StepSecurity vs. CRACI

Det korte svaret

StepSecurity er en plattform for sikkerhet i programvareleverandørkjeden som dekker fire kontrollpunkter: utviklermaskiner, pakkeregistre, kodelagre og CI/CD. CI/CD-produktet, Harden-Runner, er en agent som overvåker hver utgående tilkobling, prosess og filskriving i en jobb, knytter hver av dem til workflow-steget som forårsaket den, og kan blokkere egress til alt som ikke står på en tillatelsesliste. Enterprise koster $16 per bidragende utvikler per måned, og offentlige repositorier på GitHub-hostede runnere er gratis.

CRACI erstatter selve runneren: Egress-policyen håndheves av runnerplattformen og valideres før jobben starter, og den samme jobben produserer en SBOM på pakkenivå. Dette er det nærmeste overlappet CRACI har med noen sikkerhetsleverandør, fordi begge begrenser hva et bygg kan nå. Forskjellen er hvor kontrollen ligger. Harden-Runner sikrer runnere du beholder, også GitHub-hostede. CRACIs policy følger med det å være runneren, og det registrerer pakker, ikke bare destinasjoner.

Oversikt

"Ikke oppgitt" betyr at vi ikke kunne bekrefte det på StepSecuritys offentlige sider.

Hva StepSecurity gjør bra

Harden-Runner

• Innsyn på stegnivå. Hver utgående tilkobling, filoperasjon og prosesskjøring er koblet til det nøyaktige steget, jobben og workflowen der den skjedde. Enterprise-nivået legger til prosessargumenter, stier for filskrivinger og varsler på e-post, Slack, Microsoft Teams eller SIEM-en din.
• Revider først, blokker etterpå. I modusen egress-policy: audit bygger Harden-Runner en baseline av hver jobbs normale utgående kall og flagger alt nytt. Deretter kan du bytte til blokkeringsmodus med en tillatelsesliste over endepunkter. En global blokkeringsliste over kjente ondsinnede domener, vedlikeholdt av StepSecurity, gjelder også i revisjonsmodus.
• Oppdagelse av manipulering. Det varsler om uventede endringer i kildekoden under bygget.
• Bred dekning. Full støtte på GitHub-hostede Linux-runnere, revisjonsmodus på GitHub-hostede Windows og macOS og, på Enterprise-nivået, selvhostede VM-er, bare metal og Actions Runner Controller. StepSecurity oppgir også GitLab CI, Azure DevOps og tredjeparts runnere som Blacksmith, Depot og Namespace. På selvhostede runnere er agenten bygget inn i runner-imaget, så workflows ikke trenger endringer.
• Resultater så langt. StepSecurity rapporterer at Harden-Runner oppdaget kompromitteringen av tj-actions/changed-files (CVE-2025-30066) og den kompromitterte npm-pakken axios, og at det sikrer over 25 millioner workflow-kjøringer i uken. Agenten på Community-nivået er åpen kildekode under Apache 2.0.

Hvor Harden-Runner kjører

StepSecuritys egen støttematrise for GitHub Actions, per september 2026:

Det støttes ikke når en hel jobb kjører i en container på GitHub-hostede runnere, eller på ubuntu-slim. På Actions Runner Controller støttes bare Linux-jobber.

Resten av plattformen

• Styring av actions: en oversikt over tredjeparts-actions og gjenbrukbare workflows du bruker, godkjenningsflyter for nye og StepSecurity Maintained Actions som gjennomgåtte direkte erstatninger.
• Secure Registry: cooldown-perioder for nye pakkeversjoner, blokkering av kjente kompromitterte versjoner, typosquat-beskyttelse og blokkeringslister på tvers av organisasjonen, med én policy for bærbare maskiner og CI.
• Code Repo Security: sjekker av pull requests og Orchestrate Security, som åpner pull requests som fester actions til commit-SHA-er, setter minste nødvendige GITHUB_TOKEN-tillatelser og ruller ut Dependabot-konfigurasjoner.
• Dev Machine Guard: en oversikt over AI-kodeagenter, MCP-servere, IDE-utvidelser og pakker på utviklermaskiner.

Der CRACI skiller seg ut

Å være runneren, ikke en agent på den

På GitHub-hostede runnere installeres Harden-Runner av et steg du legger til som det første steget i hver jobb, og rekkevidden avhenger av hva GitHubs infrastruktur tillater. Ingenting av dette er en feil ved produktet; det følger av å kjøre på infrastruktur noen andre eier.

