CRACI vs Blacksmith CI

Stručná odpověď

Blacksmith je služba spravovaných runnerů pro GitHub Actions, postavená na rychlost a nízké náklady: runnery s Linuxem, Windows a macOS na bare-metal hardwaru, cache závislostí umístěná u runnerů, cache vrstev Dockeru na trvalých discích a observabilita CI. Pokud je vaším jediným cílem rychlejší a levnější GitHub Actions, je Blacksmith silnou volbou: jeho ceníková cena na x64 je stejná jako u CRACI, cena na ARM je nižší a zahrnuje 3 000 bezplatných minut x64 měsíčně.

CRACI je CI, které nativně řeší bezpečnost dodavatelského řetězce. Je to také runner kompatibilní s GitHub Actions a přechod je stejná změna na jednom řádku, ale bezpečnost je součástí runneru, ne nástrojem přidaným k němu. CRACI zaznamenává každou externí závislost, kterou build stáhl, vynucuje politiku odchozího provozu v síti buildu a z tohoto záznamu vytváří SBOM, monitorování zranitelností a důkazy pro CRA. Oba produkty soutěží o stejný rozpočet na runnery, takže si vyberete jeden.

Přehled

V čem je Blacksmith dobrý

Důraz na výkon. Blacksmith spouští joby na bare-metal strojích s vysokým jednojádrovým výkonem, uvádí, že jeho runnery jsou dvakrát rychlejší než runnery hostované na GitHubu, a že jeho cache umístěná u runnerů stahuje zhruba čtyřikrát rychleji. U buildů Dockeru uvádí, že zákazníci zaznamenali díky cache vrstev zlepšení 2x až 40x. Jde o čísla Blacksmith; skutečným testem je vaše vlastní pipeline.

Cache bez změn workflow. Oficiální akce GitHubu pro cache a setup komunikují s cache Blacksmith transparentně, s 25 GB bezplatného úložiště na repozitář týdně a vyřazováním nejdéle nepoužitých položek po sedmi dnech. Sticky disky a cache vrstev Dockeru uchovávají stav mezi běhy za $0.50 za GB měsíčně a dokumentace pokrývá také cache pro Bazel, Git checkout a image kontejnerů.

Pokrytí platforem. Blacksmith nabízí Ubuntu 22.04 a 24.04 na x64 a ARM od 2 do 32 vCPU, Windows Server 2025 ve veřejné betě a macOS na Apple M4 ve velikostech 6 a 12 vCPU. Nestanovuje žádné limity souběžnosti. CRACI je dnes jen pro Linux, Windows a macOS jsou v plánu vývoje, takže u těchto jobů Blacksmith pokrývá oblast, kterou CRACI zatím ne.

Ladění a analytika. Přístup přes SSH do běžících jobů, historie běhů, vyhledávání v logách, metriky, monitory, analytika testů a dashboard CI jsou zdokumentované funkce. Testboxes, které spouštějí lokální změny uvnitř skutečného jobu GitHub Actions, jsou v rané betě.

Bezpečnost a soulad samotné služby. Joby běží v dočasných Firecracker microVM a každý job dostává token just-in-time omezený na tento job, který po jedné hodině vyprší. Blacksmith uvádí, že splňuje SOC 2 Type 2 a GDPR a každé čtvrtletí prochází penetračními testy.

Cena a velikosti

Na x64 mají oba stejnou ceníkovou cenu, $0.004 za minutu 2 vCPU. Cena Blacksmith na ARM je zřetelně nižší, protože CRACI účtuje ARM64 stejnou sazbou jako x86-64, a Blacksmith zahrnuje 3 000 bezplatných minut x64 měsíčně. CRACI účtuje po sekundách, zaokrouhleno na nejbližší sekundu, takže krátké joby platí jen za sekundy, po které běží. Liší se i konfigurace: výpočetní jednotka CRACI je 1 vCPU se 3 GB RAM, od 1 do 32 jednotek, zatímco runnery Blacksmith x64 mají 4 GB na vCPU a jeho runnery ARM 3 GB. Než začnete porovnávat ceny, zohledněte paměť, kterou vaše buildy potřebují. Aktuální podmínky najdete v ceníku CRACI.

Rychlost není to, v čem se oba liší nejvíc. Oba uvádějí, že jejich runnery jsou zhruba dvakrát rychlejší než runnery hostované na GitHubu. CRACI toho dosahuje rychlejším hardwarem, kratšími frontami a cache. Navzájem jsme je neporovnávali benchmarkem.

