Alternativas ao Legit Security

Somos nós que desenvolvemos o CRACI, por isso tenha isso em conta; descrevemos cada opção a partir da sua própria documentação e dizemos quando outra ferramenta se adequa melhor.

Porque é que as equipas procuram alternativas ao Legit Security

O Legit Security apresenta-se como uma plataforma ASPM AI-native. Liga-se ao seu controlo de versões, à sua CI, aos seus registos e aos seus scanners, mantém um inventário dos sistemas do SDLC, dos pipelines e dos respetivos controlos de segurança, e aplica centenas de políticas sobre eles. Acrescenta SAST e SCA nativos com alcançabilidade, deteção de segredos em código, histórico Git, logs de build e ferramentas como Slack e Confluence, o VibeGuard para código gerado por IA no IDE, e SBOM com atestações assinadas. Não publica preços.

Ainda assim, as equipas comparam alternativas, normalmente por uma destas razões:

• Um ASPM diferente. Outras plataformas dão pesos diferentes ao contexto de arquitetura, à postura dos pipelines ou a um grafo da cadeia de abastecimento.
• Menos plataforma, mais análise. Uma equipa mais pequena pode querer scanners fortes e preços publicados em vez de uma camada de governação.
• Já está tudo no GitHub. Quando o código e a CI estão no mesmo sítio, as funcionalidades de segurança do próprio GitHub podem cobrir o suficiente.
• Evidências do build, não da configuração. Uma plataforma de postura lê configurações e resultados de scanners através de API. Pode assinalar um pipeline de risco, mas não vê o que um job realmente descarregou e não consegue travar uma ligação durante a execução do job.

O que procurar

• Amplitude ou profundidade: uma camada sobre muitas ferramentas, ou uma visão mais profunda de um ponto como o build.
• Se precisa de SAST, SCA e análise de segredos nativos, ou se vai ligar scanners que já tem.
• Postura de CI/CD: que configurações de pipelines e riscos de workflows a ferramenta verifica, e em que sistemas de CI.
• De onde vêm a SBOM e a proveniência: análise de código, ferramentas ligadas ou o próprio build.
• Controlo durante o build: se alguma coisa limita o que um job pode alcançar.
• Se o fornecedor publica preços, e o que contabiliza.

As opções

1. CRACI (o nosso produto)

O CRACI é um runner de GitHub Actions. Muda runs-on para craci e, durante a execução de cada job, um proxy que reconhece pacotes regista o que o job obtém de origens de pacotes, incluindo pacotes restaurados de caches de CI e dependências ocultas que nenhum lockfile lista, como código descarregado por hooks de instalação do npm. Cada SBOM indica a sua completude por job e por cache. Uma política de egress, validada antes de o job começar, falha em modo fechado, pelo que um build só alcança as origens que a sua equipa permitir. O CRACI continua a reavaliar as SBOM do que foi distribuído, agrega conclusões entre builds e repositórios, e permite que as equipas de segurança façam a sua triagem e encaminhem cada uma para a equipa responsável pela correção.

Ideal para: equipas em GitHub Actions cuja pergunta sobre a cadeia de abastecimento é o que entrou em cada versão, e que querem o runner, a SBOM e o acompanhamento de vulnerabilidades num só lugar. Considere se: consegue dispensar o que faz do Legit uma plataforma de postura. O CRACI não tem SAST, análise de segredos, análise de alcançabilidade nem verificações de postura de CI/CD, não tem inventário do SDLC nem agregação de scanners. Hoje suporta apenas GitHub Actions, com GitLab CI e Jenkins no roadmap. CRACI vs Legit Security

2. Apiiro

O Apiiro é uma plataforma ASPM que agora se posiciona em torno da proteção do desenvolvimento agêntico. A Deep Code Analysis mapeia a sua arquitetura do código ao runtime, e o Risk Graph correlaciona conclusões dos scanners do próprio Apiiro e de ferramentas de terceiros em "toxic combinations". O seu módulo de cadeia de abastecimento faz o inventário de repositórios e pipelines, incluindo shadow pipelines, e assinala proteções de branches fracas e commits anómalos. Liga-se através de API e não exige alterações na CI.

