Alternativer til Chainguard

Vi lager CRACI, så ta hensyn til det; vi beskriver hvert alternativ ut fra dets egen dokumentasjon og sier når et annet verktøy passer bedre.

Hvorfor team ser utover Chainguard

Chainguard bygger programvare med åpen kildekode fra kildekoden og leverer den herdet: container-images som selskapet kaller zero-CVE, biblioteker for Java, Python og JavaScript gjenoppbygd fra verifisert kildekode, VM-images og herdede GitHub Actions, hver med en signert SBOM og SLSA-provenance. For kunder med en ordre forplikter det seg til å utbedre kritiske CVE-er innen 7 dager og andre alvorlighetsgrader innen 14 dager etter en kvalifiserende patch. Det er en sterk måte å starte fra rene inputer på.

Team ser på andre alternativer når situasjonen deres endrer seg:

• Pris. Utover fem gratis images starter Chainguards katalog på $19K for et team på 10. Det finnes nå også gratis herdede kataloger.
• Omfang. Chainguards SBOM-er og provenance beskriver Chainguards artefakter. Ditt eget bygg, og alt annet det trekker inn, trenger fortsatt sin egen oversikt.
• Kontroll over bygget. Rene inputer begrenser ikke hva et bygg kan nå mens det kjører, og viser ikke hva et skript lastet ned.
• Migrering. Å gå over til en herdet katalog betyr å bytte base-images og noen ganger måten du bygger dem på.

Hva du bør se etter

• Om du vil sikre inputene, bygget eller begge deler.
• Distribusjoner og arkitekturer du trenger, og hvor direkte imagene kan erstatte dagens.
• En forpliktelse til å rette CVE-er, og om den krever et betalt nivå.
• Samsvarsvarianter som FIPS og STIG, hvis du selger til offentlig sektor.
• SBOM-er og provenance, og om de beskriver leverandørens artefakter eller bygget ditt.
• Kontroll over hva et bygg kan nå mens det kjører.

Alternativene

Alternativ 2 til 9 gir deg herdede, minimale eller gjenoppbygde images. CRACI sikrer bygget som bruker dem, og Socket sikrer pakkene det installerer.

1. CRACI (vårt produkt)

CRACI sikrer programvareleverandørkjeden i bygget i stedet for ved inputene. Det er en runner for GitHub Actions: mens hver jobb kjører, registrerer en pakkebevisst proxy hva den hentet, inkludert base-images, pakker og pakker gjenopprettet fra CI-cacher, og lager en SBOM i CycloneDX eller SPDX med en fullstendighetsstatus per jobb og per cache. En egress-policy valideres før jobben starter og blokkerer ved feil, så et bygg når bare kildene du tillater. CRACI vurderer SBOM-ene for det som er levert, på nytt fortløpende, og inventarvisningen viser nøyaktig hvilke programvareversjoner som er rullet ut til hvilke produkter, globalt.

Best for: team som trenger oversikt over og kontroll med hvert bygg, uansett hvilke base-images de bruker.

Vurder hvis: du vil ha leverandørkjedesikkerhet for programvaren du bygger. CRACI lager ikke herdede images eller biblioteker, og støtter GitHub Actions på Linux i dag, med GitLab CI, Jenkins, Windows og macOS på veikartet.

CRACI og Chainguard

2. Docker Hardened Images

Docker beskriver de herdede imagene sine som nesten uten CVE-er, minimale og fortløpende gjenoppbygd fra kildekode, på Alpine eller Debian. Hvert image leveres med signerte SBOM-er, SLSA Level 3-provenance og OpenVEX-data om utnyttbarhet. Per september 2026 er DHI Community-katalogen gratis og har åpen kildekode under Apache 2.0; DHI Select, fra $5,000 per repositorium, legger til en SLA om å rette kritiske CVE-er innen 7 dager samt FIPS- og STIG-varianter, og DHI Enterprise legger til ubegrenset tilpasning.

Best for: en gratis herdet katalog på velkjente Alpine- og Debian-baser.

Vurder hvis: du vil ha en SLA bare for imagene som trenger det.

3. Echo

Echo tilbyr containere, biblioteker, VM-er og OS-pakker uten sårbarheter, med FIPS-validerte og STIG-herdede varianter, og sier at det eliminerer 99 % eller mer av sårbarhetene ved kilden. Prisene gis via demo. Minimus, en annen leverandør av herdede images, avvikler driften og har overført teknologien sin til Echo; registeret stenger 22. oktober 2026.