CRACIs policy er en del av runneren. Den valideres før jobben starter, avviser ukjente felt og blokkerer ved feil (fail closed), så en policy som ikke kan brukes, gir ikke en ubeskyttet kjøring. Kjøringer vises fortsatt i GitHub, og å flytte en jobb er en endring av runs-on-etiketten.

Pakker, ikke bare destinasjoner

Tillatelseslisten til Harden-Runner er en liste over endepunkter, og nettverksinnsikten viser hvilke verter hvert steg kontaktet. CRACIs kilder er typet etter økosystem, med 24 innebygde forhåndsinnstillinger for programvarekilder, egendefinerte kilder for npm, PyPI, apt, apk, Go-proxyen, Nix, Cargo, OCI-registre og Git over HTTPS og SSH, og eksplisitte TLS-, TCP-, UDP- og ICMP-regler. En pakkebevisst proxy registrerer hvilke pakker hver jobb hentet, inkludert pakker gjenopprettet fra CI-cacher, og produserer en CycloneDX- eller SPDX-SBOM med en fullstendighetsstatus per jobb og per cache.

Etter bygget

• Provenance-data kommer tilbake fra API-et sammen med SBOM-er og nettverksspor. CRACI signerer ikke provenance og hevder ikke noe SLSA-nivå.
• Overvåking vurderer SBOM-ene for det du har levert, på nytt når nye sårbarheter dukker opp, og sikkerhetsteam triagerer funn og sender dem til teamene som eier rettingen.
• Inventar viser nøyaktig hvilke programvareversjoner som er rullet ut til hvilke produkter, globalt, så en ny sårbarhet kobles direkte til produktene som kjører den berørte versjonen.

Pris

Per september 2026 er StepSecuritys Community-nivå gratis for ubegrenset antall offentlige repositorier på GitHub-hostede runnere. Enterprise-nivået koster $16 per måned per bidragende utvikler, det vil si enhver som har bidratt til et sikret repositorium i løpet av de siste 90 dagene, og inkluderer Dev Machine Guard og Secure Registry. Dev Machine Guard alene koster $8 per enhet per måned. Private repositorier og selvhostede runnere trenger Enterprise, begge betalte nivåer har en gratis prøveperiode på 14 dager, og StepSecurity tilbyr volumrabatter. Harden-Runner sikrer runnere du allerede betaler for, så runner-minutter er en egen kostnad.

CRACI tar bare betalt for byggeminutter: $0.002 per vCPU-minutt ($0.004 for en standard runner med 2 vCPU), målt per sekund, uten månedsavgift. Siden CRACI er runneren, dekker den prisen beregningskraften i tillegg til dokumentasjonen. Se priser for CRACI for gjeldende vilkår.

Hvilken som passer

StepSecurity passer bedre når

• Du vil beholde GitHub-hostede runnere, også Windows og macOS.
• Du kjører selvhostede runnere, GitLab CI eller Azure DevOps.
• Du vil overvåke trafikk i revisjonsmodus før du blokkerer noe.
• Du trenger innsyn på prosess- og filnivå til hendelseshåndtering.
• Prosjektet ditt med åpen kildekode kjører på GitHub-hostede runnere og trenger et gratis alternativ.

CRACI passer bedre når

• Du vil ha runneren og egress-policyen på ett sted, uten noen agent å rulle ut.
• Du trenger en SBOM på pakkenivå fra hvert bygg, med en fullstendighetsstatus.
• Du vil ha overvåking av det som er levert.
• Du trenger CRA-dokumentasjon, eller datalagring i EU på CRACIs Enterprise-plan.

Hva du gir opp ved å flytte jobber til CRACI

For å si det rett ut: CRACI har ingen revisjons- eller overvåkingsmodus ennå (den står på veikartet), overvåker ikke prosesser eller filskrivinger, kjører ikke på GitHub-hostede runnere eller andre CI-systemer ennå (GitLab CI og Jenkins står på veikartet), har blokkeringslister for pakker bare på veikartet, og varslene dekker bare policybrudd, uten integrasjon med Slack, Teams eller SIEM. Hvis dette er prioriteringene dine, dekker StepSecurity dem i dag.

