StepSecurity vs CRACI

La risposta breve

StepSecurity è una piattaforma di sicurezza della software supply chain che copre quattro punti di controllo: macchine degli sviluppatori, registry di pacchetti, repository di codice e CI/CD. Il suo prodotto CI/CD, Harden-Runner, è un agente che osserva ogni connessione in uscita, processo e scrittura di file in un job, collega ciascuno allo step del workflow che lo ha causato e può bloccare l'egress verso tutto ciò che non è in un'allowlist. Enterprise costa $16 per sviluppatore contributore al mese, e i repository pubblici sui runner ospitati da GitHub sono gratuiti.

CRACI sostituisce il runner stesso: la sua policy di egress è applicata dalla piattaforma del runner e convalidata prima dell'avvio del job, e lo stesso job produce una SBOM a livello di pacchetto. È la sovrapposizione più stretta che CRACI ha con un vendor di sicurezza, perché entrambi limitano ciò che una build può raggiungere. La differenza sta in dove risiede il controllo. Harden-Runner protegge i runner che Lei mantiene, compresi quelli ospitati da GitHub. La policy di CRACI deriva dall'essere il runner, e CRACI registra i pacchetti invece delle sole destinazioni.

In sintesi

"Non dichiarato" significa che non abbiamo potuto confermarlo nelle pagine pubbliche di StepSecurity.

Che cosa fa bene StepSecurity

Harden-Runner

• Visibilità a livello di step. Ogni connessione in uscita, operazione sui file ed esecuzione di processo viene associata allo step, al job e al workflow esatti in cui è avvenuta. Il piano Enterprise aggiunge gli argomenti dei processi, i percorsi di scrittura dei file e gli avvisi via e-mail, Slack, Microsoft Teams o il Suo SIEM.
• Prima audit, poi blocco. In modalità egress-policy: audit Harden-Runner costruisce una baseline delle normali chiamate in uscita di ogni job e segnala qualsiasi novità. Può poi passare alla modalità block con un'allowlist di endpoint. Una block list globale di domini noti come malevoli, mantenuta da StepSecurity, si applica anche in modalità audit.
• Rilevamento delle manomissioni. Segnala modifiche inattese al codice sorgente durante la build.
• Ampia copertura. Pieno supporto sui runner Linux ospitati da GitHub, modalità audit sui runner Windows e macOS ospitati da GitHub e, nel piano Enterprise, VM self-hosted, bare metal e Actions Runner Controller. StepSecurity elenca anche GitLab CI, Azure DevOps e runner di terze parti come Blacksmith, Depot e Namespace. Sui runner self-hosted l'agente è integrato nell'immagine del runner, quindi i workflow non richiedono modifiche.
• Risultati ottenuti. StepSecurity riferisce che Harden-Runner ha rilevato la compromissione di tj-actions/changed-files (CVE-2025-30066) e il pacchetto npm axios compromesso, e che protegge oltre 25 milioni di esecuzioni di workflow a settimana. L'agente del piano Community è open source con licenza Apache 2.0.

Dove gira Harden-Runner

La matrice di supporto di StepSecurity per GitHub Actions, a settembre 2026:

Non è supportato quando un intero job gira in un container sui runner ospitati da GitHub, né su ubuntu-slim. Su Actions Runner Controller sono supportati solo i job Linux.

Il resto della piattaforma

• Governance delle action: un inventario delle action di terze parti e dei reusable workflow che Lei usa, workflow di approvazione per quelli nuovi e StepSecurity Maintained Actions come sostituti diretti verificati.
• Secure Registry: periodi di cooldown per le nuove versioni dei pacchetti, blocco delle versioni note come compromesse, protezione dal typosquatting e blocklist a livello di organizzazione, con un'unica policy per laptop e CI.
• Code Repo Security: controlli sulle pull request e Orchestrate Security, che apre pull request per fissare le action a SHA di commit, impostare permessi GITHUB_TOKEN a privilegio minimo e distribuire le configurazioni di Dependabot.
• Dev Machine Guard: un inventario di agenti di coding AI, server MCP, estensioni IDE e pacchetti sulle macchine degli sviluppatori.

