Alternativas
Alternativas à Chainguard
As equipas escolhem a Chainguard para proteger a sua cadeia de abastecimento de software com inputs reforçados e recompilados. As alternativas ou também reforçam os inputs, ou protegem o build que os usa. Eis o que cada opção cobre e quanto custa.
Atualizado a
Somos nós que desenvolvemos o CRACI, por isso tenha isso em conta; descrevemos cada opção a partir da sua própria documentação e dizemos quando outra ferramenta se adequa melhor.
Porque é que as equipas procuram alternativas à Chainguard
A Chainguard compila software open source a partir do código-fonte e disponibiliza-o reforçado: imagens de contentores a que chama zero-CVE, bibliotecas Java, Python e JavaScript recompiladas a partir de código-fonte verificado, imagens de VM e GitHub Actions reforçadas, cada uma com uma SBOM assinada e proveniência SLSA. Para clientes com encomenda, compromete-se a corrigir CVE críticas no prazo de 7 dias e as restantes severidades no prazo de 14 dias após um patch elegível. É uma forma sólida de partir de inputs limpos.
As equipas procuram outras opções quando a sua situação muda:
- Preço. Além de cinco imagens gratuitas, o catálogo da Chainguard começa nos $19K para uma equipa de 10. Hoje também existem catálogos reforçados gratuitos.
- Âmbito. As SBOM e a proveniência da Chainguard descrevem os artefactos da Chainguard. O seu próprio build, e tudo o resto que ele inclui, continua a precisar de um registo próprio.
- Controlo sobre o build. Inputs limpos não limitam o que um build consegue alcançar enquanto corre, nem mostram o que um script descarregou.
- Migração. Passar para qualquer catálogo reforçado implica mudar as imagens base e, por vezes, a forma como são construídas.
O que procurar
- Se quer proteger os inputs, o build ou ambos.
- As distribuições e arquiteturas de que precisa, e até que ponto as imagens são substitutas diretas.
- Um compromisso de correção de CVE, e se exige um nível pago.
- Variantes de conformidade como FIPS e STIG, se vende ao setor público.
- SBOM e proveniência, e se descrevem os artefactos do fornecedor ou o seu build.
- Controlo sobre o que um build consegue alcançar enquanto corre.
As opções
As opções 2 a 9 oferecem imagens reforçadas, mínimas ou recompiladas. O CRACI protege o build que as usa, e o Socket protege os pacotes que esse build instala.
1. CRACI (o nosso produto)
O CRACI protege a cadeia de abastecimento de software no build, e não nos seus inputs. É um runner para GitHub Actions: durante a execução de cada job, um proxy que reconhece pacotes regista o que o job obteve, incluindo imagens base, pacotes e pacotes restaurados de caches de CI, e produz uma SBOM em CycloneDX ou SPDX com um estado de completude por job e por cache. Uma política de egress é validada antes de o job começar e falha em modo fechado, pelo que um build só alcança as fontes autorizadas por si. O CRACI continua a reavaliar as SBOM do que foi lançado, e a sua vista de inventário mostra exatamente que versões de software estão implementadas em que produtos, a nível global.
Ideal para: equipas que precisam de um registo e de controlo de cada build, sejam quais forem as imagens base que usam.
Considere se: quer segurança da cadeia de abastecimento para o software que compila. O CRACI não produz imagens nem bibliotecas reforçadas e hoje suporta GitHub Actions em Linux, com GitLab CI, Jenkins, Windows e macOS no roadmap.
2. Docker Hardened Images
A Docker descreve as suas imagens reforçadas como near-zero CVE, mínimas e continuamente recompiladas a partir do código-fonte, em Alpine ou Debian. Cada imagem vem com SBOM assinadas, proveniência SLSA Level 3 e dados de explorabilidade OpenVEX. Em setembro de 2026, o catálogo DHI Community é gratuito e open source sob Apache 2.0; o DHI Select, a partir de $5,000 por repositório, acrescenta um SLA para corrigir CVE críticas em 7 dias e variantes FIPS e STIG, e o DHI Enterprise acrescenta personalização ilimitada.
