CRACI frente a Avrea

La respuesta corta

Avrea es un servicio de runners alojados para GitHub Actions, de Helsinki como CRACI, pensado para la velocidad y para ver el interior de su CI: runners Linux, Windows y macOS, caché automática de dependencias, búsqueda en logs, métricas de ejecución, detección de tests inestables y acceso por SSH a los jobs en ejecución. Si su objetivo son pipelines más rápidos y entender por qué son lentos, la observabilidad de Avrea llega más lejos que la de CRACI, y hoy cubre Windows y macOS.

CRACI es un CI que gestiona de forma nativa la seguridad de la cadena de suministro. Avrea también ha añadido funciones de seguridad: un firewall de egress en su plan Enterprise y, en preview, una SBOM del repositorio. La diferencia está en el origen de la evidencia. CRACI registra cada dependencia externa que el build descargó realmente, aplica una política de egress que bloquea si falla y sigue monitorizando lo que se publicó en busca de nuevas vulnerabilidades. Ambos productos sustituyen el runner en el que se ejecutan sus jobs, así que tendrá que elegir uno.

De un vistazo

Lo que Avrea hace bien

Observabilidad del CI. Avrea recoge métricas de CPU, memoria y red de cada job sin agente, busca en los logs de todos los jobs y repositorios, separa los tests inestables de los fallos reales y muestra las tasas de acierto de la caché, los workflows lentos y el gasto a lo largo del tiempo. El acceso por SSH a un job en ejecución funciona desde el terminal o la consola web, con un periodo de gracia tras terminar el job. Todo ello está incluido en todos los planes.

Velocidad y caché. Los runners de Avrea funcionan en hardware dedicado con altas frecuencias de reloj y almacenamiento NVMe local, y las dependencias se almacenan en caché automáticamente, cerca de los runners, tras el primer build. Avrea afirma que sus runners son tres veces más rápidos, y más aún con la caché precalentada. Son cifras de Avrea; la prueba real es su propio pipeline.

Cobertura de plataformas. Avrea ofrece Ubuntu en x86-64 de 1 a 32 vCPU, Linux ARM64 y macOS 26 en hardware Apple M5 Max, y Windows 2025. CRACI hoy solo funciona en Linux, con Windows y macOS en la hoja de ruta. Avrea afirma que hoy es compatible con GitHub Actions y que prevé añadir otras plataformas como GitLab; en CRACI, GitLab CI y Jenkins están en la hoja de ruta.

Seguridad del servicio y firewall de egress. Los jobs se ejecutan en VM efímeras, las cachés están aisladas por repositorio y cifradas, y Avrea cuenta con la certificación ISO 27001:2022 y un informe SOC 2 Type 2. Su firewall de egress, incluido en el plan Enterprise, permite o deniega destinos por dominio, CIDR, protocolo y puerto, se aplica tanto a nivel de IP como de DNS y ofrece en cada ejecución un resumen de a dónde se conectó y qué se bloqueó.

Precio y tamaños

En x86-64, el precio de catálogo es el mismo, $0.004 por minuto de 2 vCPU y $0.064 con 32 vCPU, y los runners de Avrea tienen más memoria: 4 GB por vCPU frente a los 3 GB de CRACI. En ARM64 la situación se invierte. Los runners ARM64 de Avrea funcionan en hardware Apple M5 Max a $0.012 por minuto de 2 vCPU, el triple de la tarifa ARM64 de CRACI: CRACI cobra los mismos $0.004 que en x86-64. CRACI mide por segundo, redondeando al segundo más próximo, mientras que Avrea mide por minuto, así que en CRACI los jobs cortos se facturan por los segundos que se ejecutan. Consulte los precios de CRACI para conocer las condiciones vigentes.

