Alternativas
Alternativas ao StepSecurity
O StepSecurity Harden-Runner acrescenta controlo do egress e visibilidade em tempo de execução aos runners que mantém. As equipas procuram alternativas quando querem um registo de cada build ao nível dos pacotes, ou controlo integrado no runner.
Atualizado a
Somos nós que desenvolvemos o CRACI, por isso tenha isso em conta; descrevemos cada opção a partir da sua própria documentação e dizemos quando outra ferramenta se adequa melhor.
Porque é que as equipas olham para além do StepSecurity
O Harden-Runner é um agente adicionado como primeiro passo de um job. Associa ligações de saída, processos e escritas em ficheiros a cada passo do workflow, constrói uma linha de base em modo de auditoria e bloqueia o egress para tudo o que esteja fora de uma lista de permissões. Suporta totalmente os runners Linux alojados no GitHub e corre em modo de auditoria em Windows e macOS.
As equipas procuram outras opções quando a sua situação muda:
- Evidências. Regista destinos, não uma SBOM ao nível dos pacotes.
- Configuração. O agente é um passo que acrescenta a cada workflow.
- Preço. Em setembro de 2026, o nível Community é gratuito para repositórios públicos e o Enterprise custa $16 por programador contribuidor por mês.
O que procurar
- Se a ferramenta é um agente no seu runner ou o próprio runner.
- Controlo do egress, e se pode observar antes de bloquear.
- Monitorização de processos e de ficheiros, se precisar dela.
- Evidências do build: uma SBOM ao nível dos pacotes do que cada job obteve.
- Que runners e sistemas de CI cobre.
As opções
1. CRACI (o nosso produto)
O CRACI é o próprio runner e não um agente no seu. Uma política de egress, de negação ou de permissão por predefinição, é validada antes de o job começar e falha em modo fechado. Durante a execução do job, um proxy que reconhece pacotes regista o que o job obteve e produz uma SBOM com um estado de completude. A API devolve SBOM, traços de rede e proveniência.
Indicado para: equipas que pretendem controlar e registar o build num só lugar.
A considerar se: pode migrar os jobs para os runners Linux do CRACI para GitHub Actions. O CRACI não monitoriza processos nem escritas em ficheiros, e um modo de auditoria antes do bloqueio está no seu roadmap.
2. Cycode Cimon
O Cimon, da Cycode, é um agente eBPF executado dentro dos seus jobs de CI. Monitoriza processos, egress de rede e acesso a ficheiros, aprende o comportamento normal de um pipeline antes de o impor, produz uma SBOM observada em runtime e assina a proveniência SLSA. A Cycode afirma que o Cimon é gratuito e open source, e insere-se na plataforma de segurança de aplicações mais ampla da Cycode.
Indicado para: proteção do build em runtime em runners que mantém, em vários sistemas de CI.
3. Namespace
A Namespace executa runners Linux, Windows e macOS em hardware que ela própria opera, selecionados através de perfis de runner. Os volumes de cache mantêm os dados em armazenamento local entre execuções. As suas políticas de egress funcionam em modo de bloqueio ou em modo consultivo, que regista as decisões sem bloquear, para que possa construir uma allowlist a partir de tráfego real. Em setembro de 2026, um runner Linux de 2 vCPU e 4 GB custa $0.002 por minuto dentro do plano e $0.003 em excedente.
Indicado para: runners Linux, Windows e macOS de um só fornecedor, com volumes de cache.
A considerar se: pretende experimentar uma política de egress antes de a aplicar.
4. Depot
A Depot oferece runners Linux de 2 a 64 vCPU, Windows e, a partir do plano Startup, macOS, ligados a uma cache distribuída. Descreve os seus runners como "up to 3x faster than a GitHub-hosted runner." O seu serviço remoto de builds Docker mantém uma cache de camadas persistente, os runners Linux suportam filtragem de egress e, no plano Business, os runners podem ficar na sua própria conta AWS. Em setembro de 2026, 2 vCPU custa $0.006 por minuto para além dos minutos do plano, contabilizado ao segundo.
Indicado para: equipas cujo tempo de CI é dominado por builds de imagens Docker.
A considerar se: também pretende cache de builds remota para Bazel, Gradle ou Turborepo.
5. Runners self-hosted com Actions Runner Controller
O Actions Runner Controller (ARC) é "a Kubernetes operator that orchestrates and scales self-hosted runners for GitHub Actions." Os runner scale sets crescem e encolhem com o número de workflows em execução, e os runners podem ser contentores efémeros. Em setembro de 2026, o GitHub não cobra por minuto a utilização self-hosted, mas a sua empresa é responsável pelo sistema operativo e pelo software, e o GitHub avisa que os runners self-hosted quase nunca devem ser usados em repositórios públicos.
