Alternativ till StepSecurity

Vi bygger CRACI, så väg in det; vi beskriver varje alternativ utifrån dess egen dokumentation och säger när ett annat verktyg passar bättre.

Varför team tittar bortom StepSecurity

Harden-Runner är en agent som läggs till som första steg i ett jobb. Den kopplar utgående anslutningar, processer och filskrivningar till varje steg i arbetsflödet, bygger en baslinje i granskningsläge och blockerar egress till allt som inte står på en tillåtelselista. Den har fullt stöd för GitHub-hostade Linux-runners och körs i granskningsläge på Windows och macOS.

Team letar på annat håll när deras situation förändras:

• Bevis. Den registrerar destinationer snarare än en SBOM på paketnivå.
• Installation. Agenten är ett steg du lägger till i varje arbetsflöde.
• Pris. Per september 2026 är Community-nivån gratis för publika repon och Enterprise kostar $16 per bidragande utvecklare per månad.

Vad du ska titta efter

• Om verktyget är en agent på din runner eller själva runnern.
• Egress-kontroll, och om du kan observera innan du blockerar.
• Bevakning av processer och filer, om du behöver det.
• Byggbevis: en SBOM på paketnivå över vad varje jobb hämtade.
• Vilka runners och CI-system det täcker.

Alternativen

1. CRACI (vår produkt)

CRACI är själva runnern snarare än en agent på din. En egress-policy, neka eller tillåt som standard, valideras innan jobbet startar och blockerar vid fel. Medan jobbet körs registrerar en paketmedveten proxy vad det hämtade och tar fram en SBOM med en fullständighetsstatus. API:t returnerar SBOM:er, nätverksspårningar och proveniens.

Passar bäst för: team som vill kontrollera och registrera bygget på ett ställe.

Överväg om: du kan flytta jobben till CRACI:s Linux-runners för GitHub Actions. CRACI övervakar inte processer eller filskrivningar, och ett granskningsläge före blockering finns på roadmapen.

CRACI jämfört med StepSecurity

2. Cycode Cimon

Cimon, från Cycode, är en eBPF-agent som körs inne i dina CI-jobb. Den övervakar processer, utgående nätverkstrafik och filåtkomst, lär sig en pipelines normala beteende innan regler tillämpas, tar fram en SBOM observerad under körning och signerar SLSA-proveniens. Cycode säger att Cimon är gratis och har öppen källkod, och den ingår i Cycodes bredare plattform för applikationssäkerhet.

Passar bäst för: körtidsskydd för byggen på runners du behåller, över flera CI-system.

CRACI jämfört med Cycode

3. Namespace

Namespace kör runners för Linux, Windows och macOS på hårdvara som företaget själv driver, valda via runnerprofiler. Cachevolymer behåller data på lokal lagring mellan körningar. Dess egress-policyer körs i blockeringsläge eller rådgivande läge, som registrerar beslut utan att blockera så att du kan bygga en tillåtelselista från verklig trafik. Per september 2026 kostar en Linux-runner med 2 vCPU och 4 GB $0.002 per minut inom planen och $0.003 vid överförbrukning.

Passar bäst för: runners för Linux, Windows och macOS från en leverantör, med cachevolymer.

Överväg om: du vill prova en egress-policy innan du tillämpar den skarpt.

CRACI jämfört med Namespace

4. Depot

Depot erbjuder Linux-runners från 2 till 64 vCPU, Windows och, från Startup-planen och uppåt, macOS, kopplade till en distribuerad cache. Företaget beskriver sina runners som "upp till 3 gånger snabbare än en GitHub-hostad runner". Dess fjärrtjänst för Docker-byggen behåller en beständig lagercache, Linux-runners stöder egress-filtrering, och på Business-planen kan runners finnas i ditt eget AWS-konto. Per september 2026 kostar 2 vCPU $0.006 per minut utöver planens minuter, mätt per sekund.

Passar bäst för: team vars CI-tid domineras av byggen av Docker-avbilder.

Överväg om: du också vill ha fjärrcachning av byggen för Bazel, Gradle eller Turborepo.

CRACI jämfört med Depot

5. Egenhostade runners med Actions Runner Controller

Actions Runner Controller (ARC) är "en Kubernetes-operator som orkestrerar och skalar egenhostade runners för GitHub Actions". Runner scale sets växer och krymper med antalet arbetsflöden som körs, och runners kan vara kortlivade containrar. GitHub tar inte betalt per minut för egenhostad användning per september 2026, men du ansvarar för operativsystemet och programvaran, och GitHub varnar för att egenhostade runners nästan aldrig bör användas för publika repon.

Passar bäst för: jobb som måste köras i ditt nätverk eller på din hårdvara.

Överväg om: du redan kör Kubernetes och har tid att härda och underhålla det.

Hanterade jämfört med egenhostade runners

Sida vid sida

”Ej angivet” betyder att vi inte kunde bekräfta uppgiften på leverantörens publika sidor.

När du ska stanna hos StepSecurity

• Du vill behålla GitHub-hostade runners, inklusive Windows och macOS.
• Du vill följa trafiken i granskningsläge innan du blockerar.
• Du behöver bevakning av processer och filer, inte bara nätverkskontroll.
• Du kör också GitLab CI eller Azure DevOps.

Läs mer om runner- och byggsäkerhet och CI/CD-integration.

Vanliga frågor om alternativ till StepSecurity

Korta svar på frågorna team ställer när de jämför

Finns det ett gratis alternativ till Harden-Runner?

Cycode säger att Cimon är gratis och har öppen källkod. Det är en eBPF-agent som bevakar processer, egress och filåtkomst i dina CI-jobb. Harden-Runner är själv gratis för publika repon på GitHub-hostade runners, och agenten på community-nivån har öppen källkod under Apache 2.0. CRACI har ingen gratisnivå.

Vad ersätter StepSecurity på Azure DevOps?

Inte CRACI: det stöder bara GitHub Actions i dag, med GitLab CI och Jenkins på roadmapen. Cycode listar Azure Pipelines bland de CI-system som Cimon täcker, och Harden-Runner har själv stöd för Azure DevOps.

Behöver CRACI en agent?

Nej. CRACI är runnern, så det finns ingen agent att lägga till i dina arbetsflöden och ingen controller att driva. Du sätter runs-on: craci, och egress-policyn valideras innan jobbet startar och blockerar vid fel.

Vad kostar StepSecurity?

Per september 2026 är Community-nivån gratis för publika repon på GitHub-hostade runners, och Enterprise kostar $16 per bidragande utvecklare per månad, med en gratis provperiod på 14 dagar. Runnerminuter är en separat kostnad. CRACI tar bara betalt för själva runnern: $0.002 per vCPU-minut ($0.004 för en standardrunner med 2 vCPU), mätt per sekund, utan månadsavgift och utan avgift per SBOM.

Kan CRACI granska egress innan det blockerar?

Inte än. Ett övervaknings- eller dry-run-läge finns på CRACI:s roadmap. Harden-Runner bygger en baslinje i granskningsläge, och Cimon lär sig en pipelines normala beteende innan det upprätthåller regler.