Alternative a Harness per CI, CD e sicurezza delle build

Noi sviluppiamo CRACI, ne tenga conto; descriviamo ogni opzione in base alla sua documentazione e diciamo quando un altro strumento è più adatto. Oggi CRACI esegue GitHub Actions, con GitLab CI e Jenkins in roadmap.

Perché i team guardano oltre Harness

Harness, fondata nel 2017 e con sede a San Francisco, vende una piattaforma di software delivery: continuous integration, continuous delivery, GitOps, feature flag, infrastructure as code, chaos engineering, gestione dei costi cloud e test di sicurezza, con policy OPA su tutti questi ambiti. Il suo modulo Supply Chain Security genera SBOM, firma la provenance SLSA e controlla repository e pipeline rispetto a benchmark di postura. Per un team che vuole un solo vendor per tutto ciò che viene dopo la scrittura del codice, è proprio quell'ampiezza che conta.

I team guardano altrove quando i compromessi cambiano:

• Prezzi. Harness pubblica le tariffe delle sue macchine Cloud, ma i piani a pagamento e il modulo Supply Chain Security hanno prezzi definiti tramite il reparto vendite.
• Ambito. Un team che deve solo compilare e testare paga, impara a usare e gestisce una piattaforma costruita per molto di più.
• Evidenze sulle dipendenze. Lo step SBOM esegue Syft o cdxgen su un'immagine o un repository, quindi la SBOM descrive ciò che uno scanner deduce dall'output, non ciò che la build ha scaricato.
• Consolidamento. Il codice e il resto del team di engineering si trovano già su GitHub.

Che cosa valutare

• Se sta sostituendo la CI, il CD o entrambi, e se un solo vendor per entrambi conta ancora.
• Build in hosting, build sulle Sue macchine o entrambe, e i sistemi operativi di cui ha bisogno.
• Evidenze di build: una SBOM registrata da ciò che la build ha scaricato, provenance e monitoraggio delle vulnerabilità.
• Controllo dell'egress, e se si tratta di una policy sul job o di un rilevamento a posteriori.
• Un prezzo che può leggere prima di parlare con il reparto vendite.

Piattaforme CI

1. CRACI con GitHub Actions (il nostro prodotto)

CRACI è un runner sicuro per GitHub Actions. Durante l'esecuzione di ogni job, un proxy che riconosce i pacchetti registra ciò che ha scaricato, compresi i pacchetti ripristinati dalle cache CI, e produce una SBOM CycloneDX o SPDX con uno stato di completezza per job e per cache. Una policy di egress viene convalidata prima dell'avvio del job e opera in modalità fail closed, e i policy gate possono bloccare una build in base ai risultati, a uno specifico CVE o a una licenza. Le SBOM monitorate vengono rivalutate man mano che compaiono nuovi advisory, e la cronologia delle build mostra quali build passate contenevano una dipendenza vulnerabile. CRACI addebita solo i minuti di build: $0.002 per vCPU-minuto ($0.004 per un runner predefinito da 2 vCPU), misurati al secondo, senza canone mensile e senza costi per SBOM.

Ideale per: team su GitHub che vogliono che SBOM, policy di rete e provenance provengano dal runner che ha eseguito la build.

Da valutare se: può spostare le pipeline su workflow GitHub Actions. CRACI copre la build, non i deployment o i feature flag, e oggi esegue job Linux; Windows, macOS e i runner ospitati dal cliente sono in roadmap.

CRACI vs Harness

2. GitHub Actions

La CI/CD integrata in GitHub, con runner ospitati Linux, Windows e macOS e runner self-hosted per le Sue macchine. I piani includono da 2.000 a 50.000 minuti al mese, e un runner Linux standard a 2 core costa $0.006 al minuto a settembre 2026. Attorno ci sono il dependency graph, Dependabot e le artifact attestation.

Ideale per: il codice che si trova già su GitHub.

Da valutare se: desidera runner ospitati per ogni sistema operativo. La SBOM che esporta descrive il repository, non la build.

Piattaforme CI/CD a confronto

3. GitLab CI

Parte di una piattaforma DevSecOps completa: controllo del codice sorgente, merge request, pianificazione e CI/CD in un unico prodotto, ospitato o self-managed. SAST di base, rilevamento dei secret e scansione dei container sono disponibili in tutti i livelli; Ultimate aggiunge la scansione delle dipendenze e il report delle vulnerabilità. A settembre 2026, Free include 400 minuti di calcolo e Premium costa $29 per utente al mese con fatturazione annuale.

Ideale per: un unico fornitore per l'intero ciclo di vita, comprese le installazioni self-managed.

Da valutare se: è disposto a spostare anche il controllo del codice sorgente.

CRACI e GitLab CI

4. CircleCI

Una piattaforma CI/CD ospitata e matura che si collega a GitHub, GitLab e Bitbucket. Esegue i job su resource class Docker, Linux, Arm, Windows, macOS e GPU, con runner self-hosted per le Sue macchine. Il caching dei layer Docker è incluso in tutti i piani e il test splitting distribuisce le suite su executor paralleli. A settembre 2026, il piano Free include 30.000 crediti al mese.

Ideale per: piattaforme miste e suite di test di grandi dimensioni, senza spostare il controllo del codice sorgente.

Da valutare se: per Lei va bene aggiungere SBOM e scansioni tramite orb.

