StepSecurity vs CRACI

Krótka odpowiedź

StepSecurity to platforma bezpieczeństwa łańcucha dostaw oprogramowania obejmująca cztery punkty kontroli: maszyny programistów, rejestry pakietów, repozytoria kodu i CI/CD. Jej produkt CI/CD, Harden-Runner, to agent, który obserwuje każde połączenie wychodzące, proces i zapis pliku w zadaniu, wiąże każde z nich z krokiem workflow, który je wywołał, i może blokować ruch wychodzący do wszystkiego spoza listy dozwolonych. Enterprise kosztuje $16 za aktywnego programistę miesięcznie, a repozytoria publiczne na runnerach hostowanych przez GitHub są bezpłatne.

CRACI zastępuje sam runner: jego polityka ruchu wychodzącego jest egzekwowana przez platformę runnera i walidowana przed startem zadania, a to samo zadanie tworzy SBOM na poziomie pakietów. To największe pokrywanie się CRACI z jakimkolwiek dostawcą bezpieczeństwa, ponieważ oba rozwiązania ograniczają, do czego build ma dostęp. Różnica polega na tym, gdzie znajduje się kontrola. Harden-Runner zabezpiecza runnery, które Państwo zachowują, także hostowane przez GitHub. Polityka CRACI wynika z bycia runnerem, a sam CRACI rejestruje pakiety, nie tylko miejsca docelowe.

W skrócie

„Nie podano” oznacza, że nie mogliśmy tego potwierdzić na publicznych stronach StepSecurity.

Co StepSecurity robi dobrze

Harden-Runner

• Widoczność na poziomie kroków. Każde połączenie wychodzące, operacja na pliku i uruchomienie procesu są mapowane na dokładny krok, zadanie i workflow, w których wystąpiły. Plan Enterprise dodaje argumenty procesów, ścieżki zapisu plików oraz alerty e-mailem, przez Slack, Microsoft Teams lub SIEM.
• Najpierw audyt, potem blokowanie. W trybie egress-policy: audit Harden-Runner tworzy wartość bazową normalnych połączeń wychodzących każdego zadania i oznacza wszystko, co nowe. Następnie można przejść do trybu blokowania z listą dozwolonych punktów końcowych. Globalna lista blokowanych, znanych złośliwych domen, utrzymywana przez StepSecurity, obowiązuje nawet w trybie audytu.
• Wykrywanie manipulacji. Wysyła alert o nieoczekiwanych zmianach kodu źródłowego podczas buildu.
• Szeroki zakres. Pełna obsługa na runnerach Linux hostowanych przez GitHub, tryb audytu na Windows i macOS hostowanych przez GitHub oraz, w planie Enterprise, maszyny wirtualne self-hosted, bare metal i Actions Runner Controller. StepSecurity wymienia też GitLab CI, Azure DevOps i runnery zewnętrzne, takie jak Blacksmith, Depot i Namespace. Na runnerach self-hosted agent jest wbudowany w obraz runnera, więc workflow nie wymagają zmian.
• Dotychczasowe wyniki. StepSecurity podaje, że Harden-Runner wykrył przejęcie tj-actions/changed-files (CVE-2025-30066) i przejęty pakiet npm axios oraz że zabezpiecza ponad 25 milionów uruchomień workflow tygodniowo. Agent planu Community jest open source na licencji Apache 2.0.

Gdzie działa Harden-Runner

Własna macierz obsługi StepSecurity dla GitHub Actions, stan na wrzesień 2026:

Nie jest obsługiwany, gdy całe zadanie działa w kontenerze na runnerach hostowanych przez GitHub, ani na ubuntu-slim. W Actions Runner Controller obsługiwane są tylko zadania Linux.

Reszta platformy

• Zarządzanie akcjami: inwentarz używanych akcji zewnętrznych i reusable workflows, procesy zatwierdzania nowych oraz StepSecurity Maintained Actions jako sprawdzone, gotowe zamienniki.
• Secure Registry: okresy karencji dla nowych wersji pakietów, blokowanie znanych przejętych wersji, ochrona przed typosquattingiem i listy blokowanych dla całej organizacji, z jedną polityką dla laptopów i CI.
• Code Repo Security: kontrole pull requestów oraz Orchestrate Security, które otwiera pull requesty przypinające akcje do SHA commitów, ustawiające uprawnienia GITHUB_TOKEN zgodnie z zasadą najmniejszych uprawnień i wdrażające konfiguracje Dependabot.
• Dev Machine Guard: inwentarz agentów AI do kodowania, serwerów MCP, rozszerzeń IDE i pakietów na maszynach programistów.

Czym różni się CRACI

Bycie runnerem, a nie agentem na nim

Na runnerach hostowanych przez GitHub Harden-Runner jest instalowany przez krok dodany jako pierwszy w każdym zadaniu, a jego zasięg zależy od tego, na co pozwala infrastruktura GitHub. To nie jest wada produktu; wynika to z działania na infrastrukturze należącej do kogoś innego.

