CRACI vs. Avrea

Det korte svar

Avrea er en hostet runner-tjeneste til GitHub Actions, fra Helsinki ligesom CRACI, bygget til hastighed og til at se ind i dit CI: Linux-, Windows- og macOS-runnere, automatisk caching af afhængigheder, logsøgning, runtime-målinger, detektion af ustabile tests og SSH ind i kørende jobs. Er dit mål hurtigere pipelines og at forstå, hvorfor de er langsomme, går Avreas observability længere end CRACI's, og Avrea dækker Windows og macOS i dag.

CRACI er CI med indbygget sikkerhed for forsyningskæden. Avrea har også tilføjet sikkerhedsfunktioner: en egress-firewall på Enterprise-planen og, som preview, en SBOM for repositoriet. Forskellen er, hvor dokumentationen kommer fra. CRACI registrerer hver ekstern afhængighed, buildet faktisk hentede, håndhæver en egress-politik, der blokerer ved fejl (fail closed), og bliver ved med at overvåge det, der er leveret, for nye sårbarheder. Begge produkter erstatter den runner, dine jobs kører på, så du vælger ét af dem.

Overblik

Hvad Avrea gør godt

CI-observability. Avrea indsamler CPU-, hukommelses- og netværksmålinger for hvert job uden en agent, søger i logs på tværs af alle jobs og repositories, adskiller ustabile tests fra reelle fejl og viser cache-hitrater, langsomme workflows og forbrug over tid. SSH ind i et kørende job fungerer fra terminalen eller webkonsollen, med en frist, efter at jobbet er afsluttet. Alt det er inkluderet i alle planer.

Hastighed og caching. Avreas runnere kører på dedikeret hardware med høje clockfrekvenser og lokalt NVMe-lager, og afhængigheder caches automatisk, tæt på runnerne, efter det første build. Avrea siger, at deres runnere er tre gange hurtigere, og endnu hurtigere med en varm cache. Det er Avreas egne tal; din egen pipeline er den rigtige test.

Platformdækning. Avrea tilbyder Ubuntu på x86-64 fra 1 til 32 vCPU, Linux ARM64 og macOS 26 på Apple M5 Max-hardware samt Windows 2025. CRACI er kun Linux i dag, med Windows og macOS på roadmappen. Avrea siger, at det understøtter GitHub Actions i dag og planlægger at tilføje andre platforme som GitLab; hos CRACI er GitLab CI og Jenkins på roadmappen.

Sikkerhed i tjenesten og en egress-firewall. Jobs kører i midlertidige VM'er, caches er isoleret pr. repository og krypteret, og Avrea er ISO 27001:2022-certificeret og SOC 2 Type 2-attesteret. Dets egress-firewall, angivet på Enterprise-planen, tillader eller afviser destinationer efter domæne, CIDR, protokol og port, håndhæves på både IP og DNS og giver hver kørsel en oversigt over, hvor den oprettede forbindelse til, og hvad der blev blokeret.

Pris og størrelser

På x86-64 er listeprisen den samme, $0.004 pr. minut med 2 vCPU og $0.064 med 32 vCPU, og Avreas runnere har mere hukommelse: 4 GB pr. vCPU mod CRACI's 3 GB. På ARM64 vender billedet. Avreas ARM64-runnere kører på Apple M5 Max-hardware til $0.012 pr. minut med 2 vCPU, tre gange CRACI's ARM64-takst: CRACI tager de samme $0.004 som på x86-64. CRACI måler pr. sekund, afrundet til nærmeste sekund, mens Avrea måler pr. minut, så korte jobs på CRACI afregnes for de sekunder, de kører. Se CRACI's priser for de aktuelle vilkår.

Hvor CRACI er anderledes

En SBOM over det, buildet hentede, ikke det, repositoriet deklarerer

Avreas SBOM læser afhængighedsmanifester og lockfiles på default-branchen uden at køre koden og angiver produktionsafhængigheder. Det er et nyttigt inventar over, hvad repositoriet deklarerer. CRACI's kommer fra selve buildet: Mens hvert job kører, registrerer en pakkebevidst proxy trafikken til pakkekilderne, npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder samt download-presets. Den omfatter pakker gendannet fra caches og de skjulte afhængigheder, som ingen lockfile angiver, såsom kode downloadet af install-hooks eller build-scripts, og lag fra base-images. Hvert job producerer en CycloneDX- eller SPDX-SBOM med en fuldstændighedsstatus.

