StepSecurity vs CRACI

Het korte antwoord

StepSecurity is een platform voor ketenbeveiliging van software dat vier controlepunten dekt: ontwikkelaarsmachines, pakketregistries, coderepositories en CI/CD. Het CI/CD-product, Harden-Runner, is een agent die elke uitgaande verbinding, elk proces en elke bestandsschrijfactie in een job bewaakt, elk daarvan koppelt aan de workflowstap die het veroorzaakte, en egress kan blokkeren naar alles wat niet op een allowlist staat. Enterprise kost $16 per bijdragende ontwikkelaar per maand, en openbare repositories op door GitHub gehoste runners zijn gratis.

CRACI vervangt de runner zelf: het egressbeleid wordt afgedwongen door het runnerplatform en gevalideerd voordat de job start, en dezelfde job levert een SBOM op pakketniveau op. Dit is de grootste overlap die CRACI met een beveiligingsleverancier heeft, omdat beide beperken wat een build kan bereiken. Het verschil is waar de controle zit. Harden-Runner beveiligt runners die u houdt, ook door GitHub gehoste runners. Het beleid van CRACI hoort erbij omdat het de runner is, en het legt pakketten vast in plaats van alleen bestemmingen.

In één oogopslag

"Niet vermeld" betekent dat we het niet konden bevestigen op de openbare pagina's van StepSecurity.

Wat StepSecurity goed doet

Harden-Runner

• Zicht op stapniveau. Elke uitgaande verbinding, bestandsbewerking en procesuitvoering wordt gekoppeld aan de exacte stap, job en workflow waarin die plaatsvond. De Enterprise-laag voegt procesargumenten, schrijfpaden van bestanden, en meldingen via e-mail, Slack, Microsoft Teams of uw SIEM toe.
• Eerst auditen, dan blokkeren. In de modus egress-policy: audit bouwt Harden-Runner een baseline op van de normale uitgaande aanroepen van elke job en markeert alles wat nieuw is. Daarna kunt u overschakelen naar de blokkeermodus met een allowlist van endpoints. Een globale blokkeerlijst met bekende kwaadaardige domeinen, die StepSecurity onderhoudt, geldt zelfs in de auditmodus.
• Detectie van manipulatie. Het waarschuwt bij onverwachte wijzigingen in de broncode tijdens de build.
• Brede dekking. Volledige ondersteuning op door GitHub gehoste Linux-runners, auditmodus op door GitHub gehoste Windows- en macOS-runners, en op de Enterprise-laag self-hosted VM's, bare metal en Actions Runner Controller. StepSecurity vermeldt ook GitLab CI, Azure DevOps en runners van derden zoals Blacksmith, Depot en Namespace. Op self-hosted runners is de agent ingebouwd in de runner-image, dus workflows hoeven niet te worden gewijzigd.
• Trackrecord. StepSecurity meldt dat Harden-Runner de compromittering van tj-actions/changed-files (CVE-2025-30066) en het gecompromitteerde axios npm-pakket heeft gedetecteerd, en dat het meer dan 25 miljoen workflowruns per week beveiligt. De agent van de Community-laag is open source onder Apache 2.0.

Waar Harden-Runner draait

De eigen ondersteuningsmatrix van StepSecurity voor GitHub Actions, per september 2026:

Het wordt niet ondersteund wanneer een hele job in een container op door GitHub gehoste runners draait, of op ubuntu-slim. Op Actions Runner Controller worden alleen Linux-jobs ondersteund.

De rest van het platform

• Actions-governance: een inventaris van de actions en herbruikbare workflows van derden die u gebruikt, goedkeuringsworkflows voor nieuwe, en StepSecurity Maintained Actions als beoordeelde directe vervangers.
• Secure Registry: cooldownperiodes voor nieuwe pakketversies, blokkering van bekende gecompromitteerde versies, bescherming tegen typosquatting en organisatiebrede blokkeerlijsten, met één beleid voor laptops en CI.
• Code Repo Security: controles op pull requests, en Orchestrate Security, dat pull requests opent die actions vastpinnen op commit-SHA's, GITHUB_TOKEN-rechten volgens least privilege instellen en Dependabot-configuraties uitrollen.
• Dev Machine Guard: een inventaris van AI-codeeragents, MCP-servers, IDE-extensies en pakketten op ontwikkelaarsmachines.