Polityka CRACI jest częścią runnera. Jest walidowana przed startem zadania, odrzuca nieznane pola i blokuje w razie awarii, więc polityka, której nie można zastosować, nie prowadzi do niezabezpieczonego uruchomienia. Uruchomienia nadal są widoczne w GitHub, a przeniesienie zadania to zmiana jego etykiety runs-on.

Pakiety, a nie tylko miejsca docelowe

Lista dozwolonych Harden-Runner to lista punktów końcowych, a jego wgląd w sieć pokazuje, z którymi hostami łączył się każdy krok. Źródła CRACI są typowane według ekosystemu, z 24 wbudowanymi presetami źródeł oprogramowania, źródłami niestandardowymi dla npm, PyPI, apt, apk, proxy Go, Nix, Cargo, rejestrów OCI i Git przez HTTPS i SSH oraz jawnymi regułami TLS, TCP, UDP i ICMP. Proxy rozpoznające pakiety rejestruje, które pakiety pobrało każde zadanie, łącznie z pakietami przywróconymi z cache CI, i tworzy SBOM w formacie CycloneDX lub SPDX ze stanem kompletności dla każdego zadania i każdego cache.

Po buildzie

• Dane o pochodzeniu wracają z API wraz z SBOM-ami i śladami sieciowymi. CRACI nie podpisuje danych o pochodzeniu i nie deklaruje żadnego poziomu SLSA.
• Monitorowanie ponownie ocenia SBOM-y tego, co Państwo dostarczyli, gdy pojawiają się nowe podatności, a zespoły bezpieczeństwa wykonują triage znalezisk i przekazują je zespołom odpowiedzialnym za poprawkę.
• Inwentarz pokazuje dokładnie, które wersje oprogramowania są wdrożone w których produktach, na całym świecie, więc nową podatność można od razu powiązać z produktami używającymi podatnej wersji.

Cena

Według stanu na wrzesień 2026 plan Community StepSecurity jest bezpłatny dla nieograniczonej liczby repozytoriów publicznych na runnerach hostowanych przez GitHub. Plan Enterprise kosztuje $16 miesięcznie za aktywnego programistę, czyli każdą osobę, która w ciągu ostatnich 90 dni wniosła wkład do zabezpieczonego repozytorium, i obejmuje Dev Machine Guard oraz Secure Registry. Sam Dev Machine Guard kosztuje $8 za urządzenie miesięcznie. Repozytoria prywatne i runnery self-hosted wymagają planu Enterprise, oba płatne plany mają 14-dniowy bezpłatny okres próbny, a StepSecurity oferuje rabaty wolumenowe. Harden-Runner zabezpiecza runnery, za które Państwo już płacą, więc minuty runnerów są osobnym kosztem.

CRACI pobiera opłaty tylko za minuty buildu: $0.002 za minutę vCPU ($0.004 za domyślny runner 2 vCPU), naliczane co sekundę, bez opłaty miesięcznej. Ponieważ CRACI jest runnerem, ta cena obejmuje zarówno moc obliczeniową, jak i dowody. Aktualne warunki znajdą Państwo w cenniku CRACI.

Co będzie lepszym wyborem

StepSecurity sprawdzi się lepiej, gdy

• chcą Państwo zachować runnery hostowane przez GitHub, także Windows i macOS,
• używają Państwo runnerów self-hosted, GitLab CI lub Azure DevOps,
• chcą Państwo obserwować ruch w trybie audytu, zanim cokolwiek zablokują,
• potrzebują Państwo widoczności procesów i plików do reagowania na incydenty,
• Państwa projekt open source działa na runnerach hostowanych przez GitHub i potrzebuje bezpłatnej opcji.

CRACI sprawdzi się lepiej, gdy

• chcą Państwo mieć runner i politykę ruchu wychodzącego w jednym miejscu, bez wdrażania agenta,
• potrzebują Państwo SBOM każdego buildu na poziomie pakietów, ze stanem kompletności,
• chcą Państwo monitorować to, co dostarczono,
• potrzebują Państwo dowodów dla CRA lub przechowywania danych w UE w planie Enterprise CRACI.

Z czego rezygnują Państwo, przenosząc zadania do CRACI

Mówiąc wprost: CRACI nie ma jeszcze trybu audytu ani monitorowania (jest w planach rozwoju), nie monitoruje procesów ani zapisów plików, nie działa jeszcze na runnerach hostowanych przez GitHub ani w innych systemach CI (GitLab CI i Jenkins są w planach rozwoju), listy blokowanych pakietów ma tylko w planach rozwoju, a jego alerty obejmują wyłącznie naruszenia polityki, bez integracji ze Slack, Teams ani SIEM. Jeśli to są Państwa priorytety, StepSecurity obejmuje je już dziś.

