Alternativ till Chainguard

Vi bygger CRACI, så väg in det; vi beskriver varje alternativ utifrån dess egen dokumentation och säger när ett annat verktyg passar bättre.

Varför team tittar bortom Chainguard

Chainguard bygger programvara med öppen källkod från källkoden och levererar den härdad: containeravbilder som företaget kallar zero-CVE, bibliotek för Java, Python och JavaScript som byggts om från verifierad källkod, VM-avbilder och härdade GitHub Actions, alla med en signerad SBOM och SLSA-proveniens. För kunder med en beställning åtar det sig att åtgärda kritiska CVE:er inom 7 dagar och övriga allvarlighetsgrader inom 14 dagar från en kvalificerande patch. Det är ett starkt sätt att börja från rena indata.

Team tittar på andra alternativ när deras situation förändras:

• Pris. Utöver fem gratis avbilder börjar Chainguards katalog på $19K för ett team på 10. Det finns nu också gratis härdade kataloger.
• Omfattning. Chainguards SBOM:er och proveniens beskriver Chainguards artefakter. Ditt eget bygge, och allt annat det drar in, behöver fortfarande en egen registrering.
• Kontroll över bygget. Rena indata begränsar inte vad ett bygge kan nå medan det körs, och visar inte vad ett skript laddade ner.
• Migrering. Att flytta till en härdad katalog innebär att byta basavbilder och ibland sättet du bygger dem på.

Vad du ska titta efter

• Om du vill säkra indata, bygget eller båda.
• Vilka distributioner och arkitekturer du behöver, och hur direkt utbytbara avbilderna är.
• Ett åtagande om CVE-rättningar, och om det kräver en betald nivå.
• Varianter för efterlevnad som FIPS och STIG, om du säljer till offentlig sektor.
• SBOM:er och proveniens, och om de beskriver leverantörens artefakter eller ditt bygge.
• Kontroll över vad ett bygge kan nå medan det körs.

Alternativen

Alternativ 2 till 9 ger dig härdade, minimala eller ombyggda avbilder. CRACI säkrar bygget som använder dem, och Socket säkrar paketen som det installerar.

1. CRACI (vår produkt)

CRACI säkrar leveranskedjan för programvara vid bygget i stället för vid dess indata. Det är en runner för GitHub Actions: medan varje jobb körs registrerar en paketmedveten proxy vad det hämtade, inklusive basavbilder, paket och paket som återställs från CI-cachar, och tar fram en SBOM i CycloneDX eller SPDX med en fullständighetsstatus per jobb och per cache. En egress-policy valideras innan jobbet startar och blockerar vid fel, så att ett bygge bara når de källor du tillåter. CRACI fortsätter att omvärdera SBOM:erna för det som levererats, och dess inventeringsvy visar exakt vilka programvaruversioner som är driftsatta i vilka produkter, globalt.

Passar bäst för: team som behöver registrering och kontroll av varje bygge, oavsett vilka basavbilder de använder.

Överväg om: du vill ha säkerhet i leveranskedjan för den programvara du bygger. CRACI tar inte fram härdade avbilder eller bibliotek, och har i dag stöd för GitHub Actions på Linux, med GitLab CI, Jenkins, Windows och macOS på roadmapen.

CRACI och Chainguard

2. Docker Hardened Images

Docker beskriver sina härdade avbilder som nästan fria från CVE:er, minimala och löpande ombyggda från källkod, på Alpine eller Debian. Varje avbild levereras med signerade SBOM:er, SLSA Level 3-proveniens och OpenVEX-data om exploaterbarhet. Per september 2026 är DHI Community-katalogen gratis och öppen källkod under Apache 2.0; DHI Select, från $5,000 per repository, lägger till ett SLA om att rätta kritiska CVE:er inom 7 dagar samt FIPS- och STIG-varianter, och DHI Enterprise lägger till obegränsad anpassning.

Passar bäst för: en gratis härdad katalog på välbekanta baser som Alpine och Debian.

Överväg om: du bara vill ha ett SLA för de avbilder som behöver ett.

3. Echo

Echo erbjuder sårbarhetsfria containrar, bibliotek, VM:ar och operativsystemspaket, med FIPS-validerade och STIG-härdade varianter, och säger att det eliminerar 99 % eller mer av sårbarheterna vid källan. Priser ges via demo. Minimus, en annan leverantör av härdade avbilder, håller på att avvecklas och har lämnat över sin teknik till Echo; dess register stänger den 22 oktober 2026.