Det betyder noget, fordi builds ikke er reproducerbare som standard: Samme commit bygget to gange kan hente forskellige pakker. Kun en SBOM taget fra det build, der producerede releasen, viser, hvad der er i den.

Egress-politik: en fair sammenligning

Begge produkter kan begrænse et build til en allow list og afvise alt andet. Avrea er foran på synlighed: Dets oversigt pr. kørsel nævner de vigtigste destinationer, de sendte bytes og de DNS-opslag, det afviste. CRACI's politik opdeler sine kilder efter pakkeøkosystem og protokol, med 24 indbyggede presets for softwarekilder og brugerdefinerede kilder til npm, PyPI, apt, apk, Go-proxyen, Nix, Cargo, OCI-registries og Git over HTTPS og SSH, valideres, før jobbet starter, blokerer ved fejl (fail closed) og sender en alarm ved et brud. Og det samme job, der kører under politikken, producerer også registreringen af de pakker, det hentede.

Provenance og overvågning

API'et returnerer SBOM'er, netværkstraces og provenance. CRACI samler sårbarheder på tværs af builds og repositories, bliver ved med at genvurdere overvågede SBOM'er og viser, hvilke tidligere builds der indeholdt en sårbar afhængighed.

Book en demo for at se SBOM, netværkstrace og provenance fra et af dine egne workflows.

Hvilken passer bedst

Avrea passer bedre, når

• Hurtigere pipelines og indsigt i langsomme jobs, ustabile tests og cache-adfærd er hovedmålene.
• Du har brug for macOS- eller Windows-runnere i dag.
• Du vil have 3.000 gratis minutter om måneden; på x86-64 angiver de to samme pris pr. minut.
• Du har brug for SOC 2 fra din runner-leverandør.

CRACI passer bedre, når

• Du leverer software, hvor du skal vise, hvad der gik ind i hver release, ud fra selve buildet.
• Du vil have en egress-politik, der er opdelt efter pakkekilde, valideres, før jobbet starter, og blokerer ved fejl (fail closed).
• Du har brug for overvågning af det, der er leveret, for nye sårbarheder.
• Dine builds kører på ARM64, hvor CRACI's takst er en tredjedel af Avreas.

Hvad du giver afkald på med CRACI. Avreas CI-analyse- og debugging-værktøjer, Windows- og macOS-runnere, som er på CRACI's roadmap, og 3.000 gratis minutter om måneden. Det, du får, er en build-registrering, som sikkerhed og compliance kan bruge uden endnu en scanner i pipelinen.

Til Cyber Resilience Act

EU's Cyber Resilience Act forventer, at producenter ved, hvad der er i hver release, og håndterer dens sårbarheder, med rapporteringsforpligtelser fra september 2026 og fuld anvendelse fra december 2027. Et inventar over afhængigheder fra repositoriet er en start. CRACI producerer SBOM'en fra det build, der lavede releasen, overvåger den for nye sårbarheder og eksporterer den som CycloneDX eller SPDX, inklusive sårbarheder. Det automatiserer en væsentlig del af den indsigt i og dokumentation for softwareforsyningskæden, som virksomheder har brug for i deres bredere proces for CRA-compliance.

Skift fra Avrea

CRACI erstatter runneren, ikke GitHub Actions. Workflows og GitHubs brugerflade forbliver de samme, og jobbets label bliver runs-on: craci. Jobs får Docker Engine, Buildx og Compose v2, et GitHub-kompatibelt Ubuntu 24.04-image og nested virtualization på x86-64. Læs mere om CI/CD-integration og SBOM-generering under buildet. Startups kan søge om at komme med i startup-programmet.