Best for: team som vil ha herdede images, biblioteker og VM-er fra én leverandør.

Vurder hvis: du er Minimus-kunde og ser etter en etterfølger.

4. Aikido

Aikidos herdede images erstatter eksisterende base-images direkte og tilbakeporterer sikkerhetsrettinger i stedet for å tvinge frem distribusjonsoppgraderinger, også etter upstream end of life. Det oppgir mer enn 2 000 images på tvers av Debian, Ubuntu og Alpine på amd64 og arm64, med SBOM, VEX og SLSA-provenance inkludert i hver nedlasting. Du kan starte gratis.

Best for: å rette CVE-er i imagene du allerede bruker, uten å bytte distribusjon.

Vurder hvis: du også vil ha Aikidos bredere AppSec-plattform.

CRACI vs. Aikido

5. RapidFort

RapidFort tilbyr mer enn 35 000 kuraterte images med nesten null CVE-er, bygget på Ubuntu, RHEL, Debian og Alpine, som direkte erstatninger for vanlige base-images, og sier at de fjerner opptil 99,9 % av CVE-ene. Hele katalogen legger til CIS- og DISA STIG-herdede varianter, FIPS 140-2- og 140-3-images og SBOM-eksport i SPDX og CycloneDX. Plattformnivået profilerer containere under kjøring for å se hvilke komponenter som faktisk kjører, og fjerner ubrukte pakker for opptil 90 % mindre angrepsflate. Fem kuraterte images er gratis; hele katalogen prises etter tilbud.

Best for: team som vil ha herdede images på distribusjonene de allerede bruker.

Vurder hvis: profilering under kjøring og redusert angrepsflate betyr like mye som imagene.

6. Bitnami Secure Images

Bitnami, nå en del av Broadcom, selger herdede images av applikasjoner med åpen kildekode på en minimal Photon OS-base: mer enn 350 container-images og 140 Helm-charts. Hvert image leveres med en SBOM, VEX-dokumenter, CVE-skanneresultater og SLSA 3-attestasjonssignaturer, og katalogen støtter FIPS, STIG og FedRAMP. Utviklere kan bruke en del av imagene gratis utenfor produksjon, bare med latest-taggen; hele katalogen selges via salgsavdelingen eller Arrow Marketplace.

Best for: team som allerede ruller ut Bitnami-applikasjoner og Helm-charts.

Vurder hvis: du trenger images til produksjon, som krever et betalt abonnement.

7. Google distroless

Distroless-images «inneholder bare applikasjonen din og avhengighetene den trenger under kjøring», uten pakkebehandler eller shell. De er basert på Debian 13, gratis under Apache 2.0 og signert med cosign. Det finnes ingen forpliktelse til å rette CVE-er; rettinger kommer etter hvert som Debian publiserer dem.

Best for: en mindre angrepsflate uten kostnad.

Vurder hvis: du kan klare deg uten shell i produksjons-images.

8. Iron Bank

Iron Bank er det amerikanske forsvarsdepartementets kilde til herdede containere, en del av Platform One. Leverandører, miljøer rundt åpen kildekode og offentlige team sender inn images, som bygges på nytt uten internettilgang, skannes mot akseptkriteriene til Iron Bank og overvåkes hver 12. time. Det koster ingenting for bidragsytere eller brukere, men nedlastinger fra Registry1 krever en Platform One-konto, og leverandører og bidragsytere er ansvarlige for å rette funnene i sine images.

Best for: programvare på vei til DoD-systemer som trenger akkrediterte base-images.

Vurder hvis: du godtar at vedlikeholdet av hvert image avhenger av bidragsyteren.

9. Cloud Native Buildpacks og Paketo

Cloud Native Buildpacks, et graduated CNCF-prosjekt, gjør kildekoden til en applikasjon om til OCI-images uten en Dockerfile. Rebase oppdaterer base-imaget uten å bygge appen på nytt, byggene lager SBOM-er i CycloneDX, SPDX og Syft JSON, og en ny kjøring av et bygg gir samme image-digest. Paketo Buildpacks, et fellesskapsprosjekt under Cloud Foundry Foundation, tilbyr ferdige buildpacks for Java, Go, .NET Core, Node.js, PHP, Python og Ruby.

Best for: team som helst ikke vil vedlikeholde Dockerfiler, og som vil patche OS-lag med rebase.

Vurder hvis: du kan klare deg uten en leverandørs forpliktelse til å rette CVE-er; dette er en måte å bygge images på, ikke en katalog.

