CRACI vs. Blacksmith CI

Die kurze Antwort

Blacksmith ist ein Dienst für verwaltete GitHub-Actions-Runner, gebaut für Geschwindigkeit und Kosten: Linux-, Windows- und macOS-Runner auf Bare-Metal-Hardware, ein Abhängigkeits-Cache direkt bei den Runnern, Docker-Layer-Caching auf persistenten Disks und CI-Observability. Wenn Ihr einziges Ziel schnellere, günstigere GitHub Actions sind, ist Blacksmith eine starke Option: Der x64-Listenpreis entspricht dem von CRACI, der ARM-Preis ist niedriger, und es sind 3.000 kostenlose x64-Minuten im Monat enthalten.

CRACI ist CI, das Lieferkettensicherheit nativ mitbringt. Es ist ebenfalls ein GitHub-Actions-kompatibler Runner, und der Wechsel ist dieselbe Art von Einzeiler-Änderung, aber die Sicherheit ist Teil des Runners statt ein zusätzliches Tool. CRACI zeichnet jede externe Abhängigkeit auf, die der Build geladen hat, setzt eine Egress-Richtlinie im Build-Netzwerk durch und macht aus dieser Aufzeichnung SBOMs, Schwachstellenüberwachung und CRA-Nachweise. Beide Produkte konkurrieren um dasselbe Runner-Budget. Sie entscheiden sich also für eines.

Auf einen Blick

Was Blacksmith gut kann

Fokus auf Leistung. Blacksmith führt Jobs auf Bare-Metal-Maschinen mit hoher Single-Core-Leistung aus, gibt an, seine Runner seien doppelt so schnell wie GitHub-gehostete Runner, und der Cache direkt bei den Runnern lade etwa viermal schneller herunter. Für Docker-Builds berichtet Blacksmith, dass Kunden durch Layer-Caching Verbesserungen um das 2- bis 40-Fache gesehen haben. Das sind Zahlen von Blacksmith; der echte Test ist Ihre eigene Pipeline.

Caching ohne Workflow-Änderungen. Die offiziellen Cache- und Setup-Actions von GitHub kommunizieren transparent mit dem Cache von Blacksmith, mit 25 GB kostenlosem Speicher pro Repository und Woche und LRU-Verdrängung nach sieben Tagen. Sticky Disks und Docker-Layer-Caching erhalten den Zustand über Ausführungen hinweg für $0.50 pro GB und Monat, und die Dokumentation behandelt auch Caching für Bazel, Git-Checkouts und Container-Images.

Plattformabdeckung. Blacksmith bietet Ubuntu 22.04 und 24.04 auf x64 und ARM von 2 bis 32 vCPU, Windows Server 2025 als öffentliche Beta und macOS auf Apple M4 in den Größen 6 und 12 vCPU. Es setzt keine Grenzen für die Parallelität. CRACI läuft heute nur unter Linux, mit Windows und macOS auf der Roadmap. Für diese Jobs deckt Blacksmith also ab, was CRACI noch nicht abdeckt.

Debugging und Analysen. SSH-Zugriff auf laufende Jobs, Ausführungsverlauf, Log-Suche, Metriken, Monitore, Testanalysen und ein CI-Dashboard sind dokumentierte Funktionen. Testboxes, die lokale Änderungen in einem echten GitHub-Actions-Job ausführen, sind in einer frühen Beta.

Sicherheit und Compliance des Dienstes. Jobs laufen in kurzlebigen Firecracker-microVMs, und jeder Job erhält ein Just-in-Time-Token, das auf diesen Job beschränkt ist und nach einer Stunde abläuft. Blacksmith gibt an, SOC 2 Type 2 und DSGVO-konform zu sein und jedes Quartal einem Penetrationstest unterzogen zu werden.

Preise und Größen

Auf x64 haben beide denselben Listenpreis, $0.004 pro Minute mit 2 vCPU. Der ARM-Preis von Blacksmith ist deutlich niedriger, da CRACI ARM64 zum selben Preis wie x86-64 berechnet, und Blacksmith enthält 3.000 kostenlose x64-Minuten im Monat. CRACI rechnet pro Sekunde ab, auf die nächste Sekunde gerundet, kurze Jobs werden also nach den Sekunden abgerechnet, die sie laufen. Auch die Zuschnitte unterscheiden sich: Eine Recheneinheit von CRACI ist 1 vCPU mit 3 GB RAM, von 1 bis 32 Einheiten, während die x64-Runner von Blacksmith 4 GB pro vCPU haben und die ARM-Runner 3 GB. Gleichen Sie den Arbeitsspeicher ab, den Ihre Builds brauchen, bevor Sie Preise vergleichen. Die aktuellen Konditionen finden Sie unter CRACI-Preise.

Der größte Unterschied liegt nicht bei der Geschwindigkeit. Beide geben an, ihre Runner seien etwa doppelt so schnell wie GitHub-gehostete Runner. CRACI erreicht das mit schnellerer Hardware, kürzeren Wartezeiten in der Warteschlange und Caching. Wir haben die beiden nicht gegeneinander gemessen.

