CRACI vs. Avrea

Die kurze Antwort

Avrea ist ein Dienst für gehostete GitHub-Actions-Runner, wie CRACI aus Helsinki, gebaut für Geschwindigkeit und Einblick in Ihr CI: Linux-, Windows- und macOS-Runner, automatisches Abhängigkeits-Caching, Log-Suche, Laufzeitmetriken, Erkennung von Flaky Tests und SSH in laufende Jobs. Wenn Ihr Ziel schnellere Pipelines sind und Sie verstehen wollen, warum sie langsam sind, geht die Observability von Avrea weiter als die von CRACI, und Avrea deckt heute Windows und macOS ab.

CRACI ist CI, das Lieferkettensicherheit nativ mitbringt. Auch Avrea hat Sicherheitsfunktionen ergänzt: eine Egress-Firewall im Enterprise-Plan und, als Preview, eine Repository-SBOM. Der Unterschied liegt darin, woher die Nachweise kommen. CRACI zeichnet jede externe Abhängigkeit auf, die der Build tatsächlich geladen hat, setzt eine Egress-Richtlinie durch, die im Zweifel blockiert (fail closed), und überwacht das Ausgelieferte weiter auf neue Schwachstellen. Beide Produkte ersetzen den Runner, auf dem Ihre Jobs laufen. Sie entscheiden sich also für eines.

Auf einen Blick

Was Avrea gut kann

CI-Observability. Avrea erfasst ohne Agent CPU-, Speicher- und Netzwerkmetriken für jeden Job, durchsucht Logs über alle Jobs und Repositories hinweg, trennt Flaky Tests von echten Fehlschlägen und zeigt Cache-Trefferquoten, langsame Workflows und Ausgaben im Zeitverlauf. SSH in einen laufenden Job funktioniert über das Terminal oder die Webkonsole, mit einer Kulanzzeit nach Ende des Jobs. All das ist in jedem Plan enthalten.

Geschwindigkeit und Caching. Die Runner von Avrea laufen auf dedizierter Hardware mit hohen Taktraten und lokalem NVMe-Speicher, und Abhängigkeiten werden nach dem ersten Build automatisch nah bei den Runnern gecacht. Avrea gibt an, seine Runner seien dreimal schneller, mit warmem Cache noch mehr. Das sind Zahlen von Avrea; der echte Test ist Ihre eigene Pipeline.

Plattformabdeckung. Avrea bietet Ubuntu auf x86-64 von 1 bis 32 vCPU, Linux ARM64 und macOS 26 auf Apple-M5-Max-Hardware sowie Windows 2025. CRACI läuft heute nur unter Linux; Windows und macOS sind auf der Roadmap. Avrea gibt an, heute GitHub Actions zu unterstützen und weitere Plattformen wie GitLab hinzufügen zu wollen; bei CRACI sind GitLab CI und Jenkins auf der Roadmap.

Sicherheit des Dienstes und eine Egress-Firewall. Jobs laufen in kurzlebigen VMs, Caches sind pro Repository isoliert und verschlüsselt, und Avrea ist nach ISO 27001:2022 zertifiziert und SOC 2 Type 2 attestiert. Die Egress-Firewall, im Enterprise-Plan aufgeführt, erlaubt oder sperrt Ziele nach Domain, CIDR, Protokoll und Port, wird auf IP- und DNS-Ebene durchgesetzt und liefert zu jeder Ausführung eine Übersicht, wohin sie sich verbunden hat und was blockiert wurde.

Preise und Größen

Bei x86-64 ist der Listenpreis gleich, $0.004 pro Minute mit 2 vCPU und $0.064 bei 32 vCPU, und die Runner von Avrea haben mehr Arbeitsspeicher: 4 GB pro vCPU gegenüber 3 GB bei CRACI. Bei ARM64 kehrt sich das Bild um. Die ARM64-Runner von Avrea laufen auf Apple-M5-Max-Hardware zu $0.012 pro Minute mit 2 vCPU, dem Dreifachen des ARM64-Preises von CRACI: CRACI berechnet dieselben $0.004 wie bei x86-64. CRACI rechnet pro Sekunde ab, auf die nächste Sekunde gerundet, Avrea pro Minute. Kurze Jobs werden auf CRACI also nach den Sekunden abgerechnet, die sie laufen. Die aktuellen Konditionen finden Sie unter CRACI-Preise.