10. Socket

Socket sikrer en annen input: pakker med åpen kildekode. Det analyserer hvordan pakker oppfører seg, flagger risikable tillegg i pull requests, og Socket Firewall blokkerer skadelige pakker ved installasjon, med en gratisversjon for npm, yarn, pnpm, pip, uv og cargo.

Best for: å stoppe farlige pakker før de kommer inn, også de som ennå ikke har noen sikkerhetsmelding.

CRACI vs. Socket

Side om side

«Ikke oppgitt» betyr at vi ikke kunne bekrefte det på leverandørens offentlige sider. RapidFort, Bitnami Secure Images, Iron Bank og Buildpacks er beskrevet ovenfor.

Hva Chainguard og alternativene koster

De fleste betalte herdede katalogene prises etter tilbud, så sammenlign hva en forpliktelse til å rette CVE-er, FIPS- eller STIG-varianter og tilpasning koster hos hver av dem. Gratis kataloger kommer som regel uten forpliktelse til å rette.

Chainguard vs. Docker Hardened Images

Dette er de to alternativene team sammenligner mest direkte. Begge leverer minimale images med signerte SBOM-er og SLSA-provenance. Forskjellene ligger i hvordan de bygges, og hva gratisnivået inkluderer:

• Base. Docker Hardened Images er basert på Alpine eller Debian, som de fleste team allerede kjenner. Chainguard bygger imagene sine fra kildekode.
• Gratisnivå. DHI Community-katalogen er gratis under Apache 2.0. Chainguard tilbyr fem images gratis.
• Forpliktelse til å rette CVE-er. Docker forplikter seg til å rette kritiske CVE-er innen 7 dager på DHI Select, fra $5,000 per repositorium. Chainguard forplikter seg til 7 dager for kritiske og 14 for andre alvorlighetsgrader for kunder med en ordre.
• Utover images. Chainguard bygger også språkbiblioteker på nytt og tilbyr VM-images og herdede GitHub Actions.

Når du bør bli værende hos Chainguard

• Du trenger herdede images og biblioteker for flere språk, med en CVE-forpliktelse, fra én leverandør.
• Du er avhengig av Chainguard Libraries via Artifactory, Nexus eller Cloudsmith.
• Du kan kombinere: herdede inputer og et registrert, kontrollert bygg dekker ulike deler av kjeden.

Les mer om SBOM-generering under bygget og verktøy for sikkerhet i programvareleverandørkjeden sammenlignet.

Alternativer til Chainguard: ofte stilte spørsmål

Korte svar på spørsmålene team stiller når de sammenligner

Hvem konkurrerer med Chainguard?

For herdede container-images: Docker Hardened Images, RapidFort, Bitnami Secure Images fra Broadcom, Echo, Aikido og gratis alternativer som Google distroless og Iron Bank fra det amerikanske forsvarsdepartementet (DoD). Cloud Native Buildpacks er en måte med åpen kildekode å bygge images på uten Dockerfiler. Socket sikrer i stedet pakker med åpen kildekode, og CRACI sikrer og registrerer bygget som bruker alle disse inputene.

Hva er forskjellen mellom Docker og Chainguard?

Docker Hardened Images er basert på Alpine eller Debian, og Community-katalogen er gratis under Apache 2.0; en forpliktelse til å rette kritiske CVE-er innen 7 dager følger med det betalte nivået DHI Select, fra $5,000 per repositorium. Chainguard bygger imagene sine fra kildekode, forplikter seg til å rette kritiske CVE-er innen 7 dager og andre innen 14 for kunder med en ordre, og tilbyr også biblioteker, VM-er og GitHub Actions.

Hva koster Chainguard?

Chainguard tilbyr fem images gratis. Per september 2026 starter katalogprisene på $19K for et team på 10, med tilgang til hele katalogen og en CVE-SLA, og pris per image gis etter tilbud.

Finnes det et gratis alternativ til Chainguard?

Ja. Community-katalogen til Docker Hardened Images og Google distroless er gratis under Apache 2.0, Iron Bank er gratis med en Platform One-konto, og med RapidFort og Aikido kan du starte gratis. Gratisalternativer kommer som regel uten forpliktelse til å rette CVE-er.

Erstatter CRACI Chainguard?

Nei. CRACI lager ikke herdede images eller biblioteker. Det sikrer i stedet bygget: det registrerer hva hver GitHub Actions-jobb hentet, også base-images, og håndhever en egress-policy som blokkerer ved feil. Herdede inputer og et registrert, kontrollert bygg dekker ulike deler av leverandørkjeden.