StepSecurity vs CRACI

Det korta svaret

StepSecurity är en plattform för säkerhet i mjukvarans leveranskedja som täcker fyra kontrollpunkter: utvecklardatorer, paketregister, kodrepon och CI/CD. Dess CI/CD-produkt, Harden-Runner, är en agent som bevakar varje utgående anslutning, process och filskrivning i ett jobb, kopplar var och en till arbetsflödessteget som orsakade den och kan blockera utgående trafik till allt som inte står på en tillåtelselista. Enterprise kostar $16 per bidragande utvecklare per månad, och publika repon på GitHub-hostade runners är gratis.

CRACI ersätter själva runnern: dess egress-policy upprätthålls av runnerplattformen och valideras innan jobbet startar, och samma jobb tar fram en SBOM på paketnivå. Det här är den närmaste överlappningen CRACI har med någon säkerhetsleverantör, eftersom båda begränsar vad ett bygge kan nå. Skillnaden är var kontrollen finns. Harden-Runner skyddar runners du behåller, inklusive GitHub-hostade. CRACI:s policy följer med eftersom det är runnern, och det registrerar paket, inte bara destinationer.

I korthet

"Ej angivet" betyder att vi inte kunde bekräfta det på StepSecuritys offentliga sidor.

Det StepSecurity gör bra

Harden-Runner

• Insyn på stegnivå. Varje utgående anslutning, filoperation och processkörning kopplas till exakt det steg, jobb och arbetsflöde där den skedde. Enterprise-nivån lägger till processargument, sökvägar för filskrivningar och varningar via e-post, Slack, Microsoft Teams eller din SIEM.
• Granska först, blockera sedan. I läget egress-policy: audit bygger Harden-Runner en baslinje för varje jobbs normala utgående anrop och flaggar allt nytt. Du kan sedan byta till blockeringsläge med en tillåtelselista över slutpunkter. En global blocklista över kända skadliga domäner, som StepSecurity underhåller, gäller även i granskningsläge.
• Upptäckt av manipulation. Det varnar vid oväntade ändringar i källkoden under bygget.
• Bred täckning. Fullt stöd på GitHub-hostade Linux-runners, granskningsläge på GitHub-hostade Windows och macOS och, på Enterprise-nivån, egenhostade virtuella maskiner, bare metal och Actions Runner Controller. StepSecurity listar också GitLab CI, Azure DevOps och tredjepartsrunners som Blacksmith, Depot och Namespace. På egenhostade runners är agenten inbyggd i runneravbilden, så arbetsflöden behöver inga ändringar.
• Meriter. StepSecurity uppger att Harden-Runner upptäckte komprometteringen av tj-actions/changed-files (CVE-2025-30066) och det komprometterade npm-paketet axios, och att det skyddar över 25 miljoner arbetsflödeskörningar i veckan. Agenten på Community-nivån har öppen källkod under Apache 2.0.

Var Harden-Runner körs

StepSecuritys egen stödmatris för GitHub Actions, i september 2026:

Det stöds inte när ett helt jobb körs i en container på GitHub-hostade runners, eller på ubuntu-slim. På Actions Runner Controller stöds bara Linux-jobb.

Resten av plattformen

• Styrning av actions: en inventering av de tredjepartsactions och återanvändbara arbetsflöden du använder, godkännandeflöden för nya och StepSecurity Maintained Actions som granskade direkta ersättare.
• Secure Registry: karenstider för nya paketversioner, blockering av kända komprometterade versioner, skydd mot typosquatting och organisationsövergripande blocklistor, med en policy för bärbara datorer och CI.
• Code Repo Security: kontroller av pull requests och Orchestrate Security, som öppnar pull requests som låser actions till commit-SHA:er, sätter GITHUB_TOKEN-behörigheter enligt minsta privilegium och rullar ut Dependabot-konfigurationer.
• Dev Machine Guard: en inventering av AI-kodagenter, MCP-servrar, IDE-tillägg och paket på utvecklardatorer.

