CRACI vs. Depot

Die kurze Antwort

Depot ist Build-Beschleunigung: GitHub-Actions-Runner, ein entfernter Docker-Build-Dienst mit persistentem Layer-Cache, ein Remote-Cache für Tools wie Bazel und Gradle und eine eigene CI-Engine. CRACI ist ein GitHub-Actions-kompatibler Runner, der um Lieferkettensicherheit herum gebaut ist. Jeder Job erzeugt eine SBOM dessen, was er tatsächlich geladen hat, und läuft unter einer von Ihnen definierten Egress-Richtlinie.

Der Unterschied in einem Satz: Depot optimiert, wie schnell Ihr Build läuft, und CRACI zeichnet auf und kontrolliert, was in ihn einfließt. Beide ersetzen den GitHub-hosted Runner, Sie entscheiden sich also für einen.

Auf einen Blick

Was Depot gut kann

Depot hat eine breite, gut dokumentierte Runner- und Build-Plattform aufgebaut. Das Wichtigste aus der eigenen Dokumentation:

• Ein breiter Runner-Katalog. Linux-Runner auf AMD EPYC (Intel-Labels) und AWS Graviton4 (Arm) von 2 vCPUs und 8 GB RAM bis 64 vCPUs und 256 GB, dazu Windows Server 2022 und 2025 sowie macOS-Runner in den Plänen Startup und Business.
• Caching. Die Runner sind an den verteilten Cache von Depot angebunden, der laut Depot Upload- und Download-Geschwindigkeiten von bis zu 1000 MiB/s erreicht. Depot beschreibt seine Runner als bis zu dreimal schneller als einen GitHub-hosted Runner, mit zehnmal schnellerem Caching.
• Docker-Builds. depot build ist ein direkter Ersatz für docker build, der auf einem entfernten BuildKit-Host mit persistentem, teamweit geteiltem NVMe-Layer-Cache läuft und x86- und Arm-Images nativ ohne QEMU-Emulation baut. Laut Depot ist das bis zu 40-mal schneller als das Bauen lokal oder bei einem CI-Anbieter.
• Isolation. Jeder GitHub-Actions-Job läuft auf einer frischen Single-Tenant-EC2-Instanz, die nie wiederverwendet wird.
• Egress-Filterung. Allow- und Deny-Regeln für IPs, CIDRs und Hostnamen, mit einer Standardregel, die Sie auf Allow oder Deny setzen. Sie gilt derzeit für Linux-Runner.
• Enterprise-Optionen. Im Business-Plan stellt Depot Managed die Data Plane in Ihrem eigenen AWS-Konto bereit, mit AWS PrivateLink, statischen ausgehenden IPs und SSO. Depot führt einen SOC-2-Type-II-Bericht an.

Wenn die Build-Zeit von Docker-Images Ihr größter CI-Engpass ist, ist Depot genau für dieses Problem gebaut.

Worin sich CRACI unterscheidet

CRACI betrachtet den Build als Quelle der Wahrheit für das, was Sie ausliefern. Der Runner ist der Ort, an dem diese Nachweise entstehen.

Eine Aufzeichnung dessen, was der Build geladen hat

Während jeder Job läuft, zeichnet ein paketbewusster Proxy den Datenverkehr zu den Paketquellen auf: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk und Git-Quellen, dazu Download-Presets. Die Abhängigkeitsnachweise reisen mit CI-Caches mit, sodass auch ein aus einem Cache wiederhergestelltes Paket gezählt wird. Die SBOM jedes Jobs, als CycloneDX oder SPDX, trägt einen Vollständigkeitsstatus pro Job und pro Cache, sodass Sie wissen, wann die Aufzeichnung vollständig ist und wann nicht.

Auch Depot kann eine SBOM erzeugen: Mit --sbom=true bei depot build erstellt es mit Syft eine SPDX-SBOM. Das ist ein Scan des Images, das der Build erzeugt hat. Die Aufzeichnung von CRACI umfasst den gesamten Job, einschließlich Build-Tools und Paketen, die nie in einem Image landen, und auch Jobs, die gar keine Images bauen.

Eine Egress-Richtlinie für Softwarequellen

Mit beiden Produkten können Sie unerwarteten ausgehenden Datenverkehr eines Runners blockieren. CRACI-Richtlinien sind standardmäßig sperrend oder standardmäßig erlaubend, mit 24 integrierten Presets für Softwarequellen, typisierten eigenen Quellen für npm, PyPI, apt, apk, den Go-Proxy, Nix, Cargo, OCI-Registries und Git über HTTPS und SSH sowie expliziten Regeln für TLS, TCP, UDP und ICMP. Richtlinien werden vor dem Start des Jobs validiert, blockieren im Zweifel (fail closed) und senden bei einem Verstoß eine Warnung. Die Regeln von Depot arbeiten auf der Ebene von IPs, CIDRs und Hostnamen, was einfacher zu überblicken ist, wenn Sie nur das brauchen.