Waar CRACI anders is

De runner zijn, geen agent erop

Op door GitHub gehoste runners wordt Harden-Runner geïnstalleerd door een stap die u als eerste stap van elke job toevoegt, en het bereik hangt af van wat de infrastructuur van GitHub toestaat. Dat is geen fout in het product; het volgt uit het draaien op infrastructuur die van iemand anders is.

Het beleid van CRACI maakt deel uit van de runner. Het wordt gevalideerd voordat de job start, weigert onbekende velden en is fail-closed, dus een beleid dat niet kan worden toegepast, levert geen onbeschermde run op. Runs verschijnen nog steeds in GitHub, en een job verplaatsen is een wijziging van het label runs-on.

Pakketten, niet alleen bestemmingen

De allowlist van Harden-Runner is een lijst met endpoints, en de netwerkinzichten tonen met welke hosts elke stap contact heeft gehad. De bronnen van CRACI zijn per ecosysteem getypeerd, met 24 ingebouwde presets voor softwarebronnen, eigen bronnen voor npm, PyPI, apt, apk, de Go-proxy, Nix, Cargo, OCI-registries en Git via HTTPS en SSH, en expliciete regels voor TLS, TCP, UDP en ICMP. Een proxy die pakketten herkent, legt vast welke pakketten elke job heeft opgehaald, inclusief pakketten die uit CI-caches zijn teruggezet, en maakt een CycloneDX- of SPDX-SBOM met een volledigheidsstatus per job en per cache.

Na de build

• Herkomstgegevens komen via de API terug, samen met SBOM's en netwerktraces. CRACI ondertekent geen herkomstgegevens en claimt geen SLSA-niveau.
• Monitoring beoordeelt de SBOM's van wat u hebt geleverd opnieuw wanneer nieuwe kwetsbaarheden verschijnen, en securityteams triëren bevindingen en sturen ze naar de teams die verantwoordelijk zijn voor de fix.
• Inventaris toont precies welke softwareversies in welke producten zijn uitgerold, wereldwijd, zodat een nieuwe kwetsbaarheid rechtstreeks leidt naar de producten die de getroffen versie draaien.

Prijs

Per september 2026 is de Community-laag van StepSecurity gratis voor een onbeperkt aantal openbare repositories op door GitHub gehoste runners. De Enterprise-laag kost $16 per maand per bijdragende ontwikkelaar, dat wil zeggen iedereen die in de afgelopen 90 dagen heeft bijgedragen aan een beveiligde repository, en omvat Dev Machine Guard en Secure Registry. Dev Machine Guard alleen kost $8 per apparaat per maand. Privérepositories en self-hosted runners hebben Enterprise nodig, beide betaalde lagen hebben een gratis proefperiode van 14 dagen, en StepSecurity biedt volumekortingen. Harden-Runner beveiligt runners waarvoor u al betaalt, dus runnerminuten zijn een aparte kostenpost.

CRACI rekent alleen buildminuten: $0.002 per vCPU-minuut ($0.004 voor een standaardrunner met 2 vCPU), per seconde gemeten, zonder maandelijkse kosten. Omdat CRACI de runner is, dekt die prijs zowel de rekenkracht als het bewijs. Zie de prijzen van CRACI voor de actuele voorwaarden.

Welke past

StepSecurity past beter wanneer

• U door GitHub gehoste runners wilt houden, ook Windows en macOS.
• U self-hosted runners, GitLab CI of Azure DevOps draait.
• U verkeer in auditmodus wilt observeren voordat u iets blokkeert.
• U zicht op proces- en bestandsniveau nodig hebt voor incidentrespons.
• Uw open-sourceproject op door GitHub gehoste runners draait en een gratis optie nodig heeft.

CRACI past beter wanneer

• U de runner en het egressbeleid op één plek wilt, zonder uit te rollen agent.
• U een SBOM op pakketniveau van elke build nodig hebt, met een volledigheidsstatus.
• U monitoring wilt van wat is geleverd.
• U CRA-bewijs nodig hebt, of gegevensopslag in de EU op het Enterprise-plan van CRACI.

Wat u opgeeft door jobs naar CRACI te verplaatsen

Om duidelijk te zijn: CRACI heeft nog geen audit- of monitormodus (die staat op de roadmap), monitort geen processen of bestandsschrijfacties, draait nog niet op door GitHub gehoste runners of andere CI-systemen (GitLab CI en Jenkins staan op de roadmap), heeft blokkeerlijsten voor pakketten alleen op de roadmap, en de meldingen dekken alleen beleidsovertredingen, zonder integratie met Slack, Teams of SIEM. Zijn dat uw prioriteiten, dan dekt StepSecurity ze vandaag.