Passar bäst för: team som vill ha härdade avbilder, bibliotek och VM:ar från en leverantör.

Överväg om: du är kund hos Minimus och letar efter dess efterträdare.

4. Aikido

Aikidos härdade avbilder är direkta ersättare för befintliga basavbilder som backporterar säkerhetsrättningar i stället för att tvinga fram uppgraderingar av distributionen, även efter att uppströmsversionen inte längre stöds. Det listar fler än 2 000 avbilder för Debian, Ubuntu och Alpine på amd64 och arm64, med SBOM, VEX och SLSA-proveniens vid varje hämtning. Du kan börja gratis.

Passar bäst för: att rätta CVE:er i de avbilder du redan använder, utan att byta distribution.

Överväg om: du också vill ha Aikidos bredare AppSec-plattform.

CRACI jämfört med Aikido

5. RapidFort

RapidFort erbjuder fler än 35 000 kurerade avbilder med nästan inga CVE:er, byggda på Ubuntu, RHEL, Debian och Alpine, som direkta ersättare för vanliga basavbilder, och säger att de tar bort upp till 99,9 % av CVE:erna. Hela katalogen lägger till CIS- och DISA STIG-härdade varianter, FIPS 140-2- och 140-3-avbilder samt SBOM-export i SPDX och CycloneDX. Plattformsnivån profilerar containrar under körning för att se vilka komponenter som faktiskt körs, och tar bort oanvända paket för upp till 90 % mindre attackyta. Fem kurerade avbilder är gratis; hela katalogen prissätts via offert.

Passar bäst för: team som vill ha härdade avbilder på de distributioner de redan använder.

Överväg om: profilering under körning och minskad attackyta är lika viktiga som avbilderna.

6. Bitnami Secure Images

Bitnami, numera en del av Broadcom, säljer härdade avbilder av applikationer med öppen källkod på en minimal Photon OS-bas: fler än 350 containeravbilder och 140 Helm charts. Varje avbild levereras med en SBOM, VEX-dokument, resultat från CVE-skanning och SLSA 3-attesteringssignaturer, och katalogen har stöd för FIPS, STIG och FedRAMP. Utvecklare kan använda en del av avbilderna gratis utanför produktion, enbart med latest-taggen; hela katalogen säljs via säljare eller Arrows marknadsplats.

Passar bäst för: team som redan driftsätter Bitnami-applikationer och Helm charts.

Överväg om: du behöver avbilder för produktion, vilket kräver ett betalt abonnemang.

7. Google distroless

Distroless-avbilder ”innehåller bara din applikation och dess beroenden i körtid”, utan pakethanterare eller skal. De bygger på Debian 13, är gratis under Apache 2.0 och signeras med cosign. Det finns inget åtagande om CVE-rättningar; rättningarna kommer när Debian publicerar dem.

Passar bäst för: en mindre attackyta utan kostnad.

Överväg om: du klarar dig utan skal i avbilder för produktion.

8. Iron Bank

Iron Bank är det amerikanska försvarsdepartementets källa för härdade containrar, en del av Platform One. Leverantörer, communities kring öppen källkod och myndighetsteam skickar in avbilder, som byggs om utan internetåtkomst, skannas mot Iron Banks acceptanskriterier och bevakas var 12:e timme. Det kostar ingenting för bidragsgivare eller användare, men hämtningar från Registry1 kräver ett Platform One-konto, och leverantörer och bidragsgivare ansvarar för att åtgärda fynden i sina avbilder.

Passar bäst för: programvara på väg till DoD-system som behöver ackrediterade basavbilder.

Överväg om: du accepterar att underhållet av varje avbild beror på dess bidragsgivare.

9. Cloud Native Buildpacks och Paketo

Cloud Native Buildpacks, ett graduerat CNCF-projekt, gör om applikationens källkod till OCI-avbilder utan en Dockerfile. Rebase uppdaterar basavbilden utan att bygga om appen, byggena tar fram SBOM:er i CycloneDX, SPDX och Syft JSON, och en ny körning av ett bygge återskapar samma avbildsdigest. Paketo Buildpacks, ett community-projekt under Cloud Foundry Foundation, tillhandahåller färdiga buildpacks för Java, Go, .NET Core, Node.js, PHP, Python och Ruby.

Passar bäst för: team som helst slipper underhålla Dockerfiles och vill patcha operativsystemslagren med rebase.

Överväg om: du klarar dig utan en leverantörs åtagande om CVE-rättningar; det här är ett sätt att bygga avbilder, inte en katalog.