Provenienz und Überwachung

• Provenienzdaten. Die API liefert SBOMs, Netzwerk-Traces und Provenienz. CRACI signiert Provenienz nicht. Depot-Image-Builds können BuildKit-Provenienz-Attestierungen anhängen, gesetzt mit dem Flag --provenance.
• Überwachung des Ausgelieferten. Überwachte SBOMs werden laufend gegen neue Schwachstellen neu bewertet, und Befunde werden über Builds und Repositories hinweg zusammengeführt.

Preise und Größen

Stand September 2026 berechnet Depot für seinen Linux-Runner mit 2 vCPU und 8 GB jenseits der im Plan enthaltenen Minuten $0.006 pro Minute, und größere Größen skalieren linear: 32 vCPUs kosten $0.096 pro Minute. Der Developer-Plan kostet $20 pro Monat mit 2.000 GitHub-Actions-Minuten, der Startup-Plan $200 pro Monat mit 20.000. Depot erfasst die Nutzung sekundengenau ohne Mindestdauer von einer Minute pro Lauf und bietet eine 7-tägige kostenlose Testphase.

CRACI berechnet $0.002 pro vCPU-Minute, 2 vCPUs kosten also $0.004 pro Minute und 32 vCPUs $0.064 pro Minute, mit ARM64 zum gleichen Preis. Abgerechnet wird sekundengenau, und es gibt keine Monatsgebühr. Jenseits der Planminuten von Depot sind das bei jeder Größe etwa 33 % weniger pro Minute. Gleichen Sie vor dem Vergleich den Arbeitsspeicher ab: Eine Recheneinheit von CRACI hat 3 GB RAM pro vCPU, die Runner von Depot haben 4 GB pro vCPU. Die aktuellen Konditionen finden Sie unter CRACI-Preise.

Was zu Ihnen passt

Depot passt besser, wenn

• Docker-Image-Builds Ihre CI-Zeit dominieren.
• Sie Windows- oder macOS-Runner brauchen. CRACI läuft heute nur auf Linux; Windows und macOS sind auf der Roadmap.
• Sie Runner in Ihrem eigenen AWS-Konto brauchen. CRACI bietet noch keine vom Kunden gehosteten Runner; sie sind für Enterprise auf der Roadmap.
• Sie auf Remote-Caching für Bazel, Gradle, Turborepo oder sccache angewiesen sind.

CRACI passt besser, wenn

• Sie aus dem Build selbst zeigen müssen, was in ein Release eingeflossen ist, mit Vollständigkeitsstatus.
• Sie den Build-Egress nach Paketquelle kontrollieren wollen, validiert vor jedem Job.
• Sie die Überwachung ausgelieferter SBOMs an einem Ort wollen.
• Sie EU-Datenresidenz brauchen, verfügbar im Enterprise-Plan von CRACI.

Für den Cyber Resilience Act

Der Cyber Resilience Act verlangt von Herstellern, die Komponenten ihrer Produkte zu kennen, deren Schwachstellen zu behandeln und Nachweise aufzubewahren. Das Produkt von Depot ist Build-Infrastruktur, und seine Dokumentation konzentriert sich auf Geschwindigkeit, Caching und Isolation. CRACI automatisiert einen wesentlichen Teil der Transparenz und Nachweise zur Software-Lieferkette, die Unternehmen für ihren umfassenderen CRA-Compliance-Prozess brauchen: Build-SBOMs, Schwachstellenverfolgung, Provenienz und SBOM-Export als CycloneDX oder SPDX.

Wechsel von Depot zu CRACI

Installieren Sie die CRACI GitHub App in Ihrer Organisation, mit Zugriff auf alle Repositories oder eine Auswahl, und ändern Sie dann das Runner-Label eines Jobs:

runs-on: craci

Ihre Workflows und die GitHub-Oberfläche bleiben gleich. Stellen Sie einen Job nach dem anderen um, beginnend mit einem Job, der etwas baut, das Sie ausliefern. Sehen Sie sich SBOM und Netzwerk-Trace an und schreiben Sie dann eine Egress-Richtlinie, die die benötigten Quellen erlaubt. Mehr über CI/CD-Integration und SBOM-Generierung während des Builds.