Avrea vs. CRACI: ofte stillede spørgsmål

Priser, hastighed, SBOM'er og egress-kontrol, besvaret ud fra hver leverandørs offentliggjorte oplysninger

Hvad er Avrea?

Avrea er en hostet runner-tjeneste til GitHub Actions, bygget i Helsinki af Hannu Valtonen, medstifter af Aiven, og Juha Valvanne, medstifter af Nosto. Du ændrer runner-labelen, og dine jobs kører på Avreas midlertidige VM'er med automatisk caching, logsøgning, runtime-målinger og SSH-debugging. Avrea blev lanceret i maj 2026 med $4.7 millioner i pre-seed-funding anført af Earlybird.

Hvad koster Avrea?

Pr. september 2026 tager Avrea betaling pr. runner-minut uden månedligt gebyr: $0.004 pr. minut for en x86-64-runner med 2 vCPU, $0.012 for ARM64 med 2 vCPU på Apple M5 Max, $0.008 for Windows med 2 vCPU og $0.08 for macOS med 8 vCPU. Hver organisation får 3.000 gratis minutter med 2 vCPU om måneden. Statiske IP'er koster $100 pr. IP pr. måned, og egress-firewallen er angivet på Enterprise-planen.

Er Avrea billigere end CRACI?

Det afhænger af arkitekturen. På x86-64 med 2 vCPU angiver begge $0.004 pr. minut, og Avreas runner har mere hukommelse. På ARM64 med 2 vCPU er CRACI billigere: de samme $0.004 mod Avreas $0.012, en tredjedel af prisen. CRACI måler pr. sekund og Avrea pr. minut, så korte jobs koster relativt mindre på CRACI. Avrea inkluderer også 3.000 gratis minutter om måneden; CRACI har intet gratis niveau, men driver et startup-program.

Er Avrea hurtigere end CRACI?

Avrea siger, at deres runnere er tre gange hurtigere, og endnu hurtigere med deres cache. CRACI kører builds omkring dobbelt så hurtigt som GitHub-hostede runnere takket være hurtigere hardware, kortere køtider og caching. Vi har ikke benchmarket de to mod hinanden, så kør det samme workflow på begge, og sammenlign.

Avrea har nu SBOM'er. Hvordan er CRACI's anderledes?

Avrea genererer en SBOM for repositoriet ved statisk at analysere afhængighedsmanifester og lockfiles på default-branchen, kun med produktionsafhængigheder, i CycloneDX og SPDX. Den beskriver, hvad repositoriet deklarerer. CRACI registrerer, hvad buildet faktisk hentede, mens det kørte, inklusive pakker gendannet fra caches og skjulte afhængigheder, som ingen lockfile angiver, såsom kode downloadet af install-hooks eller build-scripts og lag fra base-images. Hver CRACI-SBOM har en fuldstændighedsstatus, og overvågede SBOM'er genvurderes, efterhånden som nye sårbarheder dukker op.

Begge har en egress-firewall. Hvad er forskellen?

Med begge kan et build kun nå de destinationer, du tillader, og begge kan afvise som standard. Avreas regler matcher domæner, CIDR'er, protokoller og porte, håndhæves på både IP og DNS og leveres med en oversigt pr. kørsel over, hvor hvert build oprettede forbindelse til; firewallen er angivet på Enterprise-planen. CRACI's politik opdeler sine kilder efter pakkeøkosystem, med 24 indbyggede presets for softwarekilder, valideres, før jobbet starter, og blokerer ved fejl (fail closed). CRACI registrerer også, hvilke pakker og versioner der kom gennem disse forbindelser.

Understøtter CRACI Windows- eller macOS-runnere?

Ikke endnu. CRACI kører Linux på x86-64 og ARM64 i dag, med Windows og macOS på roadmappen. Avrea tilbyder Windows 2025 og macOS 26 på Apple M5 Max.

Skal jeg omskrive mine GitHub Actions-workflows for at skifte?

Nej. Begge produkter erstatter runneren, ikke GitHub Actions. Workflows, triggers og GitHubs brugerflade forbliver de samme; på CRACI bliver jobbets label runs-on: craci.