Alternatieven voor StepSecurity

Wij bouwen CRACI, dus houd daar rekening mee; we beschrijven elke optie op basis van de eigen documentatie en zeggen wanneer een andere tool beter past.

Waarom teams verder kijken dan StepSecurity

Harden-Runner is een agent die als eerste stap van een job wordt toegevoegd. Het koppelt uitgaande verbindingen, processen en bestandsschrijfacties aan elke workflowstap, bouwt in auditmodus een baseline op en blokkeert egress naar alles wat niet op een allowlist staat. Het ondersteunt door GitHub gehoste Linux-runners volledig en draait op Windows en macOS in auditmodus.

Teams gaan elders kijken wanneer hun situatie verandert:

• Bewijs. Het legt bestemmingen vast in plaats van een SBOM op pakketniveau.
• Installatie. De agent is een stap die u aan elke workflow toevoegt.
• Prijs. Per september 2026 is de Community-laag gratis voor openbare repositories en kost Enterprise $16 per bijdragende ontwikkelaar per maand.

Waar u op moet letten

• Of de tool een agent op uw runner is, of de runner zelf.
• Egresscontrole, en of u kunt observeren voordat u blokkeert.
• Proces- en bestandsmonitoring, als u die nodig hebt.
• Buildbewijs: een SBOM op pakketniveau van wat elke job heeft opgehaald.
• Welke runners en CI-systemen het dekt.

De opties

1. CRACI (ons product)

CRACI is zelf de runner, geen agent op de uwe. Een egressbeleid, standaard weigeren of toestaan, wordt gevalideerd voordat de job start en valt veilig dicht. Terwijl de job draait, legt een proxy die pakketten herkent vast wat de job heeft opgehaald en maakt een SBOM met een volledigheidsstatus. De API levert SBOM's, netwerktraces en herkomstgegevens.

Geschikt voor: teams die de build op één plek willen beheersen en vastleggen.

Overweeg dit als: u jobs kunt verplaatsen naar de Linux-runners van CRACI voor GitHub Actions. CRACI monitort geen processen of schrijfacties naar bestanden, en een auditmodus vóór het blokkeren staat op de roadmap.

CRACI vs StepSecurity

2. Cycode Cimon

Cimon, van Cycode, is een eBPF-agent die binnen uw CI-jobs draait. Het monitort processen, uitgaand netwerkverkeer en bestandstoegang, leert het normale gedrag van een pipeline voordat het dat handhaaft, maakt een SBOM op basis van runtime-observatie en ondertekent SLSA-herkomst. Volgens Cycode is Cimon gratis en open source, en het maakt deel uit van het bredere platform voor applicatiebeveiliging van Cycode.

Geschikt voor: runtimebeveiliging van de build op runners die u behoudt, over meerdere CI-systemen.

CRACI vs Cycode

3. Namespace

Namespace draait runners voor Linux, Windows en macOS op hardware die het zelf beheert, te kiezen via runnerprofielen. Cachevolumes bewaren gegevens tussen runs op lokale opslag. Het egressbeleid draait in blokkeermodus of in adviesmodus, die beslissingen vastlegt zonder te blokkeren, zodat u een allowlist kunt opbouwen uit echt verkeer. Per september 2026 kost een Linux-runner met 2 vCPU en 4 GB $0.002 per minuut binnen het abonnement en $0.003 daarboven.

Geschikt voor: runners voor Linux, Windows en macOS van één leverancier, met cachevolumes.

Overweeg dit als: u een egressbeleid wilt uitproberen voordat u het handhaaft.

CRACI vs Namespace

4. Depot

Depot biedt Linux-runners van 2 tot 64 vCPU's, Windows, en macOS vanaf het Startup-abonnement, gekoppeld aan een gedistribueerde cache. Het beschrijft zijn runners als "tot 3x sneller dan een GitHub-hosted runner." De externe Docker-builddienst houdt een persistente layercache bij, Linux-runners ondersteunen egress-filtering, en op het Business-abonnement kunnen runners in uw eigen AWS-account draaien. Per september 2026 kost 2 vCPU $0.006 per minuut boven de minuten van het abonnement, per seconde bijgehouden.