Där CRACI skiljer sig

Att vara runnern, inte en agent på den

På GitHub-hostade runners installeras Harden-Runner av ett steg som du lägger till som första steg i varje jobb, och dess räckvidd beror på vad GitHubs infrastruktur tillåter. Inget av det är ett fel i produkten; det följer av att den körs på infrastruktur som någon annan äger.

CRACI:s policy är en del av runnern. Den valideras innan jobbet startar, avvisar okända fält och blockerar vid fel, så en policy som inte kan tillämpas ger ingen oskyddad körning. Körningar syns fortfarande i GitHub, och att flytta ett jobb är en ändring av dess etikett runs-on.

Paket, inte bara destinationer

Harden-Runners tillåtelselista är en lista över slutpunkter, och dess nätverksinsikter visar vilka värdar varje steg kontaktade. CRACI:s källor är typade per ekosystem, med 24 inbyggda förinställningar för programvarukällor, anpassade källor för npm, PyPI, apt, apk, Go-proxyn, Nix, Cargo, OCI-register och Git över HTTPS och SSH, och explicita regler för TLS, TCP, UDP och ICMP. En paketmedveten proxy registrerar vilka paket varje jobb hämtade, inklusive paket som återställs från CI-cachar, och tar fram en SBOM i CycloneDX eller SPDX med en fullständighetsstatus per jobb och per cache.

Efter bygget

• Proveniensdata kommer tillbaka från API:t tillsammans med SBOM:er och nätverksspårningar. CRACI signerar inte proveniens och gör inte anspråk på någon SLSA-nivå.
• Bevakning omvärderar SBOM:erna för det du har levererat när nya sårbarheter dyker upp, och säkerhetsteam triagerar fynd och skickar dem till teamen som äger åtgärden.
• Inventering visar exakt vilka programvaruversioner som är driftsatta i vilka produkter, globalt, så en ny sårbarhet kopplas direkt till produkterna som kör den berörda versionen.

Pris

I september 2026 är StepSecuritys Community-nivå gratis för obegränsat antal publika repon på GitHub-hostade runners. Enterprise-nivån kostar $16 per månad per bidragande utvecklare, det vill säga alla som har bidragit till ett skyddat repo under de senaste 90 dagarna, och inkluderar Dev Machine Guard och Secure Registry. Enbart Dev Machine Guard kostar $8 per enhet per månad. Privata repon och egenhostade runners kräver Enterprise, båda betalda nivåerna har en gratis provperiod på 14 dagar, och StepSecurity erbjuder volymrabatter. Harden-Runner skyddar runners du redan betalar för, så runnerminuter är en separat kostnad.

CRACI tar bara betalt för byggminuter: $0.002 per vCPU-minut ($0.004 för standardvalet 2 vCPU), mätt per sekund, utan månadsavgift. Eftersom CRACI är runnern täcker priset både beräkningskraften och bevisen. Se CRACI:s priser för aktuella villkor.

Vilken som passar

StepSecurity passar bättre när

• Du vill behålla GitHub-hostade runners, inklusive Windows och macOS.
• Du kör egenhostade runners, GitLab CI eller Azure DevOps.
• Du vill bevaka trafik i granskningsläge innan du blockerar något.
• Du behöver insyn på process- och filnivå för incidenthantering.
• Ditt open source-projekt körs på GitHub-hostade runners och behöver ett gratis alternativ.

CRACI passar bättre när

• Du vill ha runnern och egress-policyn på ett ställe, utan någon agent att driftsätta.
• Du behöver en SBOM på paketnivå från varje bygge, med en fullständighetsstatus.
• Du vill ha bevakning av det som levererats.
• Du behöver CRA-bevis, eller datalagring inom EU på CRACI:s Enterprise-plan.

Vad du avstår från när du flyttar jobb till CRACI

Rent ut sagt: CRACI har inget gransknings- eller övervakningsläge än (det finns på roadmapen), bevakar inte processer eller filskrivningar, körs inte på GitHub-hostade runners eller andra CI-system än (GitLab CI och Jenkins finns på roadmapen), har blocklistor för paket bara på sin roadmap, och dess varningar täcker bara policyöverträdelser, utan integration med Slack, Teams eller SIEM. Om det är dina prioriteringar täcker StepSecurity dem i dag.