10. Socket

Socket säkrar en annan sorts indata: paket med öppen källkod. Det analyserar hur paketen beter sig, flaggar riskabla tillägg i pull requests, och Socket Firewall blockerar skadliga paket vid installationen, med en gratisversion för npm, yarn, pnpm, pip, uv och cargo.

Passar bäst för: att stoppa dåliga paket innan de landar, även sådana som ännu inte har något säkerhetsmeddelande.

CRACI jämfört med Socket

Sida vid sida

”Ej angivet” betyder att vi inte kunde bekräfta det på leverantörens publika sidor. RapidFort, Bitnami Secure Images, Iron Bank och Buildpacks beskrivs ovan.

Vad Chainguard och alternativen kostar

De flesta betalda härdade katalogerna prissätts via offert, så jämför vad ett åtagande om CVE-rättningar, FIPS- eller STIG-varianter och anpassning kostar hos var och en. Gratiskataloger kommer oftast utan åtagande om rättningar.

Chainguard jämfört med Docker Hardened Images

Det här är de två alternativ som team jämför mest direkt. Båda levererar minimala avbilder med signerade SBOM:er och SLSA-proveniens. Skillnaderna ligger i hur de byggs och vad gratisnivån innehåller:

• Bas. Docker Hardened Images bygger på Alpine eller Debian, som de flesta team redan känner till. Chainguard bygger sina avbilder från källkod.
• Gratisnivå. DHI Community-katalogen är gratis under Apache 2.0. Chainguard erbjuder fem avbilder gratis.
• Åtagande om CVE-rättningar. Docker åtar sig att rätta kritiska CVE:er inom 7 dagar med DHI Select, från $5,000 per repository. Chainguard åtar sig 7 dagar för kritiska och 14 för övriga allvarlighetsgrader för kunder med en beställning.
• Utöver avbilder. Chainguard bygger också om språkbibliotek och erbjuder VM-avbilder och härdade GitHub Actions.

När du ska stanna kvar hos Chainguard

• Du behöver härdade avbilder och bibliotek i flera språk, med ett CVE-åtagande, från en leverantör.
• Du förlitar dig på Chainguard Libraries via Artifactory, Nexus eller Cloudsmith.
• Du kan kombinera: härdade indata och ett registrerat, kontrollerat bygge täcker olika delar av kedjan.

Läs mer om SBOM-generering under bygget och verktyg för säkerhet i leveranskedjan i jämförelse.

Alternativ till Chainguard: vanliga frågor

Korta svar på de frågor team ställer när de jämför

Vilka konkurrerar med Chainguard?

För härdade containeravbilder: Docker Hardened Images, RapidFort, Bitnami Secure Images från Broadcom, Echo, Aikido och gratisalternativ som Google distroless och DoD:s Iron Bank. Cloud Native Buildpacks är ett sätt med öppen källkod att bygga avbilder utan Dockerfiles. Socket säkrar i stället paket med öppen källkod, och CRACI säkrar och registrerar bygget som använder alla dessa indata.

Vad är skillnaden mellan Docker och Chainguard?

Docker Hardened Images bygger på Alpine eller Debian, och Community-katalogen är gratis under Apache 2.0; ett åtagande om att rätta kritiska CVE:er inom 7 dagar ingår i den betalda nivån DHI Select, från $5,000 per repository. Chainguard bygger sina avbilder från källkod, åtar sig att rätta kritiska CVE:er inom 7 dagar och övriga inom 14 för kunder med en beställning, och erbjuder också bibliotek, VM:ar och GitHub Actions.

Vad kostar Chainguard?

Chainguard erbjuder fem avbilder gratis. Per september 2026 börjar katalogpriserna på $19K för ett team på 10, med tillgång till hela katalogen och ett CVE-SLA, och pris per avbild sätts via offert.

Finns det ett gratis alternativ till Chainguard?

Ja. Docker Hardened Images Community-katalogen och Google distroless är gratis under Apache 2.0, Iron Bank är gratis med ett Platform One-konto, och med RapidFort och Aikido kan du börja gratis. Gratisalternativ kommer oftast utan något åtagande om CVE-rättningar.

Ersätter CRACI Chainguard?

Nej. CRACI tar inte fram härdade avbilder eller bibliotek. Det säkrar i stället bygget: det registrerar vad varje GitHub Actions-jobb hämtade, basavbilder inräknade, och upprätthåller en egress-policy som blockerar vid fel. Härdade indata och ett registrerat, kontrollerat bygge täcker olika delar av leveranskedjan.