CRACI frente a Blacksmith CI

La respuesta corta

Blacksmith es un servicio de runners gestionados para GitHub Actions, pensado para la velocidad y el coste: runners Linux, Windows y macOS en hardware bare-metal, una caché de dependencias coubicada, caché de capas de Docker en discos persistentes y observabilidad del CI. Si su único objetivo es un GitHub Actions más rápido y más barato, Blacksmith es una opción sólida: su precio de catálogo en x64 es el mismo que el de CRACI, su precio en ARM es más bajo e incluye 3.000 minutos gratuitos de x64 al mes.

CRACI es un CI que gestiona de forma nativa la seguridad de la cadena de suministro. También es un runner compatible con GitHub Actions, y el cambio es el mismo tipo de modificación de una sola línea, pero la seguridad forma parte del runner en lugar de ser una herramienta añadida a él. CRACI registra cada dependencia externa que descargó el build, aplica una política de egress a la red del build y convierte ese registro en SBOM, monitorización de vulnerabilidades y evidencia para el CRA. Ambos productos compiten por el mismo presupuesto de runners, así que tendrá que elegir uno.

De un vistazo

Lo que Blacksmith hace bien

Enfoque en el rendimiento. Blacksmith ejecuta los jobs en máquinas bare-metal con un alto rendimiento por núcleo, afirma que sus runners son el doble de rápidos que los runners alojados en GitHub y que su caché coubicada descarga unas cuatro veces más rápido. Para los builds de Docker, indica que sus clientes han obtenido mejoras de 2x a 40x gracias a la caché de capas. Son cifras de Blacksmith; la prueba real es su propio pipeline.

Caché sin cambios en los workflows. Las actions oficiales de caché y de configuración de GitHub se comunican con la caché de Blacksmith de forma transparente, con 25 GB de almacenamiento gratuito por repositorio y semana y expulsión de lo menos usado recientemente tras siete días. Los sticky disks y la caché de capas de Docker conservan el estado entre ejecuciones por $0.50 por GB al mes, y la documentación también cubre la caché de Bazel, del checkout de Git y de imágenes de contenedor.

Cobertura de plataformas. Blacksmith ofrece Ubuntu 22.04 y 24.04 en x64 y ARM de 2 a 32 vCPU, Windows Server 2025 en beta pública y macOS en Apple M4 en tamaños de 6 y 12 vCPU. No fija límites de concurrencia. CRACI hoy solo funciona en Linux, con Windows y macOS en la hoja de ruta, así que para esos jobs Blacksmith cubre un terreno que CRACI todavía no cubre.

Depuración y análisis. El acceso por SSH a los jobs en ejecución, el historial de ejecuciones, la búsqueda en logs, las métricas, los monitores, el análisis de tests y un panel de CI son funciones documentadas. Los Testboxes, que ejecutan cambios locales dentro de un job real de GitHub Actions, están en beta temprana.

Seguridad y cumplimiento del servicio. Los jobs se ejecutan en microVM Firecracker efímeras, y cada job recibe un token just-in-time limitado a ese job que caduca al cabo de una hora. Blacksmith afirma que cumple con SOC 2 Type 2 y con el RGPD, y que se somete a pruebas de penetración cada trimestre.

Precio y tamaños

En x64, ambos tienen el mismo precio de catálogo, $0.004 por minuto de 2 vCPU. El precio de Blacksmith en ARM es claramente más bajo, ya que CRACI cobra ARM64 a la misma tarifa que x86-64, y Blacksmith incluye 3.000 minutos gratuitos de x64 al mes. CRACI mide por segundo, redondeando al segundo más próximo, así que los jobs cortos se facturan por los segundos que se ejecutan. Las configuraciones también difieren: una unidad de cómputo de CRACI es 1 vCPU con 3 GB de RAM, de 1 a 32 unidades, mientras que los runners x64 de Blacksmith tienen 4 GB por vCPU y sus runners ARM, 3 GB. Ajuste la memoria que necesitan sus builds antes de comparar precios. Consulte los precios de CRACI para conocer las condiciones vigentes.

La velocidad no es donde más se diferencian. Ambos afirman que sus runners son aproximadamente el doble de rápidos que los runners alojados en GitHub. CRACI lo consigue con un hardware más rápido, tiempos de cola más cortos y la caché. No hemos comparado ambos en un benchmark.

En qué se diferencia CRACI

Un registro de lo que descargó el build

Mientras se ejecuta cada job, un proxy que entiende de paquetes registra el tráfico hacia las fuentes de paquetes: fuentes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk y Git, además de presets de descarga. La evidencia de dependencias viaja con las cachés de CI, de modo que los paquetes restaurados desde una caché también se cuentan. Cada job genera una SBOM en CycloneDX o SPDX con un estado de completitud por job y por caché: Complete, Complete with connections, Incomplete, Unavailable o Not recorded.