StepSecuritys Secure Registry, Code Repo Security og Dev Machine Guard beskytter punkter CRACI ikke berører: registeret pakkene dine kommer fra, repositoriene dine og utviklernes bærbare maskiner. De er ikke avhengige av runneren, så de påvirkes ikke av hvor jobbene dine kjører.

For Cyber Resilience Act

Cyber Resilience Act ber produsenter kjenne komponentene i produktene sine, håndtere sårbarheter i dem og ta vare på dokumentasjon. StepSecurity fokuserer på å forhindre og oppdage angrep på leverandørkjeden, og runtime-innsikten hjelper når du undersøker en hendelse i CI. CRACI automatiserer en betydelig del av innsynet i programvareleverandørkjeden og dokumentasjonen som bedrifter trenger for sin bredere CRA-samsvarsprosess: SBOM-er fra bygget eksportert som CycloneDX eller SPDX, sårbarhetssporing og provenance gjennom API-et. Se CRA-dokumentasjon.

Les mer om CI/CD-integrasjon og SBOM-generering under bygget, eller book en demo for å se en jobb kjøre under en egress-policy på CRACI.

StepSecurity: ofte stilte spørsmål

Hva er StepSecurity?

StepSecurity er en plattform for sikkerhet i programvareleverandørkjeden. Det mest kjente produktet, Harden-Runner, er en agent som overvåker nettverks-egress, filintegritet og prosessaktivitet på CI/CD-runnere og kan blokkere egress utenfor en tillatelsesliste. Plattformen dekker også pakkeregistre (Secure Registry), kodelagre (Code Repo Security), utviklermaskiner (Dev Machine Guard) og trusseletterretning.

Hva koster StepSecurity?

Per september 2026 er Community-nivået gratis for ubegrenset antall offentlige repositorier. Enterprise koster $16 per bidragende utvikler per måned, der en bidragende utvikler er enhver som har bidratt til et sikret repositorium i løpet av de siste 90 dagene, og inkluderer Dev Machine Guard og Secure Registry. Dev Machine Guard alene koster $8 per enhet per måned. Begge betalte nivåer har en gratis prøveperiode på 14 dager, og runner-minutter er en egen kostnad.

Er Harden-Runner gratis?

Ja, for offentlige repositorier på GitHub-hostede runnere. Private repositorier og selvhostede runnere, også selvhostede runnere for offentlige repositorier, trenger Enterprise-nivået. Agenten på Community-nivået er åpen kildekode under Apache 2.0-lisensen.

Hvilke runnere støtter Harden-Runner?

GitHub-hostede Linux-runnere i revisjons- og blokkeringsmodus, GitHub-hostede Windows- og macOS-runnere i revisjonsmodus og, på Enterprise, selvhostede VM-er, bare metal og Actions Runner Controller. StepSecurity oppgir også GitLab CI, Azure DevOps og tredjeparts runnere som Blacksmith, Depot og Namespace. Det støttes ikke når en hel jobb kjører i en container på GitHub-hostede runnere, eller på ubuntu-slim.

Hva er forskjellen på StepSecurity og CRACI?

Harden-Runner er en agent du legger til på runnere du beholder. CRACI er runneren: Egress-policyen håndheves av runnerplattformen, valideres før jobben starter og blokkerer ved feil (fail closed), og hver jobb produserer også en SBOM på pakkenivå med en fullstendighetsstatus. StepSecurity ligger foran på revisjonsmodus, overvåking av prosesser og filer og dekning av runnere og CI.

Kan CRACI erstatte Harden-Runner?

For GitHub Actions-jobber på Linux, ja: Når du flytter en jobb til CRACI, får den egress-kontroll fra selve runneren, så ingen agent trengs på den jobben. Du gir opp revisjonsmodus (på CRACIs veikart), overvåking av prosesser og filer og dekning av GitHub-hostede runnere, Windows- og macOS-runnere og runnere utenfor GitHub.

Genererer StepSecurity en SBOM?

Harden-Runner registrerer destinasjonene, prosessene og filene en jobb var i kontakt med, ikke en SBOM på pakkenivå av bygget. CRACI registrerer hvilke pakker hver jobb hentet, inkludert pakker gjenopprettet fra CI-cacher, og eksporterer CycloneDX og SPDX.