In che cosa CRACI è diverso

Essere il runner, non un agente sul runner

Sui runner ospitati da GitHub, Harden-Runner viene installato da uno step che Lei aggiunge come primo step di ogni job, e la sua portata dipende da ciò che l'infrastruttura di GitHub consente. Non è un difetto del prodotto; deriva dal fatto di girare su un'infrastruttura di proprietà altrui.

La policy di CRACI fa parte del runner. Viene convalidata prima dell'avvio del job, rifiuta i campi sconosciuti ed è fail closed, quindi una policy che non può essere applicata non produce un'esecuzione non protetta. Le esecuzioni continuano a comparire in GitHub, e spostare un job significa cambiare la sua etichetta runs-on.

Pacchetti, non solo destinazioni

L'allowlist di Harden-Runner è un elenco di endpoint, e i suoi network insight mostrano quali host ha contattato ogni step. Le sorgenti di CRACI sono tipizzate per ecosistema, con 24 preset integrati di sorgenti software, sorgenti personalizzate per npm, PyPI, apt, apk, il proxy Go, Nix, Cargo, registry OCI e Git su HTTPS e SSH, e regole esplicite TLS, TCP, UDP e ICMP. Un proxy che riconosce i pacchetti registra quali pacchetti ha scaricato ogni job, compresi quelli ripristinati dalle cache CI, e produce una SBOM CycloneDX o SPDX con uno stato di completezza per job e per cache.

Dopo la build

• I dati di provenance tornano dall'API insieme a SBOM e tracce di rete. CRACI non firma la provenance e non dichiara alcun livello SLSA.
• Il monitoraggio rivaluta le SBOM di ciò che Lei ha distribuito quando compaiono nuove vulnerabilità, e i team di sicurezza esaminano i risultati e li inviano ai team responsabili della correzione.
• L'inventario mostra esattamente quali versioni del software sono distribuite in quali prodotti, a livello globale, così una nuova vulnerabilità si collega direttamente ai prodotti che eseguono la versione interessata.

Prezzo

A settembre 2026, il piano Community di StepSecurity è gratuito per un numero illimitato di repository pubblici sui runner ospitati da GitHub. Il piano Enterprise costa $16 al mese per sviluppatore contributore, ovvero chiunque abbia contribuito a un repository protetto negli ultimi 90 giorni, e include Dev Machine Guard e Secure Registry. Il solo Dev Machine Guard costa $8 per dispositivo al mese. I repository privati e i runner self-hosted richiedono Enterprise, entrambi i piani a pagamento hanno una prova gratuita di 14 giorni e StepSecurity offre sconti per volume. Harden-Runner protegge runner che Lei già paga, quindi i minuti dei runner sono un costo a parte.

CRACI addebita solo i minuti di build: $0.002 per vCPU-minuto ($0.004 per un runner predefinito da 2 vCPU), misurati al secondo, senza canone mensile. Poiché CRACI è il runner, quel prezzo copre la potenza di calcolo oltre alle evidenze. Veda i prezzi di CRACI per le condizioni attuali.

Quale scegliere

StepSecurity è la scelta migliore quando

• Vuole mantenere i runner ospitati da GitHub, compresi Windows e macOS.
• Usa runner self-hosted, GitLab CI o Azure DevOps.
• Vuole osservare il traffico in modalità audit prima di bloccare qualcosa.
• Le serve visibilità su processi e file per la risposta agli incidenti.
• Il Suo progetto open source gira sui runner ospitati da GitHub e ha bisogno di un'opzione gratuita.

CRACI è la scelta migliore quando

• Vuole il runner e la policy di egress in un solo posto, senza agenti da distribuire.
• Le serve una SBOM a livello di pacchetto per ogni build, con uno stato di completezza.
• Vuole il monitoraggio di ciò che è stato distribuito.
• Le servono evidenze per il CRA, o la residenza dei dati nell'UE con il piano Enterprise di CRACI.

A che cosa rinuncia spostando i job su CRACI

Per essere chiari: CRACI non ha ancora una modalità audit o monitor (è in roadmap), non monitora processi né scritture di file, non gira ancora sui runner ospitati da GitHub né su altri sistemi CI (GitLab CI e Jenkins sono in roadmap), ha le blocklist di pacchetti solo in roadmap e i suoi avvisi riguardano solo le violazioni delle policy, senza integrazione con Slack, Teams o SIEM. Se queste sono le Sue priorità, oggi StepSecurity le copre.