Worin sich CRACI unterscheidet

Eine Aufzeichnung dessen, was der Build geladen hat

Während jeder Job läuft, zeichnet ein paketbewusster Proxy den Datenverkehr zu den Paketquellen auf: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk und Git-Quellen, dazu Download-Presets. Die Abhängigkeitsnachweise reisen mit CI-Caches mit, sodass auch aus einem Cache wiederhergestellte Pakete gezählt werden. Jeder Job erzeugt eine SBOM als CycloneDX oder SPDX mit einem Vollständigkeitsstatus pro Job und pro Cache: Complete, Complete with connections, Incomplete, Unavailable oder Not recorded.

Kontrolle darüber, was der Build erreichen kann

Die statischen IPs von Blacksmith geben Ihren Runnern eine feste Adresse, um Dienste hinter einer Firewall zu erreichen. Auch CRACI bietet einen stabilen Egress-IP-Bereich und ergänzt Egress-Richtlinien: standardmäßig sperrend oder standardmäßig erlaubend, 24 integrierte Presets für Softwarequellen, typisierte eigene Quellen und explizite Regeln für TLS, TCP, UDP und ICMP. Richtlinien werden vor dem Start des Jobs validiert, blockieren im Zweifel (fail closed) und senden bei einem Verstoß eine Warnung.

Provenienz und Überwachung

Die API liefert SBOMs, Netzwerk-Traces und Provenienz. CRACI führt Schwachstellen über Builds und Repositories hinweg zusammen und bewertet überwachte SBOMs laufend neu.

Zwei verschiedene Sicherheitsfragen

Die Sicherheitsarbeit von Blacksmith beantwortet die Frage „Kann ich dem Runner-Dienst meine Jobs anvertrauen?“: isolierte microVMs, kurzlebige Tokens, verschlüsselte Caches und ein SOC-2-Bericht. CRACI beantwortet diese Frage ebenfalls, mit isolierten virtuellen Maschinen und ohne gespeicherten Quellcode, und dann eine zweite: „Was hat dieser Build geladen, und wohin hat er sich verbunden?“ Diese zweite Antwort verlangen ein Auditor, ein Kunde oder der Cyber Resilience Act von Ihnen.

Buchen Sie eine Demo, um SBOM, Netzwerk-Trace und Provenienz aus einem Ihrer eigenen Workflows zu sehen.

Was passt

Blacksmith passt besser, wenn

• Build-Geschwindigkeit und die niedrigsten Kosten pro Minute auf ARM die Hauptziele sind oder die kostenlosen Monatsminuten zählen.
• Sie heute macOS- oder Windows-Runner brauchen.
• Sie auf Sticky Disks, die Observability-Konsole von Blacksmith oder SSH-Debugging angewiesen sind.

CRACI passt besser, wenn

• Sie Software ausliefern, bei der Sie aus dem Build selbst zeigen müssen, was in jedes Release eingeflossen ist.
• Sie einschränken wollen, was Builds erreichen können, mit einer Richtlinie, die im Zweifel blockiert (fail closed).
• Sie eine Überwachung des Ausgelieferten brauchen, ohne jedem Workflow Tools hinzuzufügen.
• Sie EU-Datenresidenz brauchen, verfügbar im Enterprise-Plan von CRACI.

Worauf Sie mit CRACI verzichten. Auf Windows- und macOS-Jobs, die auf der Roadmap stehen, auf den niedrigsten ARM-Preis und auf die Debugging- und Analyse-Tools von Blacksmith. Dafür erhalten Sie eine Build-Aufzeichnung, die Sicherheit und Compliance ohne einen weiteren Scanner in der Pipeline nutzen können.

Für den Cyber Resilience Act

Der EU Cyber Resilience Act erwartet von Herstellern, dass sie wissen, was in jedem Release steckt, und dessen Schwachstellen behandeln, mit Meldepflichten ab September 2026 und voller Anwendung ab Dezember 2027. Ein schneller Runner liefert diese Nachweise nicht von selbst; Sie müssten Ihren Workflows SBOM- und Scan-Tools hinzufügen. CRACI erzeugt sie aus der Build-Aufzeichnung und exportiert SBOMs als CycloneDX oder SPDX, einschließlich Schwachstellen. Es automatisiert einen wesentlichen Teil der Transparenz und Nachweise zur Software-Lieferkette, die Unternehmen für ihren umfassenderen CRA-Compliance-Prozess brauchen.

Wechsel von Blacksmith

CRACI ersetzt den Runner, nicht GitHub Actions. Workflows und die GitHub-Oberfläche bleiben gleich, und das Job-Label wird zu runs-on: craci. Jobs erhalten Docker Engine, Buildx und Compose v2, ein GitHub-kompatibles Ubuntu-24.04-Image und verschachtelte Virtualisierung auf x86-64. Mehr über CI/CD-Integration und SBOM-Generierung während des Builds. Startups können sich für das Startup-Programm bewerben.