CRACI e CircleCI

5. Buildkite

Una piattaforma ibrida: il control plane SaaS di Buildkite orchestra, mentre gli agent che eseguono i job risiedono sulla Sua infrastruttura, così codice sorgente e secret restano nel Suo ambiente. Funziona con GitHub, GitLab, Bitbucket e altri. Sono disponibili anche agent ospitati, a $0.004 per vCPU-minuto su Linux a settembre 2026, e le pipeline firmate consentono agli agent di rifiutare i job modificati dopo il caricamento.

Ideale per: build che devono girare sul Suo hardware, senza gestire l'intera piattaforma.

Da valutare se: è pronto a progettare da sé la sicurezza delle build sui Suoi agent.

CRACI e Buildkite

6. Azure Pipelines

La componente CI/CD di Azure DevOps. Compila su Linux, macOS e Windows, funziona con Azure Repos e GitHub e distribuisce su macchine virtuali, container, ambienti on-premises e cloud. A settembre 2026, un job parallelo ospitato da Microsoft con 1.800 minuti al mese è gratuito e ogni job ospitato aggiuntivo costa $40 al mese; un job self-hosted è gratuito e ogni job aggiuntivo costa $15.

Ideale per: i team che usano già Azure e gli strumenti Microsoft.

Alternative ad Azure Pipelines

7. Jenkins

Il server di automazione open source, con licenza MIT e centinaia di plugin. Controller e agent li ospita Lei, e spetta a Lei aggiornarli e proteggerli. Funziona con la maggior parte dei sistemi di controllo del codice sorgente tramite plugin.

Ideale per: il pieno controllo sulla propria infrastruttura, se dispone delle persone per gestirla.

Alternative a Jenkins

Se sta sostituendo Harness CD

La parte di delivery di Harness ha alternative proprie. Questi strumenti eseguono il deployment; si abbinano a qualsiasi piattaforma CI tra quelle sopra. CRACI non esegue il deployment del software.

Argo CD

Uno strumento di continuous delivery dichiarativo e GitOps per Kubernetes, open source con licenza Apache-2.0. Mantiene i cluster nello stato descritto in Git, a partire da Kustomize, Helm, Jsonnet o YAML semplice, e può gestire più cluster ed eseguirvi il deployment.

Ideale per: team Kubernetes che vogliono una delivery GitOps senza una piattaforma commerciale.

Octopus Deploy

Uno strumento di automazione di deployment e runbook che lavora accanto al Suo server di build, ospitato come Octopus Cloud o self-hosted come Octopus Server. A ottobre 2026, entrambi hanno un piano gratuito con 10 progetti, 10 macchine e 10 utenti; Professional parte da $4,330 all'anno su Cloud e da $2,080 all'anno su Server, con fatturazione annuale.

Ideale per: promozione tra ambienti e deployment oltre Kubernetes, con un prezzo pubblicato.

Fianco a fianco

"Non dichiarato" significa che non abbiamo potuto verificarlo nelle pagine pubbliche del vendor.

Quando restare su Harness

• Un solo vendor e un solo motore di policy per CI, CD, feature flag e gestione dei costi contano più di ogni singola parte.
• Il Suo codice si trova su GitLab, Bitbucket o Azure Repos, o su più di questi.
• Le servono build Windows o macOS, o build sui Suoi cluster Kubernetes, VM o bare metal.
• La provenance firmata con un SLSA Build Level 3 documentato è un requisito del Suo ufficio acquisti.

Approfondisca l'integrazione CI/CD, la generazione di SBOM in fase di build e i prezzi.

Alternative a Harness: domande frequenti

Risposte brevi alle domande che i team si pongono quando confrontano le opzioni

Quali sono le principali alternative a Harness?

Per un'intera piattaforma di delivery, GitLab è l'opzione più vicina: controllo del codice sorgente, CI/CD e scansione di sicurezza in un solo prodotto. Per la sola CI, GitHub Actions, CircleCI, Buildkite, Azure Pipelines e Jenkins. Per i soli deployment, Argo CD e Octopus Deploy.

Harness è gratuito?

In parte. A ottobre 2026, il piano Free include 2.000 crediti Harness Cloud al mese per la CI, che non si accumulano da un mese all'altro, e una macchina Linux a 2 core costa $0.005 al minuto. I piani a pagamento e il modulo Supply Chain Security hanno prezzi definiti tramite il reparto vendite.

Posso sostituire Harness CI e tenere uno strumento CD separato?

Sì. Molti team separano le due cose: una piattaforma CI come GitHub Actions, CircleCI o Buildkite esegue build e test, e uno strumento di delivery come Argo CD o Octopus Deploy esegue il deployment. Lei rinuncia ad avere un solo vendor e un solo motore di policy per entrambi.

Esiste un'alternativa open source a Harness?

Jenkins è un server di automazione gratuito con licenza MIT che ospita Lei, e Argo CD è uno strumento di delivery GitOps per Kubernetes con licenza Apache-2.0. Insieme coprono CI e CD, ed entrambi li gestisce, aggiorna e protegge Lei.

CRACI funziona con Harness?

No. CRACI è un runner sicuro per GitHub Actions che registra ciò che ogni job ha scaricato come SBOM e applica una policy di egress sulla rete di build. Oggi supporta GitHub Actions, con GitLab CI e Jenkins in roadmap, quindi le pipeline Harness CI dovrebbero passare a workflow GitHub Actions.