Ideal para: um catálogo reforçado gratuito sobre bases Alpine e Debian conhecidas.
Considere se: quer um SLA apenas para as imagens que precisam dele.
3. Echo
A Echo oferece contentores, bibliotecas, VM e pacotes de sistema operativo sem vulnerabilidades, com variantes validadas FIPS e reforçadas STIG, e afirma eliminar 99% ou mais das vulnerabilidades na origem. Os preços são mediante demo. A Minimus, outro fornecedor de imagens reforçadas, está a encerrar a atividade e passou a sua tecnologia para a Echo; o registo da Minimus fecha a 22 de outubro de 2026.
Ideal para: equipas que querem imagens, bibliotecas e VM reforçadas de um só fornecedor.
Considere se: é cliente da Minimus e procura o seu sucessor.
4. Aikido
As imagens reforçadas do Aikido são substitutas diretas das imagens base existentes que fazem backport de correções de segurança em vez de obrigarem a atualizações de distribuição, incluindo após o fim de vida upstream. Lista mais de 2.000 imagens em Debian, Ubuntu e Alpine, em amd64 e arm64, com SBOM, VEX e proveniência SLSA incluídas em cada pull. Pode começar gratuitamente.
Ideal para: corrigir CVE nas imagens que já usa, sem mudar de distribuição.
Considere se: também quer a plataforma AppSec mais alargada do Aikido.
5. RapidFort
O RapidFort oferece mais de 35.000 imagens near-zero CVE selecionadas, construídas sobre Ubuntu, RHEL, Debian e Alpine, como substitutas diretas das imagens base standard, e afirma que removem até 99,9% das CVE. O catálogo completo acrescenta variantes reforçadas CIS e DISA STIG, imagens FIPS 140-2 e 140-3 e exportação de SBOM em SPDX e CycloneDX. O seu nível de plataforma analisa os contentores em runtime para ver que componentes são realmente executados e remove pacotes não usados, para até 90% menos superfície de ataque. Cinco imagens selecionadas são gratuitas; o catálogo completo tem preço sob orçamento.
Ideal para: equipas que querem imagens reforçadas nas distribuições que já usam.
Considere se: a análise em runtime e a redução da superfície de ataque importam tanto como as imagens.
6. Bitnami Secure Images
A Bitnami, agora parte da Broadcom, vende imagens reforçadas de aplicações open source sobre uma base mínima Photon OS: mais de 350 imagens de contentores e 140 Helm charts. Cada imagem vem com uma SBOM, documentos VEX, resultados de análise de CVE e assinaturas de atestação SLSA 3, e o catálogo suporta FIPS, STIG e FedRAMP. Os programadores podem usar parte das imagens gratuitamente fora de produção, apenas na tag latest; o catálogo completo é vendido através da equipa comercial ou do marketplace da Arrow.
Ideal para: equipas que já implementam aplicações e Helm charts da Bitnami.
Considere se: precisa de imagens para produção, que exigem uma subscrição paga.
7. Google distroless
As imagens distroless "contêm apenas a sua aplicação e as respetivas dependências de runtime", sem gestor de pacotes nem shell. Baseiam-se em Debian 13, são gratuitas sob Apache 2.0 e assinadas com cosign. Não há compromisso de correção de CVE; as correções chegam à medida que o Debian as publica.
Ideal para: uma superfície de ataque menor, sem custos.
Considere se: consegue viver sem shell nas imagens de produção.
8. Iron Bank
O Iron Bank é a fonte de contentores reforçados do Departamento de Defesa dos EUA, parte do Platform One. Fornecedores, comunidades open source e equipas governamentais submetem imagens, que são recompiladas sem acesso à internet, analisadas face aos critérios de aceitação do Iron Bank e monitorizadas a cada 12 horas. Não tem custos para contribuidores nem utilizadores, mas os pulls a partir do Registry1 exigem uma conta Platform One, e os fornecedores e contribuidores são responsáveis por corrigir as conclusões nas suas imagens.
Ideal para: software destinado a sistemas do DoD que precisam de imagens base acreditadas.