Blacksmith vs. CRACI: häufige Fragen

Preise, Geschwindigkeit, Plattformen und Sicherheit, beantwortet anhand der veröffentlichten Angaben beider Anbieter

Was ist Blacksmith CI?

Blacksmith ist ein Dienst für verwaltete GitHub-Actions-Runner. Sie behalten Ihre Workflows und ändern das Runner-Label, und Ihre Jobs laufen auf den Bare-Metal-Maschinen von Blacksmith in Firecracker-microVMs statt auf GitHub-gehosteten Runnern. Blacksmith wirbt mit Geschwindigkeit und Preis: schnellere Hardware, ein Abhängigkeits-Cache direkt bei den Runnern, Docker-Layer-Caching und CI-Observability.

Was kostet Blacksmith?

Stand September 2026 nennt Blacksmith für Ubuntu x64 mit 2 vCPU $0.004 pro Minute, für Ubuntu ARM $0.0025, für Windows $0.008 und für macOS M4 (6 vCPU) $0.08. Jede Organisation erhält 3.000 kostenlose x64-Minuten mit 2 vCPU pro Monat. Docker-Layer-Caching und Sticky Disks kosten $0.50 pro GB und Monat, statische IPs $100 pro IP und Monat.

Ist Blacksmith günstiger als CRACI?

Bei ARM ja; bei x64 ist der Listenpreis gleich. CRACI berechnet $0.004 pro Minute für 2 vCPU auf x86-64 wie auf ARM64, gegenüber $0.004 auf x64 und $0.0025 auf ARM bei Blacksmith, und Blacksmith enthält 3.000 kostenlose x64-Minuten im Monat. CRACI rechnet pro Sekunde ab, kurze Jobs werden also nach den Sekunden abgerechnet, die sie laufen. Was CRACI am Runner ergänzt, ist die Build-Aufzeichnung: eine SBOM für jeden Job, eine Egress-Richtlinie, Provenienzdaten über die API und Schwachstellenüberwachung, wofür sonst separate Tools nötig wären.

Ist Blacksmith schneller als CRACI?

Beide geben an, ihre Runner seien etwa doppelt so schnell wie GitHub-gehostete Runner. CRACI erreicht das mit schnellerer Hardware, kürzeren Wartezeiten in der Warteschlange und Caching. Wir haben die beiden nicht gegeneinander gemessen. Lassen Sie also denselben Workflow auf beiden laufen und vergleichen Sie.

Erzeugt Blacksmith SBOMs oder Build-Provenienz?

Das gehört nicht zu den dokumentierten Funktionen. Blacksmith konzentriert sich auf Rechenleistung, Caching und Observability. CRACI zeichnet die Pakete auf, die jeder Job lädt, einschließlich Paketen aus Caches, und erzeugt eine SBOM als CycloneDX oder SPDX mit Vollständigkeitsstatus. Die API liefert SBOMs, Netzwerk-Traces und Provenienz.

Kann Blacksmith einschränken, was ein Build im Netzwerk erreicht?

Blacksmith bietet statische IPs, damit Ihre Jobs Dienste hinter einer Firewall von einer festen Adresse aus erreichen. Eine Richtlinie dafür, wohin sich der Job selbst verbinden darf, gehört nicht zu den dokumentierten Funktionen. CRACI setzt am Runner eine Egress-Richtlinie durch: standardmäßig sperrend oder erlaubend, 24 integrierte Presets für Softwarequellen, validiert vor dem Start des Jobs und im Zweifel blockierend (fail closed).

Unterstützt CRACI Windows- oder macOS-Runner?

Noch nicht. CRACI läuft heute mit Linux auf x86-64 und ARM64; Windows und macOS sind auf der Roadmap. Blacksmith bietet macOS auf Apple M4 und Windows Server 2025 als öffentliche Beta.

Wo laufen die Jobs, und können die Daten in der EU bleiben?

Blacksmith führt Jobs auf Bare-Metal-Maschinen in US East, US West, Amsterdam und Frankfurt aus, mit seiner Control Plane auf AWS. CRACI führt Builds auf europäischer Bare-Metal-Infrastruktur aus, mit EU-Datenresidenz im Enterprise-Plan. CRACI speichert Ihren Quellcode nicht; er wird für die Dauer des Builds in der VM des Jobs verarbeitet.

Ist Blacksmith SOC-2-konform?

Blacksmith gibt an, SOC 2 Type 2 und DSGVO-konform zu sein und jedes Quartal einem Penetrationstest unterzogen zu werden. CRACI dokumentiert seine Sicherheitskontrollen im Trust Center.

Muss ich für den Wechsel meine GitHub-Actions-Workflows umschreiben?

Nein. Beide Produkte ersetzen den Runner, nicht GitHub Actions. Workflows, Trigger und die GitHub-Oberfläche bleiben gleich; auf CRACI wird das Job-Label zu runs-on: craci.