Srovnání nástrojů a platforem CI/CD

Pro koho je tato stránka

Vybíráte platformu CI/CD nebo přehodnocujete tu, kterou máte, a na seznamu se objevila nová otázka. Zákazník, auditor nebo evropský Cyber Resilience Act se ptá, co se dostalo do každého vydání. Každá zdejší platforma vaše buildy spustí. Rozdíl je v tom, odkud tyto důkazy pocházejí a kolik z nich musíte sestavit sami.

CRACI je na této stránce právě z tohoto důvodu, a není to platforma CI. Je to runner pro GitHub Actions: GitHub Actions si ponecháte a změníte runs-on na craci. CRACI dnes podporuje pouze GitHub Actions, GitLab CI a Jenkins jsou v plánu vývoje. Pipeline GitLab CI, CircleCI a Buildkite na něm neběží. CRACI vyvíjíme my, berte to proto v úvahu; ostatní produkty popisujeme podle jejich vlastní dokumentace.

Odkud by měla SBOM pocházet?

Platforma ji může získat ze tří míst.

1. Z repozitáře. Platforma parsuje manifesty a lockfily. Takto funguje graf závislostí GitHubu i skenování závislostí GitLabu založené na SBOM. Je vždy zapnuté, levné na provoz a popisuje to, co projekt deklaruje. Nevidí instalační skripty, stažené toolchainy ani balíčky obnovené z cache a export GitHubu odráží výchozí větev, nikoli zafixovaný commit.
2. Z nástroje, který přidáte do pipeline. Generátor SBOM spouštíte jako krok, přes orb CircleCI nebo na svých agentech Buildkite. Je to flexibilní a výsledek závisí na nástroji a jeho konfiguraci: každý generátor čte jinou sadu souborů a vyhodnocuje je jinak, takže dva generátory nasměrované na stejný čistý checkout nevrátí stejný seznam komponent. CRACI v tomto smyslu srovnávat nelze, protože buildy zaznamenává, a neskenuje adresář.
3. Z runneru, který build sledoval. SBOM se zaznamenává z provozu, který job během běhu vytvořil. To dělá CRACI.

U původu platí stejné rozdělení. Atestace artefaktů na GitHubu, krok, který přidáte do workflow, poskytují SLSA v1.0 Build Level 2, nebo Level 3 s opakovaně použitelnými workflow. GitLab Runner umí ve všech úrovních vygenerovat prohlášení o původu podle SLSA 1.0. Buildkite Package Registries umí v plánech Enterprise publikovat původ SLSA, který podle Buildkite splňuje Build Level 1. API CRACI vrací údaje o původu z runneru, který job sledoval, nepodepsané a bez úrovně SLSA.

Na první pohled

Sloupec GitHub Actions zahrnuje funkce platformy GitHub, které s ním týmy používají: graf závislostí, Dependabot, atestace artefaktů a GitHub Advanced Security. Ceny jsou ke září 2026.

Platformy

CRACI, bezpečný runner pro GitHub Actions

CRACI nahrazuje runner, ne GitHub Actions. Nainstalujte aplikaci CRACI GitHub App a změňte runs-on; běhy se dál zobrazují v rozhraní GitHubu. Zatímco každý job běží, proxy, která rozumí balíčkům, zaznamenává, co stáhl, včetně balíčků obnovených z cache CI, a vytváří SBOM ve formátu CycloneDX nebo SPDX se stavem úplnosti pro každý job a každou cache. Politiky odchozího provozu se ověřují před spuštěním jobu a při selhání vše zablokují (fail-closed). Nejlepší pro týmy na GitHub Actions, které dodávají software a potřebují důkazy o každém vydání. Pozor na to, že dnes podporuje pouze GitHub Actions a Linux (GitLab CI, Jenkins, Windows a macOS jsou v plánu vývoje) a nenabízí SAST ani skenování tajných klíčů.

Generování SBOM v době buildu

GitHub Actions

CI/CD vestavěné do GitHubu, s hostovanými runnery pro Linux, Windows a macOS a self-hosted runnery pro vaše vlastní stroje. Plány zahrnují 2 000 až 50 000 minut měsíčně a standardní 2jádrový linuxový runner stojí ke září 2026 $0.006 za minutu. Kolem toho stojí graf závislostí, upozornění a bezpečnostní aktualizace Dependabot, atestace artefaktů a placené produkty GitHub Secret Protection a GitHub Code Security. Nejlepší pro kód, který už je na GitHubu. Pozor na SBOM, která popisuje repozitář, ne build, pokud si generátor nepřidáte sami.

CRACI vs runnery hostované na GitHubu a CRACI a GitHub Advanced Security

GitLab CI

Součást kompletní platformy DevSecOps: správa verzí, merge requesty, plánování a CI/CD v jednom produktu. Základní SAST, detekce tajných klíčů a skenování kontejnerů běží ve všech úrovních; Ultimate přidává skenování závislostí, průběžné skenování zranitelností, DAST a report zranitelností. Hostované runnery pokrývají Linux na x86-64 a arm64, Windows a macOS jsou v betě. Ke září 2026 zahrnuje Free 400 výpočetních minut a Premium stojí $29 za uživatele měsíčně při ročním účtování. Nejlepší pro jednoho dodavatele pro celý životní cyklus. Pozor na detekci závislostí z lockfilů a podepsané atestace SLSA Level 3, které GitLab uvádí jako experiment.