Worin sich CRACI unterscheidet

Eine SBOM dessen, was der Build geladen hat, nicht dessen, was das Repository deklariert

Die SBOM von Avrea liest die Abhängigkeitsmanifeste und Lockfiles im Default-Branch, ohne den Code auszuführen, und listet Produktionsabhängigkeiten auf. Das ist ein nützliches Inventar dessen, was das Repository deklariert. Die SBOM von CRACI stammt aus dem Build selbst: Während jeder Job läuft, zeichnet ein paketbewusster Proxy den Datenverkehr zu den Paketquellen auf: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk und Git-Quellen, dazu Download-Presets. Sie enthält Pakete aus Caches und die versteckten Abhängigkeiten, die in keinem Lockfile stehen, etwa Code, den Install-Hooks oder Build-Skripte herunterladen, und Basis-Image-Layer. Jeder Job erzeugt eine SBOM als CycloneDX oder SPDX mit einem Vollständigkeitsstatus.

Das ist wichtig, weil Builds standardmäßig nicht reproduzierbar sind: Derselbe Commit kann bei zwei Builds unterschiedliche Pakete laden. Nur eine SBOM aus dem Build, der das Release erzeugt hat, zeigt, was darin steckt.

Egress-Richtlinien, fair verglichen

Beide Produkte können einen Build auf eine Allowlist beschränken und alles andere sperren. Bei der Transparenz liegt Avrea vorn: Seine Übersicht pro Ausführung nennt die häufigsten Ziele, die gesendeten Bytes und die abgewiesenen DNS-Anfragen. Die Richtlinie von CRACI typisiert ihre Quellen nach Paket-Ökosystem und Protokoll, mit 24 integrierten Presets für Softwarequellen und eigenen Quellen für npm, PyPI, apt, apk, den Go-Proxy, Nix, Cargo, OCI-Registries und Git über HTTPS und SSH, wird vor dem Start des Jobs validiert, blockiert im Zweifel (fail closed) und sendet bei einem Verstoß eine Warnung. Und derselbe Job, der unter der Richtlinie läuft, erzeugt auch die Aufzeichnung der Pakete, die er geladen hat.

Provenienz und Überwachung

Die API liefert SBOMs, Netzwerk-Traces und Provenienz. CRACI führt Schwachstellen über Builds und Repositories hinweg zusammen, bewertet überwachte SBOMs laufend neu und zeigt, welche früheren Builds eine verwundbare Abhängigkeit enthielten.

Buchen Sie eine Demo, um SBOM, Netzwerk-Trace und Provenienz aus einem Ihrer eigenen Workflows zu sehen.

Was passt

Avrea passt besser, wenn

• Schnellere Pipelines und Einblick in langsame Jobs, Flaky Tests und Cache-Verhalten die Hauptziele sind.
• Sie heute macOS- oder Windows-Runner brauchen.
• Sie 3.000 kostenlose Minuten im Monat wollen; bei x86-64 nennen beide denselben Minutenpreis.
• Sie von Ihrem Runner-Anbieter SOC 2 brauchen.

CRACI passt besser, wenn

• Sie Software ausliefern, bei der Sie aus dem Build selbst zeigen müssen, was in jedes Release eingeflossen ist.
• Sie eine Egress-Richtlinie wollen, die nach Paketquelle typisiert ist, vor dem Start des Jobs validiert wird und im Zweifel blockiert (fail closed).
• Sie eine Überwachung des Ausgelieferten auf neue Schwachstellen brauchen.
• Ihre Builds auf ARM64 laufen, wo der Preis von CRACI ein Drittel dessen von Avrea beträgt.

Worauf Sie mit CRACI verzichten. Auf die CI-Analysen und Debugging-Tools von Avrea, auf Windows- und macOS-Runner, die auf der Roadmap von CRACI stehen, und auf 3.000 kostenlose Minuten im Monat. Dafür erhalten Sie eine Build-Aufzeichnung, die Sicherheit und Compliance ohne einen weiteren Scanner in der Pipeline nutzen können.

Für den Cyber Resilience Act

Der EU Cyber Resilience Act erwartet von Herstellern, dass sie wissen, was in jedem Release steckt, und dessen Schwachstellen behandeln, mit Meldepflichten ab September 2026 und voller Anwendung ab Dezember 2027. Ein Abhängigkeitsinventar aus dem Repository ist ein Anfang. CRACI erzeugt die SBOM aus dem Build, der das Release erstellt hat, überwacht sie auf neue Schwachstellen und exportiert sie als CycloneDX oder SPDX, einschließlich Schwachstellen. Es automatisiert einen wesentlichen Teil der Transparenz und Nachweise zur Software-Lieferkette, die Unternehmen für ihren umfassenderen CRA-Compliance-Prozess brauchen.

Wechsel von Avrea

CRACI ersetzt den Runner, nicht GitHub Actions. Workflows und die GitHub-Oberfläche bleiben gleich, und das Job-Label wird zu runs-on: craci. Jobs erhalten Docker Engine, Buildx und Compose v2, ein GitHub-kompatibles Ubuntu-24.04-Image und verschachtelte Virtualisierung auf x86-64. Mehr über CI/CD-Integration und SBOM-Generierung während des Builds. Startups können sich für das Startup-Programm bewerben.