V čem je CRACI jiné

Záznam toho, co build stáhl

Během každého jobu zaznamenává proxy, která rozumí balíčkům, provoz ke zdrojům balíčků: npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a zdroje Git a také předvolby pro stahování. Důkazy o závislostech putují spolu s cache CI, takže balíčky obnovené z cache se stále započítají. Každý job vytvoří SBOM v CycloneDX nebo SPDX se stavem úplnosti pro každý job a každou cache: Complete, Complete with connections, Incomplete, Unavailable nebo Not recorded.

Kontrola nad tím, kam se build může připojit

Statické IP adresy Blacksmith dávají vašim runnerům pevnou adresu pro přístup ke službám za firewallem. CRACI také poskytuje stabilní rozsah odchozích IP adres a přidává politiky odchozího provozu: výchozí zákaz nebo výchozí povolení, 24 vestavěných předvoleb softwarových zdrojů, typované vlastní zdroje a explicitní pravidla pro TLS, TCP, UDP a ICMP. Politiky se ověřují před spuštěním jobu, při selhání vše zablokují a při porušení pošlou výstrahu.

Původ a monitorování

API vrací SBOM, síťové záznamy a údaje o původu. CRACI agreguje zranitelnosti napříč buildy a repozitáři a průběžně znovu vyhodnocuje monitorované SBOM.

Dvě různé bezpečnostní otázky

Bezpečnostní práce Blacksmith odpovídá na otázku „lze službě runnerů bezpečně svěřit moje joby?“: izolované microVM, krátkodobé tokeny, šifrované cache a report SOC 2. CRACI na tuto otázku odpovídá také, izolovanými virtuálními stroji a bez ukládání zdrojového kódu, a pak na druhou: „co tento build stáhl a kam se připojil?“ Právě tuto druhou odpověď po vás chce auditor, zákazník nebo Cyber Resilience Act.

Rezervujte si demo a prohlédněte si SBOM, síťový záznam a údaje o původu z jednoho ze svých vlastních workflow.

Co se hodí

Blacksmith se hodí lépe, když

• Hlavním cílem je rychlost buildu a nejnižší cena za minutu na ARM, nebo když vám záleží na bezplatných měsíčních minutách.
• Potřebujete runnery s macOS nebo Windows už dnes.
• Spoléháte na sticky disky, konzoli observability Blacksmith nebo ladění přes SSH.

CRACI se hodí lépe, když

• Dodáváte software, u kterého musíte doložit, co vstoupilo do každého vydání, přímo ze samotného buildu.
• Chcete omezit, kam se buildy mohou připojit, politikou, která při selhání vše zablokuje.
• Potřebujete monitorovat, co bylo vydáno, aniž byste přidávali nástroje do každého workflow.
• Potřebujete uložení dat v EU, dostupné v plánu Enterprise od CRACI.

Čeho se s CRACI vzdáváte. Jobů s Windows a macOS, které jsou v plánu vývoje, nejnižší ceny na ARM a nástrojů Blacksmith pro ladění a analytiku. Získáte záznam buildu, který mohou bezpečnost a compliance využít bez dalšího skeneru v pipeline.

Pro Cyber Resilience Act

Evropský Cyber Resilience Act očekává, že výrobci budou vědět, co obsahuje každé vydání, a budou řešit jeho zranitelnosti, s povinnostmi podávání zpráv od září 2026 a plnou použitelností od prosince 2027. Rychlý runner takové důkazy sám nevytvoří; museli byste do svých workflow přidat nástroje pro SBOM a skenování. CRACI je vytváří ze záznamu buildu a exportuje SBOM jako CycloneDX nebo SPDX, včetně zranitelností. Automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firmy potřebují pro svůj širší proces souladu s CRA.

Přechod z Blacksmith

CRACI nahrazuje runner, ne GitHub Actions. Workflow i rozhraní GitHubu zůstávají stejné a štítek jobu se změní na runs-on: craci. Joby dostanou Docker Engine, Buildx a Compose v2, image Ubuntu 24.04 kompatibilní s GitHubem a vnořenou virtualizaci na x86-64. Přečtěte si více o integraci CI/CD a generování SBOM z doby buildu. Startupy se mohou přihlásit do startupového programu.

O cache, politikách důvěry OIDC, seznamech povolených IP adres a záložním řešení se dočtete v článku jak změnit poskytovatele runnerů GitHub Actions. Chcete-li spouštět buildy na evropské infrastruktuře, podívejte se na evropské runnery GitHub Actions.