StepSecuritys Secure Registry, Code Repo Security och Dev Machine Guard skyddar punkter som CRACI inte rör: registret dina paket kommer från, dina repon och utvecklarnas bärbara datorer. De är inte beroende av runnern, så de påverkas inte av var dina jobb körs.

För Cyber Resilience Act

Cyber Resilience Act kräver att tillverkare känner till komponenterna i sina produkter, hanterar sårbarheter i dem och sparar bevis. StepSecurity fokuserar på att förebygga och upptäcka attacker mot leveranskedjan, och dess insikter från körningen hjälper när du utreder en incident i CI. CRACI automatiserar en betydande del av den insyn i och de bevis om programvarans leveranskedja som företag behöver för sitt bredare arbete med CRA-efterlevnad: SBOM:er från bygget som exporteras som CycloneDX eller SPDX, sårbarhetsspårning och proveniens via API:t. Se CRA-bevis.

Läs mer om CI/CD-integration och SBOM-generering under bygget, eller boka en demo för att se ett jobb köras under en egress-policy på CRACI.

Frågor om StepSecurity, besvarade

Vad är StepSecurity?

StepSecurity är en plattform för säkerhet i mjukvarans leveranskedja. Dess mest kända produkt, Harden-Runner, är en agent som bevakar utgående nätverkstrafik, filintegritet och processaktivitet på CI/CD-runners och kan blockera utgående trafik utanför en tillåtelselista. Plattformen täcker också paketregister (Secure Registry), kodrepon (Code Repo Security), utvecklardatorer (Dev Machine Guard) och hotinformation.

Vad kostar StepSecurity?

I september 2026 är Community-nivån gratis för obegränsat antal publika repon. Enterprise kostar $16 per bidragande utvecklare per månad, där bidragande utvecklare är alla som har bidragit till ett skyddat repo under de senaste 90 dagarna, och inkluderar Dev Machine Guard och Secure Registry. Enbart Dev Machine Guard kostar $8 per enhet per månad. Båda betalda nivåerna har en gratis provperiod på 14 dagar, och runnerminuter är en separat kostnad.

Är Harden-Runner gratis?

Ja, för publika repon på GitHub-hostade runners. Privata repon och egenhostade runners, inklusive egenhostade runners för publika repon, kräver Enterprise-nivån. Agenten på Community-nivån har öppen källkod under Apache 2.0-licensen.

Vilka runners har Harden-Runner stöd för?

GitHub-hostade Linux-runners i gransknings- och blockeringsläge, GitHub-hostade Windows- och macOS-runners i granskningsläge och, på Enterprise, egenhostade virtuella maskiner, bare metal och Actions Runner Controller. StepSecurity listar också GitLab CI, Azure DevOps och tredjepartsrunners som Blacksmith, Depot och Namespace. Det stöds inte när ett helt jobb körs i en container på GitHub-hostade runners, eller på ubuntu-slim.

Vad är skillnaden mellan StepSecurity och CRACI?

Harden-Runner är en agent som du lägger till på runners du behåller. CRACI är runnern: dess egress-policy upprätthålls av runnerplattformen, valideras innan jobbet startar och blockerar vid fel, och varje jobb tar också fram en SBOM på paketnivå med en fullständighetsstatus. StepSecurity ligger före när det gäller granskningsläge, bevakning av processer och filer samt täckning av runners och CI.

Kan CRACI ersätta Harden-Runner?

För GitHub Actions-jobb på Linux, ja: att flytta ett jobb till CRACI ger det egress-kontroll från själva runnern, så ingen agent behövs på det jobbet. Du avstår från granskningsläge (på CRACI:s roadmap), bevakning av processer och filer samt täckning av GitHub-hostade runners, Windows, macOS och runners utanför GitHub.

Genererar StepSecurity en SBOM?

Harden-Runner registrerar destinationerna, processerna och filerna som ett jobb berörde, inte en SBOM på paketnivå för bygget. CRACI registrerar vilka paket varje jobb hämtade, inklusive paket som återställs från CI-cachar, och exporterar CycloneDX och SPDX.