Avrea vs. CRACI: häufige Fragen

Preise, Geschwindigkeit, SBOMs und Egress-Kontrolle, beantwortet anhand der veröffentlichten Angaben beider Anbieter

Was ist Avrea?

Avrea ist ein Dienst für gehostete GitHub-Actions-Runner, entwickelt in Helsinki von Hannu Valtonen, Mitgründer von Aiven, und Juha Valvanne, Mitgründer von Nosto. Sie ändern das Runner-Label, und Ihre Jobs laufen auf den kurzlebigen VMs von Avrea, mit automatischem Caching, Log-Suche, Laufzeitmetriken und SSH-Debugging. Avrea ist im Mai 2026 mit 4,7 Millionen US-Dollar Pre-Seed-Finanzierung unter Führung von Earlybird gestartet.

Was kostet Avrea?

Stand September 2026 rechnet Avrea pro Runner-Minute ohne Monatsgebühr ab: $0.004 pro Minute für einen x86-64-Runner mit 2 vCPU, $0.012 für ARM64 mit 2 vCPU auf Apple M5 Max, $0.008 für Windows mit 2 vCPU und $0.08 für macOS mit 8 vCPU. Jede Organisation erhält 3.000 kostenlose Minuten mit 2 vCPU pro Monat. Statische IPs kosten $100 pro IP und Monat, und die Egress-Firewall ist im Enterprise-Plan aufgeführt.

Ist Avrea günstiger als CRACI?

Das hängt von der Architektur ab. Bei x86-64 mit 2 vCPU nennen beide $0.004 pro Minute, und der Runner von Avrea hat mehr Arbeitsspeicher. Bei ARM64 mit 2 vCPU ist CRACI günstiger: dieselben $0.004 gegenüber $0.012 bei Avrea, ein Drittel des Preises. CRACI rechnet pro Sekunde ab, Avrea pro Minute, kurze Jobs kosten auf CRACI also verhältnismäßig weniger. Avrea enthält außerdem 3.000 kostenlose Minuten im Monat; CRACI hat keine kostenlose Stufe, bietet aber ein Startup-Programm.

Ist Avrea schneller als CRACI?

Avrea gibt an, seine Runner seien dreimal schneller, mit dem eigenen Cache noch mehr. CRACI führt Builds etwa doppelt so schnell aus wie GitHub-gehostete Runner, dank schnellerer Hardware, kürzerer Wartezeiten in der Warteschlange und Caching. Wir haben die beiden nicht gegeneinander gemessen. Lassen Sie also denselben Workflow auf beiden laufen und vergleichen Sie.

Avrea hat jetzt SBOMs. Was ist bei CRACI anders?

Avrea erzeugt eine Repository-SBOM durch statische Analyse der Abhängigkeitsmanifeste und Lockfiles im Default-Branch, nur mit Produktionsabhängigkeiten, als CycloneDX und SPDX. Sie beschreibt, was das Repository deklariert. CRACI zeichnet auf, was der Build während der Ausführung tatsächlich geladen hat, einschließlich Paketen aus Caches und versteckten Abhängigkeiten, die in keinem Lockfile stehen, etwa Code, den Install-Hooks oder Build-Skripte herunterladen, und Basis-Image-Layer. Jede SBOM von CRACI trägt einen Vollständigkeitsstatus, und überwachte SBOMs werden neu bewertet, sobald neue Schwachstellen auftauchen.

Beide haben eine Egress-Firewall. Worin liegt der Unterschied?

Bei beiden erreicht ein Build nur die Ziele, die Sie erlauben, und beide können standardmäßig sperren. Die Regeln von Avrea gelten für Domains, CIDRs, Protokolle und Ports, werden auf IP- und DNS-Ebene durchgesetzt und liefern pro Ausführung eine Übersicht, wohin sich jeder Build verbunden hat; die Funktion ist im Enterprise-Plan aufgeführt. Die Richtlinie von CRACI typisiert ihre Quellen nach Paket-Ökosystem, mit 24 integrierten Presets für Softwarequellen, wird vor dem Start des Jobs validiert und blockiert im Zweifel (fail closed). CRACI zeichnet außerdem auf, welche Pakete und Versionen über diese Verbindungen kamen.

Unterstützt CRACI Windows- oder macOS-Runner?

Noch nicht. CRACI läuft heute mit Linux auf x86-64 und ARM64; Windows und macOS sind auf der Roadmap. Avrea bietet Windows 2025 und macOS 26 auf Apple M5 Max.

Muss ich für den Wechsel meine GitHub-Actions-Workflows umschreiben?

Nein. Beide Produkte ersetzen den Runner, nicht GitHub Actions. Workflows, Trigger und die GitHub-Oberfläche bleiben gleich; auf CRACI wird das Job-Label zu runs-on: craci.