Ideal para: grandes programas de AppSec que querem o risco ordenado pelo que o código faz e por onde corre. Considere se: o contexto de arquitetura lhe importa mais do que a amplitude da cobertura de CI; o Apiiro lista Jenkins e GitHub Actions para a postura dos pipelines. CRACI vs Apiiro

3. OX Security

O OX Security é uma plataforma ASPM com a sua própria análise SAST, SCA, de segredos, de IaC e de contentores, agregação de conclusões de ferramentas como Checkmarx, Snyk e Black Duck, e políticas de postura de CI/CD que assinalam actions não fixadas, permissões excessivas de workflows e webhooks de risco. A sua Pipeline Bill of Materials (PBOM) é um registo assinado, por build, das definições do pipeline, da identidade do runner, dos argumentos de build e das assinaturas de artefactos.

Ideal para: políticas de postura e controlo de pull requests em vários sistemas de CI. Considere se: usa GitHub Actions, GitLab, Jenkins, Azure Pipelines ou CircleCI. O OX cobra por programador contribuidor e não publica preços de tabela (em setembro de 2026). CRACI vs OX Security

4. Cycode

O Cycode apresenta-se como uma plataforma de segurança para desenvolvimento agêntico e nasceu do ASPM. Vende SAST, SCA com alcançabilidade, análise de contentores e de IaC, segurança de CI/CD, deteção de segredos e de fugas de código, e gestão de postura com mais de 100 conectores. A sua peça de runtime de build, o Cimon, é um agente eBPF dentro dos seus jobs de CI que monitoriza processos, egress de rede e acessos a ficheiros, e produz uma SBOM observada em tempo de execução.

Ideal para: equipas que querem uma plataforma ASPM com proteção do build em tempo de execução. Considere se: quer o Cimon nos runners que mantém; o Cycode diz que o Cimon é gratuito e open source. O Cycode não lista preços; a sua página de preços diz que estes se baseiam nos programadores ativos e na utilização de IA (em setembro de 2026). CRACI vs Cycode

5. Kusari

O Kusari vem da equipa que cocriou o GUAC, o grafo da OpenSSF para metadados da cadeia de abastecimento. Constrói um grafo de conhecimento a partir das suas SBOM, documentos VEX e resultados de scanners, mostra o raio de impacto de uma nova vulnerabilidade, analisa a alcançabilidade e abre pull requests AutoFix. O Kusari Inspector revê pull requests no GitHub e no GitLab em busca de vulnerabilidades transitivas, segredos, pacotes com typosquatting e workflows de GitHub Actions inseguros.

Ideal para: um único grafo sobre muitas origens de SBOM e scanners. Considere se: as suas preocupações de postura são sobretudo dependências e workflows. O Inspector é gratuito para programadores individuais e projetos open source, e o Inspector para equipas começa nos $25 por programador por mês (em setembro de 2026). CRACI vs Kusari

6. Checkmarx One

O Checkmarx One é uma plataforma alargada de AppSec: SAST, SCA, segredos, IaC, segurança de API, DAST, contentores e proteção contra pacotes maliciosos, com uma camada de gestão de postura por cima. A sua SCA usa análise de caminhos exploráveis, e as políticas podem fazer falhar builds.

Ideal para: organizações que querem um único fornecedor para os testes de segurança de aplicações. Considere se: a profundidade da análise lhe importa mais do que um mapa do SDLC. O preço é sob orçamento. CRACI vs Checkmarx One

7. Aikido

O Aikido é uma suite alargada de AppSec num único dashboard. Todos os planos listam SCA, SAST, segredos, IaC, postura de cloud, análise de contentores, DAST, análise de licenças e geração de SBOM. A sua SCA usa alcançabilidade ao nível da função, e o AutoFix abre pull requests.

Ideal para: equipas mais pequenas que querem a maior parte da análise numa só ferramenta, com preços publicados. Considere se: não precisa de uma camada de governação do SDLC. Existe um plano gratuito, o Basic custa $350 por mês e o Pro $600 por mês, com o Enterprise sob pedido (em setembro de 2026). CRACI vs Aikido

8. GitHub Advanced Security

O GitHub vende as suas funcionalidades de segurança como dois add-ons. O Secret Protection cobre a análise de segredos com push protection, e o Code Security acrescenta a análise de código CodeQL e a dependency review. O grafo de dependências e os alertas do Dependabot vêm com todos os planos do GitHub, e o GitHub Actions pode produzir artifact attestations.

Ideal para: organizações cujo código e CI estão todos no GitHub. Considere se: consegue dispensar a cobertura de outros sistemas de controlo de versões e de CI. Em setembro de 2026, o Secret Protection custa $19 e o Code Security $30 por committer ativo por mês, num plano GitHub Team ou Enterprise. CRACI vs GitHub Advanced Security

9. StepSecurity

O StepSecurity protege o GitHub Actions a partir de dentro. O Harden-Runner é um agente nos runners que já usa, incluindo os alojados no GitHub: associa cada ligação de saída, processo e escrita de ficheiro ao passo do workflow que a causou, pode começar por auditar para criar uma base de referência e depois bloqueia o egress fora de uma lista de permissões. O StepSecurity oferece também governação de actions e Maintained Actions, e cobre GitLab CI e Azure DevOps.