En qué se diferencia CRACI

Una SBOM de lo que descargó el build, no de lo que declara el repositorio

La SBOM de Avrea lee los manifiestos de dependencias y los lockfiles de la rama por defecto, sin ejecutar el código, y enumera las dependencias de producción. Es un inventario útil de lo que declara el repositorio. La de CRACI procede del propio build: mientras se ejecuta cada job, un proxy que entiende de paquetes registra el tráfico hacia las fuentes de paquetes, fuentes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk y Git, además de presets de descarga. Incluye los paquetes restaurados desde cachés y las dependencias ocultas que no figuran en ningún lockfile, como el código descargado por hooks de instalación o scripts de build, y las capas de las imágenes base. Cada job genera una SBOM en CycloneDX o SPDX con un estado de completitud.

Esto importa porque los builds no son reproducibles por defecto: el mismo commit compilado dos veces puede descargar paquetes distintos. Solo una SBOM tomada del build que produjo la versión muestra lo que contiene.

Política de egress: una comparación justa

Ambos productos pueden limitar un build a una lista de permitidos y denegar todo lo demás. Avrea va por delante en visibilidad: su resumen por ejecución indica los principales destinos, los bytes enviados y las consultas DNS que rechazó. La política de CRACI tipa sus fuentes por ecosistema de paquetes y protocolo, con 24 presets de fuentes de software integrados y fuentes personalizadas para npm, PyPI, apt, apk, el proxy de Go, Nix, Cargo, registros OCI y Git por HTTPS y SSH, se valida antes de que empiece el job, bloquea si falla (fail closed) y envía una alerta ante cada infracción. Y el mismo job que se ejecuta bajo la política genera también el registro de los paquetes que descargó.

Procedencia y monitorización

La API devuelve SBOM, trazas de red y datos de procedencia. CRACI agrega las vulnerabilidades de todos los builds y repositorios, sigue reevaluando las SBOM monitorizadas y muestra qué builds anteriores contenían una dependencia vulnerable.

Reserve una demo para ver la SBOM, la traza de red y la procedencia de uno de sus propios workflows.

Cuál encaja mejor

Avrea encaja mejor si

• Sus objetivos principales son pipelines más rápidos y visibilidad sobre jobs lentos, tests inestables y el comportamiento de la caché.
• Necesita hoy runners macOS o Windows.
• Quiere 3.000 minutos gratuitos al mes; en x86-64, ambos anuncian el mismo precio por minuto.
• Necesita SOC 2 de su proveedor de runners.

CRACI encaja mejor si

• Distribuye software para el que debe demostrar qué se incluyó en cada versión, a partir del propio build.
• Quiere una política de egress tipada por fuente de paquetes, validada antes de que empiece el job y que bloquee si falla.
• Necesita monitorizar lo que publicó en busca de nuevas vulnerabilidades.
• Sus builds se ejecutan en ARM64, donde la tarifa de CRACI es un tercio de la de Avrea.

A qué renuncia con CRACI. A las herramientas de análisis y depuración del CI de Avrea, a los runners Windows y macOS, que están en la hoja de ruta de CRACI, y a 3.000 minutos gratuitos al mes. Lo que gana es un registro del build que los equipos de seguridad y de cumplimiento pueden usar sin otro escáner en el pipeline.

Para el Cyber Resilience Act

El Cyber Resilience Act de la UE espera que los fabricantes sepan qué contiene cada versión y gestionen sus vulnerabilidades, con obligaciones de notificación desde septiembre de 2026 y aplicación plena desde diciembre de 2027. Un inventario de dependencias del repositorio es un comienzo. CRACI genera la SBOM a partir del build que produjo la versión, la monitoriza en busca de nuevas vulnerabilidades y la exporta en CycloneDX o SPDX, vulnerabilidades incluidas. Automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro de software que las empresas necesitan para su proceso más amplio de cumplimiento del CRA.

Migrar desde Avrea

CRACI sustituye el runner, no GitHub Actions. Los workflows y la interfaz de GitHub siguen igual, y la etiqueta del job pasa a ser runs-on: craci. Los jobs disponen de Docker Engine, Buildx y Compose v2, una imagen de Ubuntu 24.04 compatible con GitHub y virtualización anidada en x86-64. Lea más sobre la integración con CI/CD y la generación de SBOM durante el build. Las startups pueden solicitar el programa para startups.

