A alternativa de ciclo de vida completo
às bibliotecas Chainguard

O Chainguard cria imagens de contêiner e de base minimizadas e fortificadas, que são recompiladas continuamente para se manterem livres de vulnerabilidades conhecidas (CVEs) e fornecidas com proveniência SLSA assinada. Em 2025, sua atuação se estendeu aos pacotes de linguagem com o Chainguard Libraries, que recompila pacotes de código aberto a partir do código-fonte. Sua profundidade e reputação são mais sólidas na camada de imagens de contêiner, onde é amplamente adotado por equipes de segurança especializadas em contêineres.

O Chainguard protege os pacotes logo na porta de entrada: ele os recompila a partir de um código-fonte limpo, de modo que o que você importa seja verificado. O SecureChain também faz isso e, além disso, continua protegendo esses pacotes enquanto eles estiverem em execução na sua pilha, com SLAs para correções de CVEs com prazos definidos, aplicação contínua de patches mesmo após o fim do suporte do desenvolvedor original e verificação contra malware. O ponto forte do Chainguard está nas imagens de contêineres reforçadas; o do SecureChain está em manter suas dependências de código aberto protegidas ao longo de todo o ciclo de vida delas em produção.

Isso depende do problema que você está resolvendo. Para a segurança da cadeia de suprimentos de pacotes de linguagem, o SecureChain pode funcionar de forma independente. Para imagens de contêineres reforçadas, ele não substitui o Chainguard. Mantenha o Chainguard para essa camada e adicione o SecureChain para proteger suas dependências de código aberto.

Sim, e é uma divisão bem definida. O Chainguard protege o contêiner e a camada do sistema operacional; o SecureChain protege a camada de dependências do aplicativo. As informações de SBOM e de proveniência de ambos podem ser consolidadas para a elaboração de relatórios de conformidade.

A SecureChain se compromete com um SLA de correção de CVEs para bibliotecas ativas e para versões em fim de vida, independentemente do nível de gravidade, mesmo quando o desenvolvedor original não disponibiliza uma correção. A Chainguard Libraries não publica um SLA com prazos definidos; sua política de CVEs se compromete apenas com “esforços comercialmente razoáveis”.

A maioria das bibliotecas é atualizada de forma silenciosa. Quando uma nova versão principal é lançada, a versão mais antiga que você ainda está usando deixa de receber correções sem alarde, sem nenhum aviso formal de fim de vida útil (axios, requests, urllib3, Guava). As vulnerabilidades (CVEs) então se acumulam exatamente na versão que você está usando.

O SecureChain continua aplicando patches nas versões que você executa sob o SLA, independentemente de o desenvolvedor original anunciar ou não o fim do ciclo de vida. O backporting equivalente do Chainguard abrange apenas CVEs de risco alto e crítico para um subconjunto de bibliotecas de Python, Java e JavaScript.

O preço do Chainguard Libraries é calculado por desenvolvedor por ecossistema; portanto, os custos aumentam à medida que sua equipe cresce e você adiciona linguagens. O SecureChain é vendido como uma única licença corporativa, e não por usuário, com novos ecossistemas incluídos à medida que forem lançados durante o período de vigência do contrato. Como a comparação correta depende da sua pilha de tecnologias e do tamanho da sua equipe, solicite um orçamento específico para a sua pilha antes de tomar uma decisão.

Atualmente, no que diz respeito aos pacotes de linguagens, o Chainguard Libraries oferece cobertura mais ampla: JavaScript, Python e Java, com Go e .NET em acesso antecipado. O SecureChain agora cobre JavaScript (npm), com Java e Python previstos para o 4º trimestre de 2026, e Go e PHP para o 1º trimestre de 2027. O foco do SecureChain é a profundidade por ecossistema, com um SLA de correção contínua de CVEs em todos os pacotes. Quanto às imagens de contêiner, a Chainguard oferece cobertura muito mais ampla; o SecureChain não oferece imagens de contêiner reforçadas.

Para as bibliotecas do Chainguard, a migração consiste principalmente em redirecionar o registro e reverificar os atestados de proveniência. Se você também utiliza as imagens de contêiner do Chainguard, planeje uma avaliação mais longa que mapeie seu catálogo de imagens, já que o SecureChain não abrange essa camada. Entre em contato conosco para obter um plano de migração específico para sua pilha de tecnologia.

A TuxCare protege o software de código aberto no qual o mundo se baseia. Atualmente, protegemos mais de 1,2 milhão de cargas de trabalho, ajudando as organizações a se manterem seguras, em conformidade e resilientes em grande escala. Oferecemos segurança e suporte de nível empresarial em toda a pilha de código aberto — desde pacotes e bibliotecas até ambientes de execução, aplicativos e sistemas operacionais.

O SecureChain protege pacotes de código aberto nos principais ecossistemas, desde antes da instalação até o período pós-fim de vida útil (EOL). O Suporte de Ciclo de Vida Ilimitado amplia a aplicação de patches de segurança para versões de código aberto sem suporte, das quais sua equipe ainda depende. Nossas soluções de aplicação de patches sem reinicialização permitem que as organizações implementem correções críticas sem tempo de inatividade ou interrupções, enquanto nosso suporte corporativo para o Linux comunitário oferece às equipes recursos de alto nível, orientação especializada e confiança de longo prazo em sua infraestrutura de código aberto.

Além disso, nossa organização irmã, a Imunify, é uma das maiores plataformas de detecção de malware do lado do servidor no setor de hospedagem e foi desenvolvida com base em anos de experiência em pesquisa de malware. O SecureChain se baseia nessa mesma experiência em correções de vulnerabilidades e pesquisa de malware, aplicada às bibliotecas de código aberto das quais suas aplicações dependem.