Vous avez besoin d'une SBOM de ce que chaque build a réellement récupéré, avec un état de complétude à présenter à un auditeur.
• Vous voulez la surveillance de ce qui a été livré et l'historique des builds à partir du même enregistrement.

Utiliser les deux

Les vérifications de posture, le scan du code et la sécurité cloud de Wiz Code couvrent un terrain que CRACI ne touche pas, par choix de conception : ils restent donc en place. CRACI remplace le runner, pas GitHub Actions : vos workflows et vos dépôts restent dans GitHub, et Wiz continue d'analyser les mêmes fichiers de workflow pendant que les jobs s'exécutent sur CRACI. CRACI exécute aussi les builds environ deux fois plus vite que les runners hébergés par GitHub, grâce à un matériel plus rapide, des temps d'attente plus courts et le cache, et ne facture que les minutes de build. Consultez les tarifs de CRACI.

Pour le Cyber Resilience Act

Le Cyber Resilience Act est l'un des cadres qui demandent une SBOM et un processus de gestion des vulnérabilités. CRACI automatise une part importante de la visibilité sur la chaîne d'approvisionnement et des preuves dont une démarche CRA a besoin : SBOM de build exportées en CycloneDX ou SPDX, suivi des vulnérabilités et provenance via l'API. Voir les preuves pour le CRA. Aucun des deux outils ne rend un produit conforme à lui seul.

Pour d'autres plateformes de ce domaine, voir CRACI vs OX Security, CRACI vs StepSecurity, CRACI vs Xygeni et les outils de sécurité de la chaîne d'approvisionnement logicielle.

Wiz : vos questions, nos réponses

Qu'est-ce que Wiz Code ?

Wiz Code est le volet sécurité du code de la plateforme de sécurité cloud Wiz. Il scanne le code à la recherche de dépendances vulnérables, de secrets, d'erreurs de configuration IaC, de données sensibles et de malwares, ajoute le SAST et les résultats de scanners tiers, vérifie les paramètres de gestion de versions et de CI/CD par rapport à des benchmarks, et fait remonter les risques cloud jusqu'au code source qui les a causés.

Wiz Code sécurise-t-il GitHub Actions ?

Wiz Code analyse la configuration de GitHub Actions. Depuis avril 2026, il analyse les fichiers YAML de workflow et modélise les workflows, les jobs, les runners et leurs relations sur le Wiz Security Graph, signale les déclencheurs dangereux tels que pull_request_target, remonte les permissions risquées ou excessives, inventorie les actions tierces et signale les configurations d'agents IA à risque. L'annonce de Wiz ne décrit pas le contrôle de ce qu'un job peut atteindre pendant son exécution. CRACI est le runner : il applique donc une politique de trafic sortant dans chaque job.

Wiz fait-il partie de Google ?

Oui. Google a finalisé son acquisition de Wiz le 11 mars 2026. Wiz indique rester une plateforme multicloud couvrant AWS, Azure, Google Cloud et Oracle Cloud.

Combien coûte Wiz ?

Wiz ne publie pas de prix catalogue. En septembre 2026, sa page de tarifs décrit des offres unifiées et des options à la carte, avec des devis sur demande. CRACI ne facture que les minutes de build : $0.002 par minute vCPU ($0.004 pour un runner 2 vCPU par défaut), décompté à la seconde, sans abonnement mensuel.

CRACI peut-il remplacer Wiz Code ?

Pas dans son ensemble. CRACI ne propose ni SAST, ni scan de secrets, d'IaC ou de malwares, ni vérifications de posture CI/CD, ni sécurité cloud. Pour les builds GitHub Actions, CRACI ajoute ce que l'analyse de configuration ne peut pas apporter : il est le runner, il enregistre donc les paquets que chaque job a récupérés et applique une politique de trafic sortant pendant l'exécution du job.