Avrea frente a CRACI: preguntas frecuentes

Precios, velocidad, SBOM y control del egress, respondidos a partir de la información publicada por cada proveedor

¿Qué es Avrea?

Avrea es un servicio de runners alojados para GitHub Actions, creado en Helsinki por Hannu Valtonen, cofundador de Aiven, y Juha Valvanne, cofundador de Nosto. Usted cambia la etiqueta del runner y sus jobs se ejecutan en las VM efímeras de Avrea con caché automática, búsqueda en logs, métricas de ejecución y depuración por SSH. Avrea se lanzó en mayo de 2026 con $4.7 millones de financiación pre-seed liderada por Earlybird.

¿Cuánto cuesta Avrea?

A septiembre de 2026, Avrea cobra por minuto de runner sin cuota mensual: $0.004 por minuto para un runner x86-64 de 2 vCPU, $0.012 para ARM64 de 2 vCPU en Apple M5 Max, $0.008 para Windows de 2 vCPU y $0.08 para macOS de 8 vCPU. Cada organización recibe 3.000 minutos gratuitos de 2 vCPU al mes. Las IP estáticas cuestan $100 por IP al mes, y el firewall de egress figura en el plan Enterprise.

¿Es Avrea más barato que CRACI?

Depende de la arquitectura. En x86-64 de 2 vCPU, ambos anuncian $0.004 por minuto, y el runner de Avrea tiene más memoria. En ARM64 de 2 vCPU, CRACI es más barato: los mismos $0.004 frente a los $0.012 de Avrea, un tercio del precio. CRACI mide por segundo y Avrea por minuto, así que los jobs cortos cuestan relativamente menos en CRACI. Avrea incluye además 3.000 minutos gratuitos al mes; CRACI no tiene nivel gratuito, pero ofrece un programa para startups.

¿Es Avrea más rápido que CRACI?

Avrea afirma que sus runners son tres veces más rápidos, y más aún con su caché. CRACI ejecuta los builds aproximadamente el doble de rápido que los runners alojados en GitHub, gracias a un hardware más rápido, tiempos de cola más cortos y la caché. No hemos comparado ambos en un benchmark, así que ejecute el mismo workflow en los dos y compare.

Avrea ya tiene SBOM. ¿En qué se diferencia la de CRACI?

Avrea genera una SBOM del repositorio mediante el análisis estático de los manifiestos de dependencias y los lockfiles de la rama por defecto, solo con las dependencias de producción, en CycloneDX y SPDX. Describe lo que declara el repositorio. CRACI registra lo que el build descargó realmente mientras se ejecutaba, incluidos los paquetes restaurados desde cachés y las dependencias ocultas que no figuran en ningún lockfile, como el código descargado por hooks de instalación o scripts de build y las capas de las imágenes base. Cada SBOM de CRACI lleva un estado de completitud, y las SBOM monitorizadas se reevalúan a medida que aparecen nuevas vulnerabilidades.

Ambos tienen un firewall de egress. ¿Cuál es la diferencia?

Ambos permiten que un build acceda solo a los destinos que usted autorice, y ambos pueden denegar por defecto. Las reglas de Avrea se basan en dominios, CIDR, protocolos y puertos, se aplican tanto a nivel de IP como de DNS e incluyen un resumen por ejecución de a dónde se conectó cada build; el firewall figura en el plan Enterprise. La política de CRACI tipa sus fuentes por ecosistema de paquetes, con 24 presets de fuentes de software integrados, se valida antes de que empiece el job y, si falla, bloquea (fail closed). CRACI registra además qué paquetes y versiones llegaron a través de esas conexiones.

¿Es compatible CRACI con runners Windows o macOS?

Todavía no. CRACI ejecuta hoy Linux en x86-64 y ARM64, con Windows y macOS en la hoja de ruta. Avrea ofrece Windows 2025 y macOS 26 en Apple M5 Max.

¿Tengo que reescribir mis workflows de GitHub Actions para cambiar?

No. Ambos productos sustituyen el runner, no GitHub Actions. Los workflows, los triggers y la interfaz de GitHub siguen igual; en CRACI, la etiqueta del job pasa a ser runs-on: craci.