Considere se: aceita que a manutenção de cada imagem dependa do seu contribuidor.
9. Cloud Native Buildpacks e Paketo
Os Cloud Native Buildpacks, um projeto graduado da CNCF, transformam o código-fonte de uma aplicação em imagens OCI sem Dockerfile. O rebase atualiza a imagem base sem recompilar a aplicação, os builds produzem SBOM em CycloneDX, SPDX e Syft JSON, e repetir um build reproduz o mesmo digest de imagem. Os Paketo Buildpacks, um projeto comunitário da Cloud Foundry Foundation, disponibilizam buildpacks prontos para Java, Go, .NET Core, Node.js, PHP, Python e Ruby.
Ideal para: equipas que preferem não manter Dockerfiles e querem corrigir as camadas do sistema operativo por rebase.
Considere se: pode prescindir do compromisso de correção de CVE de um fornecedor; isto é uma forma de construir imagens, não um catálogo.
10. Socket
O Socket protege outro input: os pacotes open source. Analisa o comportamento dos pacotes, assinala adições arriscadas nos pull requests, e o Socket Firewall bloqueia pacotes maliciosos no momento da instalação, com uma versão gratuita para npm, yarn, pnpm, pip, uv e cargo.
Ideal para: travar pacotes maliciosos antes de chegarem, incluindo os que ainda não têm aviso.
Lado a lado
| Funcionalidade | CRACI | Chainguard | Docker Hardened Images | Echo | Aikido | Distroless | Socket |
|---|---|---|---|---|---|---|---|
| O que protege | O build: o que obteve e o que consegue alcançar | Imagens, bibliotecas, VM e Actions | Imagens de contentores | Imagens, bibliotecas e VM | Imagens de contentores | Imagens base mínimas | Pacotes open source |
| Imagens reforçadas ou mínimas | Mínimas | ||||||
| Registo do que o seu build obteve | Por job, com estado de completude | SBOM dos artefactos da Chainguard | SBOM das imagens da Docker | Não indicado | SBOM das imagens do Aikido | Lê manifestos e lockfiles | |
| Proveniência assinada | Sem proveniência assinada | Dos artefactos da Chainguard | SLSA Level 3, imagens da Docker | Não indicado | Proveniência SLSA, imagens do Aikido | Imagens assinadas com cosign | Não indicado |
| Política de egress do build | Bloqueio ou permissão por predefinição, falha em modo fechado | Não indicado | Não indicado | Não indicado | A firewall filtra as instalações | ||
| Compromisso de correção de CVE | Monitoriza as suas SBOM; as correções cabem-lhe a si | Críticas 7 dias, restantes 14 | Críticas 7 dias, níveis pagos | Não indicado | Não indicado | Não indicado | Não indicado |
| Gratuito para começar | Paga por minuto de build, sem mensalidade | Até cinco imagens | Community, Apache 2.0 | Não indicado | Apache 2.0 | Plano gratuito |
- Incluído
- Em parte
- Não incluído
"Não indicado" significa que não conseguimos confirmá-lo nas páginas públicas do fornecedor. O RapidFort, as Bitnami Secure Images, o Iron Bank e os Buildpacks estão descritos acima.
Quanto custam a Chainguard e as alternativas
| Funcionalidade | Opção gratuita | Pago |
|---|---|---|
| Chainguard | Cinco imagens | Catálogo a partir de $19K para uma equipa de 10; preço por imagem sob orçamento |
| Docker Hardened Images | Catálogo DHI Community, Apache 2.0 | DHI Select a partir de $5,000 por repositório |
| RapidFort | Cinco imagens selecionadas | Catálogo completo sob orçamento |
| Bitnami Secure Images | Algumas imagens, tag latest, uso fora de produção | Sob orçamento |
| Echo | Não indicado | Mediante demo |
| Aikido | Gratuito para começar | Não indicado para imagens |
| Google distroless | Gratuito, Apache 2.0 | Nenhum |
| Iron Bank | Gratuito, financiado pelo DoD; requer conta | Nenhum |
| Cloud Native Buildpacks | Open source | Nenhum |
| CRACI | Sem nível gratuito | Paga por minuto de build, sem mensalidade |
A maioria dos catálogos reforçados pagos tem preço sob orçamento, por isso compare quanto custam, em cada um, um compromisso de correção de CVE, as variantes FIPS ou STIG e a personalização. Os catálogos gratuitos normalmente não incluem um compromisso de correção.
