Alternative a StepSecurity

Noi sviluppiamo CRACI, ne tenga conto; descriviamo ogni opzione in base alla sua documentazione e diciamo quando un altro strumento è più adatto.

Perché i team guardano oltre StepSecurity

Harden-Runner è un agente aggiunto come primo step di un job. Associa connessioni in uscita, processi e scritture su file a ogni step del workflow, costruisce una baseline in modalità audit e blocca l'egress verso tutto ciò che non è in un'allowlist. Supporta pienamente i runner Linux ospitati da GitHub e gira in modalità audit su Windows e macOS.

I team guardano altrove quando la loro situazione cambia:

• Evidenze. Registra le destinazioni anziché una SBOM a livello di pacchetto.
• Configurazione. L'agente è uno step da aggiungere a ogni workflow.
• Prezzo. A settembre 2026, il piano Community è gratuito per i repository pubblici ed Enterprise costa $16 per sviluppatore contributore al mese.

Che cosa valutare

• Se lo strumento è un agente sul Suo runner o il runner stesso.
• Controllo dell'egress, e se è possibile osservare prima di bloccare.
• Monitoraggio di processi e file, se Le serve.
• Evidenze di build: una SBOM a livello di pacchetto di ciò che ogni job ha scaricato.
• Quali runner e sistemi CI copre.

Le opzioni

1. CRACI (il nostro prodotto)

CRACI è il runner stesso, non un agent sul Suo runner. Una policy di egress, con negazione o autorizzazione predefinita, viene convalidata prima dell'avvio del job e opera in modalità fail closed. Durante l'esecuzione del job, un proxy che riconosce i pacchetti registra ciò che ha scaricato e produce una SBOM con uno stato di completezza. L'API restituisce SBOM, tracce di rete e provenance.

Ideale per: i team che vogliono controllare e registrare la build in un unico punto.

Da valutare se: può spostare i job sui runner Linux di CRACI per GitHub Actions. CRACI non monitora i processi né le scritture su file, e una modalità di audit prima del blocco è nella sua roadmap.

CRACI e StepSecurity

2. Cycode Cimon

Cimon, di Cycode, è un agent eBPF che gira all'interno dei Suoi job CI. Monitora processi, egress di rete e accessi ai file, apprende il comportamento normale di una pipeline prima di applicare i controlli, produce una SBOM osservata a runtime e firma la provenance SLSA. Cycode dichiara che Cimon è gratuito e open source, e fa parte della più ampia piattaforma di sicurezza applicativa di Cycode.

Ideale per: protezione runtime delle build sui runner che Lei mantiene, su più sistemi CI.

CRACI e Cycode

3. Namespace

Namespace esegue runner Linux, Windows e macOS su hardware che gestisce in proprio, selezionati tramite runner profile. I cache volume mantengono i dati su storage locale tra un'esecuzione e l'altra. Le sue policy di egress funzionano in modalità di blocco o in modalità advisory, che registra le decisioni senza bloccare, così Lei può costruire un'allowlist dal traffico reale. A settembre 2026, un runner Linux da 2 vCPU e 4 GB costa $0.002 al minuto nel piano e $0.003 in eccedenza.

Ideale per: runner Linux, Windows e macOS da un unico fornitore, con cache volume.

Da valutare se: desidera provare una policy di egress prima di applicarla.

CRACI e Namespace

4. Depot

Depot offre runner Linux da 2 a 64 vCPU, Windows e, dal piano Startup in su, macOS, collegati a una cache distribuita. Descrive i suoi runner come "fino a 3 volte più veloci di un runner ospitato da GitHub". Il suo servizio remoto di build Docker mantiene una cache dei layer persistente, i runner Linux supportano il filtraggio dell'egress e, con il piano Business, i runner possono risiedere nel Suo account AWS. A settembre 2026, 2 vCPU costano $0.006 al minuto oltre i minuti del piano, conteggiati al secondo.

Ideale per: i team il cui tempo di CI è dominato dalle build di immagini Docker.

Da valutare se: desidera il caching remoto delle build anche per Bazel, Gradle o Turborepo.

CRACI e Depot

5. Runner self-hosted con Actions Runner Controller

Actions Runner Controller (ARC) è "un operator Kubernetes che orchestra e scala i runner self-hosted per GitHub Actions". I runner scale set crescono e si riducono in base al numero di workflow in esecuzione e i runner possono essere container effimeri. A settembre 2026 GitHub non addebita costi al minuto per l'uso self-hosted, ma la responsabilità del sistema operativo e del software è Sua, e GitHub avverte che i runner self-hosted non dovrebbero quasi mai essere usati per i repository pubblici.

Ideale per: job che devono girare nella Sua rete o sul Suo hardware.

Da valutare se: usa già Kubernetes e ha il tempo di rafforzarlo e mantenerlo.

Runner gestiti e self-hosted

Fianco a fianco

"Non dichiarato" significa che non abbiamo potuto verificarlo nelle pagine pubbliche del vendor.

Quando restare con StepSecurity

• Desidera mantenere i runner ospitati da GitHub, compresi Windows e macOS.
• Vuole osservare il traffico in modalità audit prima di bloccare.
• Le serve il monitoraggio di processi e file, non solo il controllo della rete.
• Usa anche GitLab CI o Azure DevOps.

Scopra di più sulla sicurezza di runner e build e sull'integrazione CI/CD.

Alternative a StepSecurity: domande frequenti

Risposte brevi alle domande che i team si pongono quando confrontano

Esiste un'alternativa gratuita a Harden-Runner?

Cycode afferma che Cimon è gratuito e open source. È un agente eBPF che monitora processi, egress e accesso ai file all'interno dei Suoi job CI. Harden-Runner stesso è gratuito per i repository pubblici sui runner ospitati da GitHub, e il suo agente del piano Community è open source con licenza Apache 2.0. CRACI non ha un piano gratuito.

Che cosa sostituisce StepSecurity su Azure DevOps?

Non CRACI: oggi supporta solo GitHub Actions, con GitLab CI e Jenkins in roadmap. Cycode indica Azure Pipelines tra i sistemi CI coperti da Cimon, e Harden-Runner stesso supporta Azure DevOps.

CRACI ha bisogno di un agente?

No. CRACI è il runner, quindi non c'è alcun agente da aggiungere ai Suoi workflow né alcun controller da gestire. Lei imposta runs-on: craci, e la policy di egress viene convalidata prima dell'avvio del job e opera in modalità fail closed.

Quanto costa StepSecurity?

A settembre 2026, il piano Community è gratuito per i repository pubblici sui runner ospitati da GitHub, ed Enterprise costa $16 per sviluppatore contributore al mese, con una prova gratuita di 14 giorni. I minuti dei runner sono un costo separato. CRACI addebita solo il runner stesso: $0.002 per vCPU-minuto ($0.004 per un runner predefinito da 2 vCPU), misurati al secondo, senza canone mensile né costo per SBOM.

CRACI può sottoporre l'egress ad audit prima di bloccarlo?

Non ancora. Una modalità di monitoraggio o dry-run è nella roadmap di CRACI. Harden-Runner costruisce una baseline in modalità audit, e Cimon apprende il comportamento normale di una pipeline prima di applicare i blocchi.