Secure Registry, Code Repo Security e Dev Machine Guard di StepSecurity proteggono punti che CRACI non tocca: il registry da cui provengono i Suoi pacchetti, i Suoi repository e i laptop degli sviluppatori. Non dipendono dal runner, quindi non sono influenzati da dove girano i Suoi job.

Per il Cyber Resilience Act

Il Cyber Resilience Act chiede ai fabbricanti di conoscere i componenti dei propri prodotti, gestirne le vulnerabilità e conservare le evidenze. StepSecurity si concentra su prevenzione e rilevamento degli attacchi alla supply chain, e i suoi insight runtime aiutano quando indaga su un incidente nella CI. CRACI automatizza una parte significativa della visibilità e delle evidenze sulla software supply chain di cui le aziende hanno bisogno per il loro più ampio processo di conformità al CRA: SBOM in fase di build esportate in CycloneDX o SPDX, tracciamento delle vulnerabilità e provenance tramite l'API. Veda le evidenze per il CRA.

Scopra di più sull'integrazione CI/CD e sulla generazione di SBOM in fase di build, oppure prenoti una demo per vedere un job eseguito con una policy di egress su CRACI.

StepSecurity: le risposte alle Sue domande

Che cos'è StepSecurity?

StepSecurity è una piattaforma di sicurezza della software supply chain. Il suo prodotto più noto, Harden-Runner, è un agente che monitora egress di rete, integrità dei file e attività dei processi sui runner CI/CD e può bloccare l'egress al di fuori di un'allowlist. La piattaforma copre anche registry di pacchetti (Secure Registry), repository di codice (Code Repo Security), macchine degli sviluppatori (Dev Machine Guard) e threat intelligence.

Quanto costa StepSecurity?

A settembre 2026, il piano Community è gratuito per un numero illimitato di repository pubblici. Enterprise costa $16 per sviluppatore contributore al mese, dove per sviluppatore contributore si intende chiunque abbia contribuito a un repository protetto negli ultimi 90 giorni, e include Dev Machine Guard e Secure Registry. Il solo Dev Machine Guard costa $8 per dispositivo al mese. Entrambi i piani a pagamento hanno una prova gratuita di 14 giorni, e i minuti dei runner sono un costo a parte.

Harden-Runner è gratuito?

Sì, per i repository pubblici sui runner ospitati da GitHub. I repository privati e i runner self-hosted, compresi quelli per repository pubblici, richiedono il piano Enterprise. L'agente del piano Community è open source con licenza Apache 2.0.

Quali runner supporta Harden-Runner?

I runner Linux ospitati da GitHub in modalità audit e block, i runner Windows e macOS ospitati da GitHub in modalità audit e, su Enterprise, VM self-hosted, bare metal e Actions Runner Controller. StepSecurity elenca anche GitLab CI, Azure DevOps e runner di terze parti come Blacksmith, Depot e Namespace. Non è supportato quando un intero job gira in un container sui runner ospitati da GitHub, né su ubuntu-slim.

Qual è la differenza tra StepSecurity e CRACI?

Harden-Runner è un agente che Lei aggiunge ai runner che mantiene. CRACI è il runner: la sua policy di egress è applicata dalla piattaforma del runner, viene convalidata prima dell'avvio del job ed è fail closed, e ogni job produce anche una SBOM a livello di pacchetto con uno stato di completezza. StepSecurity è avanti su modalità audit, monitoraggio di processi e file e copertura di runner e CI.

CRACI può sostituire Harden-Runner?

Per i job GitHub Actions su Linux, sì: spostare un job su CRACI gli dà il controllo dell'egress direttamente dal runner, quindi su quel job non serve alcun agente. Lei rinuncia alla modalità audit (nella roadmap di CRACI), al monitoraggio di processi e file e alla copertura dei runner ospitati da GitHub, Windows, macOS e non GitHub.

StepSecurity genera una SBOM?

Harden-Runner registra le destinazioni, i processi e i file toccati da un job, non una SBOM della build a livello di pacchetto. CRACI registra quali pacchetti ha scaricato ogni job, compresi quelli ripristinati dalle cache CI, ed esporta CycloneDX e SPDX.