Secure Registry, Code Repo Security i Dev Machine Guard firmy StepSecurity chronią punkty, których CRACI nie dotyka: rejestr, z którego pochodzą pakiety, repozytoria i laptopy programistów. Nie zależą od runnera, więc miejsce działania zadań nie ma na nie wpływu.

Na potrzeby Cyber Resilience Act

Cyber Resilience Act wymaga od producentów znajomości komponentów w produktach, obsługi ich podatności i przechowywania dowodów. StepSecurity koncentruje się na zapobieganiu atakom na łańcuch dostaw i ich wykrywaniu, a jego wgląd w czasie działania pomaga przy badaniu incydentu w CI. CRACI automatyzuje znaczną część widoczności łańcucha dostaw oprogramowania i dowodów potrzebnych firmom w szerszym procesie zgodności z CRA: SBOM-y z czasu buildu eksportowane jako CycloneDX lub SPDX, śledzenie podatności i dane o pochodzeniu przez API. Zob. dowody dla CRA.

Więcej o integracji CI/CD i generowaniu SBOM w czasie buildu. Mogą też Państwo umówić demo, aby zobaczyć zadanie działające pod polityką ruchu wychodzącego w CRACI.

StepSecurity: pytania i odpowiedzi

Czym jest StepSecurity?

StepSecurity to platforma bezpieczeństwa łańcucha dostaw oprogramowania. Jej najbardziej znany produkt, Harden-Runner, to agent, który monitoruje ruch wychodzący, integralność plików i aktywność procesów na runnerach CI/CD oraz może blokować ruch wychodzący spoza listy dozwolonych. Platforma obejmuje też rejestry pakietów (Secure Registry), repozytoria kodu (Code Repo Security), maszyny programistów (Dev Machine Guard) i analizę zagrożeń.

Ile kosztuje StepSecurity?

Według stanu na wrzesień 2026 plan Community jest bezpłatny dla nieograniczonej liczby repozytoriów publicznych. Enterprise kosztuje $16 za aktywnego programistę miesięcznie, przy czym aktywny programista to każda osoba, która w ciągu ostatnich 90 dni wniosła wkład do zabezpieczonego repozytorium, i obejmuje Dev Machine Guard oraz Secure Registry. Sam Dev Machine Guard kosztuje $8 za urządzenie miesięcznie. Oba płatne plany mają 14-dniowy bezpłatny okres próbny, a minuty runnerów są osobnym kosztem.

Czy Harden-Runner jest bezpłatny?

Tak, dla repozytoriów publicznych na runnerach hostowanych przez GitHub. Repozytoria prywatne i runnery self-hosted, także runnery self-hosted dla repozytoriów publicznych, wymagają planu Enterprise. Agent planu Community jest open source na licencji Apache 2.0.

Jakie runnery obsługuje Harden-Runner?

Runnery Linux hostowane przez GitHub w trybie audytu i blokowania, runnery Windows i macOS hostowane przez GitHub w trybie audytu, a w planie Enterprise maszyny wirtualne self-hosted, bare metal i Actions Runner Controller. StepSecurity wymienia też GitLab CI, Azure DevOps i runnery zewnętrzne, takie jak Blacksmith, Depot i Namespace. Nie jest obsługiwany, gdy całe zadanie działa w kontenerze na runnerach hostowanych przez GitHub, ani na ubuntu-slim.

Czym StepSecurity różni się od CRACI?

Harden-Runner to agent dodawany do runnerów, które Państwo zachowują. CRACI jest runnerem: jego polityka ruchu wychodzącego jest egzekwowana przez platformę runnera, walidowana przed startem zadania i blokuje w razie awarii, a każde zadanie tworzy też SBOM na poziomie pakietów ze stanem kompletności. StepSecurity ma przewagę w trybie audytu, monitorowaniu procesów i plików oraz zakresie obsługi runnerów i CI.

Czy CRACI może zastąpić Harden-Runner?

W przypadku zadań GitHub Actions na Linuksie tak: przeniesienie zadania do CRACI daje mu kontrolę ruchu wychodzącego z samego runnera, więc to zadanie nie potrzebuje agenta. Rezygnują Państwo z trybu audytu (w planach rozwoju CRACI), monitorowania procesów i plików oraz obsługi runnerów hostowanych przez GitHub, Windows, macOS i runnerów spoza GitHub.

Czy StepSecurity generuje SBOM?

Harden-Runner rejestruje miejsca docelowe, procesy i pliki, z którymi miało kontakt zadanie, a nie SBOM buildu na poziomie pakietów. CRACI rejestruje, które pakiety pobrało każde zadanie, łącznie z pakietami przywróconymi z cache CI, i eksportuje CycloneDX oraz SPDX.