Secure Registry, Code Repo Security en Dev Machine Guard van StepSecurity beschermen punten die CRACI niet raakt: de registry waaruit uw pakketten komen, uw repositories en laptops van ontwikkelaars. Ze zijn niet afhankelijk van de runner, dus het maakt voor hen niet uit waar uw jobs draaien.

Voor de Cyber Resilience Act

De Cyber Resilience Act vraagt fabrikanten om de componenten in hun producten te kennen, kwetsbaarheden daarin af te handelen en bewijs te bewaren. StepSecurity richt zich op het voorkomen en detecteren van aanvallen op de softwareketen, en de runtime-inzichten helpen wanneer u een incident in CI onderzoekt. CRACI automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat bedrijven nodig hebben voor hun bredere CRA-nalevingsproces: SBOM's uit de build, geëxporteerd als CycloneDX of SPDX, kwetsbaarheidstracking en herkomstgegevens via de API. Zie CRA-bewijs.

Lees meer over CI/CD-integratie en SBOM-generatie tijdens de build, of boek een demo om een job onder een egressbeleid op CRACI te zien draaien.

StepSecurity: uw vragen beantwoord

Wat is StepSecurity?

StepSecurity is een platform voor ketenbeveiliging van software. Het bekendste product, Harden-Runner, is een agent die uitgaand netwerkverkeer, bestandsintegriteit en procesactiviteit op CI/CD-runners monitort en egress buiten een allowlist kan blokkeren. Het platform dekt ook pakketregistries (Secure Registry), coderepositories (Code Repo Security), ontwikkelaarsmachines (Dev Machine Guard) en threat intelligence.

Wat kost StepSecurity?

Per september 2026 is de Community-laag gratis voor een onbeperkt aantal openbare repositories. Enterprise kost $16 per bijdragende ontwikkelaar per maand, waarbij een bijdragende ontwikkelaar iedereen is die in de afgelopen 90 dagen heeft bijgedragen aan een beveiligde repository, en omvat Dev Machine Guard en Secure Registry. Dev Machine Guard alleen kost $8 per apparaat per maand. Beide betaalde lagen hebben een gratis proefperiode van 14 dagen, en runnerminuten zijn een aparte kostenpost.

Is Harden-Runner gratis?

Ja, voor openbare repositories op door GitHub gehoste runners. Privérepositories en self-hosted runners, ook self-hosted runners voor openbare repositories, hebben de Enterprise-laag nodig. De agent van de Community-laag is open source onder de Apache 2.0-licentie.

Welke runners ondersteunt Harden-Runner?

Door GitHub gehoste Linux-runners in audit- en blokkeermodus, door GitHub gehoste Windows- en macOS-runners in auditmodus, en op Enterprise self-hosted VM's, bare metal en Actions Runner Controller. StepSecurity vermeldt ook GitLab CI, Azure DevOps en runners van derden zoals Blacksmith, Depot en Namespace. Het wordt niet ondersteund wanneer een hele job in een container op door GitHub gehoste runners draait, of op ubuntu-slim.

Wat is het verschil tussen StepSecurity en CRACI?

Harden-Runner is een agent die u toevoegt aan runners die u houdt. CRACI is de runner: het egressbeleid wordt afgedwongen door het runnerplatform, gevalideerd voordat de job start en is fail-closed, en elke job levert ook een SBOM op pakketniveau met een volledigheidsstatus op. StepSecurity loopt voor op het gebied van auditmodus, monitoring van processen en bestanden, en dekking van runners en CI.

Kan CRACI Harden-Runner vervangen?

Voor GitHub Actions-jobs op Linux wel: wanneer u een job naar CRACI verplaatst, krijgt die egresscontrole van de runner zelf, zodat er op die job geen agent nodig is. U geeft de auditmodus op (op de roadmap van CRACI), monitoring van processen en bestanden, en dekking van door GitHub gehoste, Windows-, macOS- en niet-GitHub-runners.

Genereert StepSecurity een SBOM?

Harden-Runner legt de bestemmingen, processen en bestanden vast waarmee een job in aanraking kwam, geen SBOM op pakketniveau van de build. CRACI legt vast welke pakketten elke job heeft opgehaald, inclusief pakketten die uit CI-caches zijn teruggezet, en exporteert CycloneDX en SPDX.