Ideal para: equipas cujo principal risco de CI/CD são os workflows e runners de GitHub Actions. Considere se: quer controlo em tempo de execução nos runners que mantém. O nível Community é gratuito para repositórios públicos e o Enterprise custa $16 por programador contribuidor por mês (em setembro de 2026). CRACI vs StepSecurity

Lado a lado

Plataformas ASPM e ferramentas de segurança do build, comparadas com o Legit. O Checkmarx One, o Aikido e o GitHub Advanced Security são scanners e estão descritos acima. "Não indicado" significa que as páginas dos fornecedores que citamos não dizem nem que sim nem que não.

Quando ficar com o Legit Security

• Usa muitos sistemas de controlo de versões e de CI e precisa de uma só camada de governação sobre todos.
• Quer os scanners existentes orquestrados, correlacionados e sem duplicados numa única fila.
• Precisa de encontrar segredos para além do código-fonte, em logs de build e ferramentas como Slack, Confluence e Jira.
• Reporta a postura face a referenciais como ISO 27001, SSDF, SLSA e SOC 2 a partir de um só lugar.

Se um registo de cada build está na sua lista, marque uma demo ou leia sobre a política de egress para GitHub Actions, a geração de SBOM durante o build e as ferramentas de segurança da cadeia de abastecimento de software comparadas.

Alternativas ao Legit Security: perguntas frequentes

Respostas curtas às perguntas que as equipas fazem quando comparam

Quais são as melhores alternativas ao Legit Security?

Para outra plataforma ASPM, veja o Apiiro, o OX Security ou o Cycode. O Kusari constrói um único grafo a partir das suas SBOM e scanners. Para análise sem uma camada de postura, veja o Checkmarx One ou o Aikido e, se todo o seu código estiver no GitHub, o GitHub Advanced Security. O StepSecurity foca-se no GitHub Actions: reforço de runners e postura de CI/CD. O CRACI substitui o próprio runner de GitHub Actions e regista o que cada build obteve.

Quanto custa o Legit Security?

O Legit Security não publica preços. Em setembro de 2026, o seu site tem ligações para planos e pacotes e para a equipa comercial, sem valores. Entre as alternativas, o Aikido, o StepSecurity, o GitHub Advanced Security e o Kusari Inspector publicam preços, ao passo que o Apiiro, o OX Security, o Cycode e o Checkmarx não.

Existe uma alternativa gratuita ao Legit Security?

Para partes dele. O Legitify, do próprio Legit, é uma ferramenta open source sob Apache 2.0 que encontra configurações inseguras no GitHub e no GitLab. O nível Community do StepSecurity é gratuito para repositórios públicos, o Aikido tem um plano gratuito, o Kusari Inspector é gratuito para programadores individuais e projetos open source, e o GitHub ativa sem custos a análise de código e de segredos para repositórios públicos. Nenhum deles é uma plataforma ASPM gratuita com a amplitude do Legit.

Legit Security vs Apiiro vs OX Security: qual escolher?

Os três são plataformas ASPM que se ligam ao seu controlo de versões, à sua CI e aos seus scanners. O Apiiro destaca-se pelo contexto de arquitetura da Deep Code Analysis e pelo seu Risk Graph. O OX Security destaca-se pelas políticas de postura de CI/CD e por uma Pipeline Bill of Materials assinada por build. O Legit destaca-se por um mapa de todo o SDLC, centenas de políticas ao longo dele e uma deteção de segredos que chega aos logs de build, ao Slack, ao Confluence e ao Jira. Nenhum deles executa os seus builds.

O CRACI substitui o Legit Security?

Em parte. Para software compilado em GitHub Actions, o CRACI substitui a parte das evidências do build: é o runner, pelo que regista o que cada build obteve, aplica uma política de egress e continua a monitorizar as SBOM do que foi distribuído. Não faz SAST, análise de segredos, análise de alcançabilidade nem verificações de postura de CI/CD, não tem inventário do SDLC nem agrega outros scanners, e hoje suporta apenas GitHub Actions, com GitLab CI e Jenkins no roadmap. As equipas que precisam disso mantêm um scanner ou uma ferramenta de postura para esse fim.