Chainguard vs Docker Hardened Images
Estas são as duas opções que as equipas comparam mais diretamente. Ambas disponibilizam imagens mínimas com SBOM assinadas e proveniência SLSA. As diferenças estão na forma como são construídas e no que o nível gratuito inclui:
- Base. As Docker Hardened Images baseiam-se em Alpine ou Debian, que a maioria das equipas já conhece. A Chainguard compila as suas imagens a partir do código-fonte.
- Nível gratuito. O catálogo DHI Community é gratuito sob Apache 2.0. A Chainguard oferece cinco imagens gratuitas.
- Compromisso de correção de CVE. A Docker compromete-se a corrigir CVE críticas em 7 dias no DHI Select, a partir de $5,000 por repositório. A Chainguard compromete-se com 7 dias para as críticas e 14 para as restantes severidades, para clientes com encomenda.
- Além das imagens. A Chainguard recompila também bibliotecas de linguagens e oferece imagens de VM e GitHub Actions reforçadas.
Quando ficar com a Chainguard
- Precisa de imagens e bibliotecas reforçadas em várias linguagens, com um compromisso de CVE, de um só fornecedor.
- Depende das Chainguard Libraries através do Artifactory, do Nexus ou do Cloudsmith.
- Pode combinar: inputs reforçados e um build registado e controlado cobrem partes diferentes da cadeia.
Saiba mais sobre geração de SBOM durante o build e as ferramentas de segurança da cadeia de abastecimento de software comparadas.
Alternativas à Chainguard: perguntas frequentes
Respostas curtas às perguntas que as equipas fazem quando comparam
Quem concorre com a Chainguard?
Em imagens de contentores reforçadas: Docker Hardened Images, RapidFort, Bitnami Secure Images da Broadcom, Echo, Aikido e opções gratuitas como o Google distroless e o Iron Bank do DoD. Os Cloud Native Buildpacks são uma forma open source de construir imagens sem Dockerfiles. O Socket protege antes os pacotes open source, e o CRACI protege e regista o build que usa todos estes inputs.
Qual é a diferença entre a Docker e a Chainguard?
As Docker Hardened Images baseiam-se em Alpine ou Debian, e o catálogo Community é gratuito sob Apache 2.0; o compromisso de corrigir CVE críticas em 7 dias vem com o nível pago DHI Select, a partir de $5,000 por repositório. A Chainguard compila as suas imagens a partir do código-fonte, compromete-se a corrigir CVE críticas em 7 dias e as restantes em 14 para clientes com encomenda, e oferece também bibliotecas, VM e GitHub Actions.
Quanto custa a Chainguard?
A Chainguard oferece cinco imagens gratuitas. Em setembro de 2026, os preços do catálogo começam nos $19K para uma equipa de 10, com acesso ao catálogo completo e um SLA de CVE, e o preço por imagem é sob orçamento.
Existe uma alternativa gratuita à Chainguard?
Sim. O catálogo Docker Hardened Images Community e o Google distroless são gratuitos sob Apache 2.0, o Iron Bank é gratuito com uma conta Platform One, e o RapidFort e o Aikido permitem começar gratuitamente. As opções gratuitas normalmente não incluem um compromisso de correção de CVE.
O CRACI substitui a Chainguard?
Não. O CRACI não produz imagens nem bibliotecas reforçadas. Em vez disso, protege o build: regista o que cada job de GitHub Actions obteve, incluindo imagens base, e aplica uma política de egress que falha em modo fechado. Inputs reforçados e um build registado e controlado cobrem partes diferentes da cadeia de abastecimento.
Registe um build e compare
Execute um job de GitHub Actions no CRACI e veja o que obteve e o que conseguia alcançar.
Marcar demo