CRACI vs GitLab CI

CircleCI

Vyspělá, flexibilní hostovaná platforma CI/CD, která se připojuje ke GitHubu, GitLabu a Bitbucketu. Spouští joby na třídách prostředků Docker, Linux, Arm, Windows, macOS a GPU a nabízí self-hosted runnery pro vaše vlastní stroje. Cache vrstev Dockeru je ve všech plánech a rozdělování testů rozkládá sady testů mezi paralelní executory podle dat o době běhu. Její doporučení k dodavatelskému řetězci se soustředí na ochranu přihlašovacích údajů pomocí contexts a OIDC. Ke září 2026 zahrnuje plán Free 30 000 kreditů měsíčně. Nejlepší pro smíšené platformy a velké sady testů. Pozor na SBOM a skenování, které pocházejí z orbů a nástrojů, jež připojíte.

CRACI vs CircleCI

Buildkite

Hybridní platforma: SaaS řídicí rovina Buildkite orchestruje a agenti, kteří spouštějí joby, běží na vaší vlastní infrastruktuře, takže zdrojový kód a tajné klíče zůstávají ve vašem prostředí. K dispozici jsou i hostovaní agenti, ke září 2026 za $0.004 za vCPU-minutu na Linuxu. Podepsané pipeline umožňují agentům odmítnout joby změněné po nahrání a Test Engine řeší nestabilní testy a rozdělování testů. Nejlepší pro buildy, které musí běžet na vašem vlastním hardwaru nebo ve vaší síti. Pozor na bezpečnost buildu, kterou navrhujete sami: vlastní doporučení Buildkite radí vynucovat na agentech přísnou kontrolu odchozího provozu.

CRACI vs Buildkite

Kam zapadá CRACI

CRACI je doplněk ke GitHub Actions, ne náhrada platformy CI. Na GitHubu je běžné nastavení GitHub Advanced Security a Dependabot u každého pull requestu a CRACI jako runner, který zaznamenává každý build a vynucuje politiku odchozího provozu. Monitorované SBOM se znovu vyhodnocují, jakmile se objeví nové zranitelnosti, a exportují se ve formátu CycloneDX nebo SPDX včetně zranitelností. Automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firmy potřebují pro svůj širší proces souladu s Cyber Resilience Act.

Pokud jsou vaše pipeline na GitLab CI, CircleCI nebo Buildkite, použití CRACI znamená převést je na GitHub Actions. GitLab CI a Jenkins jsou v plánu vývoje. CRACI není správná volba, když:

• Chcete jednu platformu pro kód, plánování, CI i skenování. Na to je stavěný GitLab.
• Buildy musí běžet na vašem vlastním hardwaru nebo ve vaší síti. Hodí se Buildkite a self-hosted runnery; CRACI je dnes spravovaná služba a runnery hostované u zákazníka jsou pro Enterprise v plánu vývoje.
• Potřebujete buildy pro Windows, macOS nebo s GPU. CRACI dnes podporuje pouze Linux; Windows a macOS jsou v plánu vývoje.
• Potřebujete zdokumentovanou úroveň SLSA už dnes. Tu poskytují atestace artefaktů na GitHubu.

Podívejte se na ceník CRACI a integraci CI/CD.

CRACI ve srovnání s jednotlivými nástroji

• CRACI vs Runnery hostované na GitHubu Stejné workflow, rychlejší buildy, nižší cena.
• CRACI vs GitLab CI Skenery platformy DevSecOps vs runner, který zaznamenává.
• CRACI vs CircleCI Hostované CI vs důkazy z doby buildu.
• CRACI vs Buildkite Vlastní (self-hosted) agenti vs runnery, které zaznamenávají buildy.
• CRACI vs Blacksmith Rychlé runnery vs CI se zabudovanou bezpečností dodavatelského řetězce.
• CRACI vs Depot Zrychlení buildů vs důkazy z buildů.
• CRACI vs Namespace Rychlá infrastruktura CI vs runnery, které zaznamenávají buildy.
• CRACI vs WarpBuild Rychlé runnery a BYOC vs runnery s důkazy.
• CRACI vs RunsOn Runnery ve vašem účtu AWS vs runnery, které zaznamenávají buildy.
• CRACI vs Ubicloud Levné runnery vs CI se zabudovanou bezpečností dodavatelského řetězce.
• CRACI vs Avrea Observabilita CI vs důkazy z doby buildu.
• CRACI vs Harness Skeny SBOM v pipeline vs runner, který build zaznamenává.
• CRACI vs Northflank Platforma pro build a nasazení vs runner, který zaznamenává buildy.
• CRACI vs Jenkins CI server, který provozujete sami, vs spravované runnery, které zaznamenávají buildy.
• CRACI vs Azure Pipelines Paralelní joby vs runnery účtované po minutách s důkazy z buildu.

Vedle sebe

Několik nástrojů na jedné stránce, když vybíráte kategorii, ne jeden produkt.

• Srovnání: Runnery GitHub Actions Hostované na GitHubu, CRACI, Blacksmith, Depot, Namespace a WarpBuild vedle sebe.