Alternativer til StepSecurity

Vi lager CRACI, så ta det med i vurderingen; vi beskriver hvert alternativ ut fra dets egen dokumentasjon og sier fra når et annet verktøy passer bedre.

Hvorfor team ser utover StepSecurity

Harden-Runner er en agent som legges til som første steg i en jobb. Den kartlegger utgående tilkoblinger, prosesser og filskrivinger for hvert workflow-steg, bygger en baseline i audit-modus og blokkerer egress til alt utenfor en tillatelsesliste. Den støtter GitHub-hostede Linux-runnere fullt ut og kjører i audit-modus på Windows og macOS.

Team ser seg om etter noe annet når situasjonen deres endrer seg:

• Dokumentasjon. Den registrerer destinasjoner i stedet for en SBOM på pakkenivå.
• Oppsett. Agenten er et steg du legger til i hver workflow.
• Pris. Per september 2026 er Community-nivået gratis for offentlige repositorier, og Enterprise koster $16 per bidragende utvikler per måned.

Hva du bør se etter

• Om verktøyet er en agent på runneren din eller selve runneren.
• Egress-kontroll, og om du kan observere før du blokkerer.
• Overvåking av prosesser og filer, hvis du trenger det.
• Byggdokumentasjon: en SBOM på pakkenivå over det hver jobb hentet.
• Hvilke runnere og CI-systemer det dekker.

Alternativene

1. CRACI (vårt produkt)

CRACI er selve runneren, ikke en agent på din. En egress-policy, med standard nekt eller tillat, valideres før jobben starter og blokkerer ved feil. Mens jobben kjører, registrerer en pakkebevisst proxy hva den hentet, og lager en SBOM med en fullstendighetsstatus. API-et returnerer SBOM-er, nettverksspor og provenance.

Passer best for: team som vil kontrollere og registrere bygget på ett sted.

Aktuelt hvis: du kan flytte jobber til CRACIs Linux-runnere for GitHub Actions. CRACI overvåker ikke prosesser eller filskriving, og en revisjonsmodus før blokkering står på veikartet.

CRACI mot StepSecurity

2. Cycode Cimon

Cimon, fra Cycode, er en eBPF-agent som kjører inne i CI-jobbene dine. Den overvåker prosesser, utgående nettverkstrafikk og filtilgang, lærer seg en pipelines normale atferd før den håndhever den, lager en SBOM observert under kjøring og signerer SLSA-provenance. Cycode sier at Cimon er gratis og har åpen kildekode, og den inngår i Cycodes bredere plattform for applikasjonssikkerhet.

Passer best for: kjøretidsbeskyttelse av bygg på runnere du beholder, på tvers av flere CI-systemer.

CRACI mot Cycode

3. Namespace

Namespace kjører runnere for Linux, Windows og macOS på maskinvare selskapet drifter selv, valgt via runnerprofiler. Cachevolumer holder data på lokal lagring mellom kjøringer. Egress-policyene kjører i blokkeringsmodus eller i rådgivende modus, som registrerer beslutninger uten å blokkere, slik at du kan bygge en tillatelsesliste ut fra reell trafikk. Per september 2026 koster en Linux-runner med 2 vCPU og 4 GB $0.002 per minutt innenfor planen og $0.003 ved overforbruk.

Passer best for: runnere for Linux, Windows og macOS fra én leverandør, med cachevolumer.

Aktuelt hvis: du vil prøve ut en egress-policy før du håndhever den.

CRACI mot Namespace

4. Depot

Depot tilbyr Linux-runnere fra 2 til 64 vCPU-er, Windows og macOS på Startup-planen og oppover, koblet til en distribuert cache. Selskapet beskriver runnerne som "up to 3x faster than a GitHub-hosted runner." Den eksterne Docker-byggetjenesten har en vedvarende lag-cache, Linux-runnerne støtter filtrering av utgående trafikk, og på Business-planen kan runnerne ligge i din egen AWS-konto. Per september 2026 koster 2 vCPU $0.006 per minutt utover minuttene i planen, målt per sekund.

Passer best for: team der CI-tiden domineres av bygging av Docker-images.

Aktuelt hvis: du også vil ha ekstern byggecaching for Bazel, Gradle eller Turborepo.

CRACI mot Depot

5. Selvhostede runnere med Actions Runner Controller

Actions Runner Controller (ARC) er "a Kubernetes operator that orchestrates and scales self-hosted runners for GitHub Actions." Runner scale sets vokser og krymper med antallet workflows som kjører, og runnerne kan være kortlevde containere. GitHub tar ikke betalt per minutt for selvhostet bruk per september 2026, men du er ansvarlig for operativsystemet og programvaren, og GitHub advarer om at selvhostede runnere nesten aldri bør brukes for offentlige repositorier.

Passer best for: jobber som må kjøre i nettverket ditt eller på maskinvaren din.

Aktuelt hvis: du allerede kjører Kubernetes og har tid til å herde og vedlikeholde det.

Administrerte mot selvhostede runnere

Side om side

«Ikke oppgitt» betyr at vi ikke kunne bekrefte det på leverandørens offentlige sider.

Når du bør bli hos StepSecurity

• Du vil beholde GitHub-hostede runnere, inkludert Windows og macOS.
• Du vil følge med på trafikken i audit-modus før du blokkerer.
• Du trenger overvåking av prosesser og filer, ikke bare nettverkskontroll.
• Du kjører også GitLab CI eller Azure DevOps.

Les mer om runner- og byggesikkerhet og CI/CD-integrasjon.

Alternativer til StepSecurity: ofte stilte spørsmål

Korte svar på spørsmålene team stiller når de sammenligner

Finnes det et gratis alternativ til Harden-Runner?

Cycode sier at Cimon er gratis og åpen kildekode. Det er en eBPF-agent som overvåker prosesser, egress og filtilgang inne i CI-jobbene dine. Harden-Runner selv er gratis for offentlige repositorier på GitHub-hostede runnere, og agenten på Community-nivået er åpen kildekode under Apache 2.0. CRACI har ikke noe gratisnivå.

Hva erstatter StepSecurity på Azure DevOps?

Ikke CRACI: Det støtter bare GitHub Actions i dag, med GitLab CI og Jenkins på veikartet. Cycode oppgir Azure Pipelines blant CI-systemene Cimon dekker, og Harden-Runner selv støtter Azure DevOps.

Trenger CRACI en agent?

Nei. CRACI er runneren, så det er ingen agent å legge til i workflowene dine og ingen kontroller å drifte. Du setter runs-on: craci, og egress-policyen valideres før jobben starter, og blokkerer ved feil.

Hva koster StepSecurity?

Per september 2026 er Community-nivået gratis for offentlige repositorier på GitHub-hostede runnere, og Enterprise koster $16 per bidragende utvikler per måned, med en gratis prøveperiode på 14 dager. Runnerminutter er en separat kostnad. CRACI tar bare betalt for selve runneren: $0.002 per vCPU-minutt ($0.004 for en standard runner med 2 vCPU), målt per sekund, uten månedsavgift og uten betaling per SBOM.

Kan CRACI overvåke egress før det blokkerer?

Ikke ennå. En monitor- eller dry-run-modus står på CRACIs veikart. Harden-Runner bygger en baseline i audit-modus, og Cimon lærer en pipelines normale atferd før det håndhever.