Blacksmith vs CRACI: časté dotazy

Ceny, rychlost, platformy a bezpečnost, zodpovězené podle zveřejněných informací každého dodavatele

Co je Blacksmith CI?

Blacksmith je služba spravovaných runnerů pro GitHub Actions. Ponecháte si své workflow, změníte štítek runneru a vaše joby běží na bare-metal strojích Blacksmith ve Firecracker microVM místo na runnerech hostovaných na GitHubu. Láká na rychlost a cenu: rychlejší hardware, cache závislostí umístěnou u runnerů, cache vrstev Dockeru a observabilitu CI.

Kolik Blacksmith stojí?

K září 2026 Blacksmith uvádí Ubuntu x64 se 2 vCPU za $0.004 za minutu, Ubuntu ARM za $0.0025, Windows za $0.008 a macOS M4 (6 vCPU) za $0.08. Každá organizace dostává 3 000 bezplatných minut 2 vCPU x64 měsíčně. Cache vrstev Dockeru a sticky disky stojí $0.50 za GB měsíčně a statické IP adresy $100 za IP měsíčně.

Je Blacksmith levnější než CRACI?

Na ARM ano; na x64 je ceníková cena stejná. CRACI účtuje $0.004 za minutu za 2 vCPU na x86-64 i ARM64, oproti $0.004 na x64 a $0.0025 na ARM u Blacksmith, a Blacksmith zahrnuje 3 000 bezplatných minut x64 měsíčně. CRACI účtuje po sekundách, takže krátké joby platí jen za sekundy, po které běží. Co CRACI přidává k runneru, je záznam buildu: SBOM pro každý job, politika odchozího provozu, údaje o původu přes API a monitorování zranitelností, na které byste jinak potřebovali samostatné nástroje.

Je Blacksmith rychlejší než CRACI?

Oba uvádějí, že jejich runnery jsou zhruba dvakrát rychlejší než runnery hostované na GitHubu. CRACI toho dosahuje rychlejším hardwarem, kratšími frontami a cache. Navzájem jsme je neporovnávali benchmarkem, takže spusťte stejný workflow na obou a porovnejte.

Generuje Blacksmith SBOM nebo údaje o původu buildu?

Není to mezi jeho zdokumentovanými funkcemi. Blacksmith se soustředí na výpočetní výkon, cache a observabilitu. CRACI zaznamenává balíčky, které každý job stáhne, včetně balíčků obnovených z cache, a vytváří SBOM v CycloneDX nebo SPDX se stavem úplnosti. API vrací SBOM, síťové záznamy a údaje o původu.

Dokáže Blacksmith omezit, kam se build může v síti připojit?

Blacksmith nabízí statické IP adresy, aby se vaše joby dostaly ke službám za firewallem z pevné adresy. Politika toho, kam se smí připojit samotný job, mezi jeho zdokumentovanými funkcemi není. CRACI vynucuje politiku odchozího provozu přímo v runneru: výchozí zákaz nebo povolení, 24 vestavěných předvoleb softwarových zdrojů, ověření před spuštěním jobu a fail-closed při selhání.

Podporuje CRACI runnery s Windows nebo macOS?

Zatím ne. CRACI dnes provozuje Linux na x86-64 a ARM64, Windows a macOS jsou v plánu vývoje. Blacksmith nabízí macOS na Apple M4 a Windows Server 2025 ve veřejné betě.

Kde joby běží a mohou data zůstat v EU?

Blacksmith spouští joby na bare-metal strojích v regionech US East, US West, Amsterdam a Frankfurt, s řídicí vrstvou na AWS. CRACI spouští buildy na evropské bare-metal infrastruktuře, s uložením dat v EU v plánu Enterprise. CRACI neukládá váš zdrojový kód; ten se zpracovává ve VM jobu po dobu buildu.

Splňuje Blacksmith SOC 2?

Blacksmith uvádí, že splňuje SOC 2 Type 2 a GDPR a každé čtvrtletí prochází penetračními testy. CRACI dokumentuje své bezpečnostní kontroly ve svém Trust Center.

Musím při přechodu přepsat své workflow GitHub Actions?

Ne. Oba produkty nahrazují runner, ne GitHub Actions. Workflow, spouštěče a rozhraní GitHubu zůstávají stejné; na CRACI se štítek jobu změní na runs-on: craci.