Indicado para: jobs que têm de ser executados na sua rede ou no seu hardware.
A considerar se: já opera Kubernetes e tem tempo para o reforçar e manter.
Runners geridos face a runners self-hosted
Lado a lado
| Funcionalidade | CRACI | StepSecurity Harden-Runner | Cycode (Cimon) | GitHub Advanced Security |
|---|---|---|---|---|
| Onde é executado | É o próprio runner | Agente nos runners que mantém | Agente dentro do seu CI atual | Analisa repositórios no GitHub |
| Controlo de egress do build | Negar ou permitir por predefinição, falha em modo fechado | Lista de permissões em modo de bloqueio | Modo de prevenção com hosts permitidos | |
| Modo de auditoria antes de bloquear | Modo de monitorização ou de simulação | Linhas de base por job | Modo de deteção | Sem controlo de egress |
| Monitorização de processos e ficheiros | eBPF | Não indicado | ||
| SBOM registada a partir do build | Por job, com um estado de completude | Regista destinos, processos, ficheiros | SBOM observada em tempo de execução | Grafo a partir de manifestos, mais dados de build submetidos |
| Proveniência do build assinada | Sem proveniência assinada | Não indicado | SLSA Provenance v1.0 | Atestações de artefactos |
| SAST | Não indicado | CodeQL | ||
| Deteção de segredos | Não indicado | Secret Protection | ||
| Cobertura de CI | Atualmente GitHub Actions; GitLab CI e Jenkins no roadmap | GitHub Actions, GitLab CI, Azure DevOps | GitHub Actions, Azure Pipelines, Jenkins, GitLab CI, Buildkite, Harness | GitHub, e Azure DevOps como compra separada |
| Preço | $0.002 por vCPU-minuto ($0.004 com 2 vCPU), runner incluído | Gratuito para repositórios públicos; Enterprise $16 por programador contribuidor por mês | Gratuito e open source, segundo a Cycode | $19 Secret Protection, $30 Code Security por committer ativo por mês |
- Incluído
- Em parte
- Não incluído
- No roadmap
"Não indicado" significa que não conseguimos confirmá-lo nas páginas públicas do fornecedor.
Quando ficar com o StepSecurity
- Quer manter os runners alojados no GitHub, incluindo Windows e macOS.
- Quer observar o tráfego em modo de auditoria antes de bloquear.
- Precisa de monitorização de processos e de ficheiros, não apenas de controlo da rede.
- Usa também GitLab CI ou Azure DevOps.
Saiba mais sobre segurança de runners e de builds e integração com CI/CD.
Alternativas ao StepSecurity: perguntas frequentes
Respostas curtas às perguntas que as equipas fazem quando comparam
Existe uma alternativa gratuita ao Harden-Runner?
A Cycode diz que o Cimon é gratuito e open source. É um agente eBPF que monitoriza processos, egress e acesso a ficheiros dentro dos seus jobs de CI. O próprio Harden-Runner é gratuito para repositórios públicos em runners alojados no GitHub, e o agente do nível community é open source sob Apache 2.0. O CRACI não tem nível gratuito.
O que substitui o StepSecurity no Azure DevOps?
Não o CRACI: hoje suporta apenas GitHub Actions, com GitLab CI e Jenkins no roadmap. A Cycode inclui o Azure Pipelines entre os sistemas de CI que o Cimon cobre, e o próprio Harden-Runner suporta Azure DevOps.
O CRACI precisa de um agente?
Não. O CRACI é o runner, pelo que não há agente para acrescentar aos seus workflows nem controlador para operar. Define runs-on: craci, e a política de egress é validada antes de o job arrancar e falha em modo fechado.
Quanto custa o StepSecurity?
Em setembro de 2026, o nível Community é gratuito para repositórios públicos em runners alojados no GitHub, e o Enterprise custa $16 por programador contribuidor por mês, com uma avaliação gratuita de 14 dias. Os minutos de runner são um custo à parte. O CRACI cobra apenas o próprio runner: $0.002 por vCPU-minuto ($0.004 para um runner predefinido de 2 vCPU), medido ao segundo, sem mensalidade e sem custo por SBOM.
O CRACI pode auditar o egress antes de o bloquear?
Ainda não. Um modo de monitorização ou dry-run está no roadmap do CRACI. O Harden-Runner constrói uma linha de base em modo de auditoria, e o Cimon aprende o comportamento normal de um pipeline antes de aplicar regras.
Controle e registe um build
Execute um job de GitHub Actions no CRACI e veja lado a lado a política de egress, o traço de rede e a SBOM do job.
Marcar demo