Geschikt voor: teams waarvan de CI-tijd vooral opgaat aan het bouwen van Docker-images.

Overweeg dit als: u ook externe buildcaching voor Bazel, Gradle of Turborepo wilt.

CRACI vs Depot

5. Zelfgehoste runners met Actions Runner Controller

Actions Runner Controller (ARC) is "een Kubernetes-operator die zelfgehoste runners voor GitHub Actions orkestreert en schaalt." Runner scale sets groeien en krimpen mee met het aantal lopende workflows, en runners kunnen kortstondige containers zijn. GitHub rekent per september 2026 geen minuutprijs voor zelfgehost gebruik, maar u bent verantwoordelijk voor het besturingssysteem en de software, en GitHub waarschuwt dat zelfgehoste runners vrijwel nooit voor openbare repositories gebruikt moeten worden.

Geschikt voor: jobs die in uw netwerk of op uw hardware moeten draaien.

Overweeg dit als: u al Kubernetes draait en de tijd hebt om het te harden en te onderhouden.

Beheerde tegenover zelfgehoste runners

Naast elkaar

"Niet vermeld" betekent dat we het niet konden bevestigen op de openbare pagina's van de leverancier.

Wanneer u bij StepSecurity blijft

• U wilt door GitHub gehoste runners behouden, inclusief Windows en macOS.
• U wilt verkeer in auditmodus bekijken voordat u blokkeert.
• U hebt proces- en bestandsmonitoring nodig, niet alleen netwerkcontrole.
• U draait ook GitLab CI of Azure DevOps.

Lees meer over runner- en buildbeveiliging en CI/CD-integratie.

Alternatieven voor StepSecurity: veelgestelde vragen

Korte antwoorden op de vragen die teams stellen wanneer ze vergelijken

Is er een gratis alternatief voor Harden-Runner?

Cycode zegt dat Cimon gratis en open source is. Het is een eBPF-agent die processen, egress en bestandstoegang binnen uw CI-jobs monitort. Harden-Runner zelf is gratis voor openbare repositories op door GitHub gehoste runners, en de agent van de Community-laag is open source onder Apache 2.0. CRACI heeft geen gratis laag.

Wat vervangt StepSecurity op Azure DevOps?

Niet CRACI: dat ondersteunt momenteel alleen GitHub Actions, met GitLab CI en Jenkins op de roadmap. Cycode noemt Azure Pipelines onder de CI-systemen die Cimon dekt, en Harden-Runner zelf ondersteunt Azure DevOps.

Heeft CRACI een agent nodig?

Nee. CRACI is de runner, dus er is geen agent om aan uw workflows toe te voegen en geen controller om te beheren. U stelt runs-on: craci in, en het egressbeleid wordt gevalideerd voordat de job start en werkt fail-closed.

Wat kost StepSecurity?

Per september 2026 is de Community-laag gratis voor openbare repositories op door GitHub gehoste runners, en kost Enterprise $16 per bijdragende ontwikkelaar per maand, met een gratis proefperiode van 14 dagen. Runnerminuten zijn een aparte kostenpost. CRACI rekent alleen voor de runner zelf: $0.002 per vCPU-minuut ($0.004 voor een standaardrunner met 2 vCPU), per seconde gemeten, zonder maandelijkse kosten en zonder kosten per SBOM.

Kan CRACI egress auditen voordat het blokkeert?

Nog niet. Een monitor- of dry-runmodus staat op de roadmap van CRACI. Harden-Runner bouwt in auditmodus een baseline op, en Cimon leert het normale gedrag van een pipeline voordat het handhaaft.