Control sobre a qué puede acceder el build

Las IP estáticas de Blacksmith dan a sus runners una dirección fija para acceder a servicios protegidos por firewall. CRACI también ofrece un rango estable de IP de egress, y añade políticas de egress: denegación o permiso por defecto, 24 presets de fuentes de software integrados, fuentes personalizadas tipadas y reglas explícitas de TLS, TCP, UDP e ICMP. Las políticas se validan antes de que empiece el job, bloquean si fallan (fail closed) y envían una alerta ante cada infracción.

Procedencia y monitorización

La API devuelve SBOM, trazas de red y datos de procedencia. CRACI agrega las vulnerabilidades de todos los builds y repositorios y sigue reevaluando las SBOM monitorizadas.

Dos preguntas de seguridad distintas

El trabajo de seguridad de Blacksmith responde a «¿puedo confiar mis jobs a este servicio de runners?»: microVM aisladas, tokens de corta duración, cachés cifradas y un informe SOC 2. CRACI también responde a esa pregunta, con máquinas virtuales aisladas y sin almacenar el código fuente, y además a una segunda: «¿qué descargó este build y a dónde se conectó?». Esa segunda respuesta es la que le piden un auditor, un cliente o el Cyber Resilience Act.

Reserve una demo para ver la SBOM, la traza de red y la procedencia de uno de sus propios workflows.

Cuál encaja mejor

Blacksmith encaja mejor si

• Sus objetivos principales son la velocidad del build y el menor coste por minuto en ARM, o le importan los minutos gratuitos mensuales.
• Necesita hoy runners macOS o Windows.
• Depende de los sticky disks, de la consola de observabilidad de Blacksmith o de la depuración por SSH.

CRACI encaja mejor si

• Distribuye software para el que debe demostrar qué se incluyó en cada versión, a partir del propio build.
• Quiere restringir a qué pueden acceder los builds, con una política que bloquee si falla.
• Necesita monitorizar lo que publicó sin añadir herramientas a cada workflow.
• Necesita residencia de datos en la UE, disponible en el plan Enterprise de CRACI.

A qué renuncia con CRACI. A los jobs de Windows y macOS, que están en la hoja de ruta, al precio más bajo en ARM y a las herramientas de depuración y análisis de Blacksmith. Lo que gana es un registro del build que los equipos de seguridad y de cumplimiento pueden usar sin otro escáner en el pipeline.

Para el Cyber Resilience Act

El Cyber Resilience Act de la UE espera que los fabricantes sepan qué contiene cada versión y gestionen sus vulnerabilidades, con obligaciones de notificación desde septiembre de 2026 y aplicación plena desde diciembre de 2027. Un runner rápido no genera esa evidencia por sí solo; tendría que añadir herramientas de SBOM y de escaneo a sus workflows. CRACI la genera a partir del registro del build y exporta las SBOM en CycloneDX o SPDX, vulnerabilidades incluidas. Automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro de software que las empresas necesitan para su proceso más amplio de cumplimiento del CRA.

Migrar desde Blacksmith

CRACI sustituye el runner, no GitHub Actions. Los workflows y la interfaz de GitHub siguen igual, y la etiqueta del job pasa a ser runs-on: craci. Los jobs disponen de Docker Engine, Buildx y Compose v2, una imagen de Ubuntu 24.04 compatible con GitHub y virtualización anidada en x86-64. Lea más sobre la integración con CI/CD y la generación de SBOM durante el build. Las startups pueden solicitar el programa para startups.

Blacksmith frente a CRACI: preguntas frecuentes

Precios, velocidad, plataformas y seguridad, respondidos a partir de la información publicada por cada proveedor

¿Qué es Blacksmith CI?

Blacksmith es un servicio de runners gestionados para GitHub Actions. Usted conserva sus workflows y cambia la etiqueta del runner, y sus jobs se ejecutan en las máquinas bare-metal de Blacksmith, en microVM Firecracker, en lugar de en runners alojados en GitHub. Su propuesta se basa en la velocidad y el precio: hardware más rápido, una caché de dependencias coubicada, caché de capas de Docker y observabilidad del CI.

¿Cuánto cuesta Blacksmith?

A septiembre de 2026, Blacksmith anuncia Ubuntu x64 de 2 vCPU a $0.004 por minuto, Ubuntu ARM a $0.0025, Windows a $0.008 y macOS M4 (6 vCPU) a $0.08. Cada organización recibe 3.000 minutos gratuitos de x64 con 2 vCPU al mes. La caché de capas de Docker y los sticky disks cuestan $0.50 por GB al mes, y las IP estáticas, $100 por IP al mes.

¿Es Blacksmith más barato que CRACI?

En ARM, sí; en x64, el precio de catálogo es el mismo. CRACI cobra $0.004 por minuto de 2 vCPU tanto en x86-64 como en ARM64, frente a los $0.004 de Blacksmith en x64 y $0.0025 en ARM, y Blacksmith incluye 3.000 minutos gratuitos de x64 al mes. CRACI mide por segundo, así que los jobs cortos se facturan por los segundos que se ejecutan. Lo que CRACI añade en el runner es el registro del build: una SBOM para cada job, una política de egress, datos de procedencia a través de la API y monitorización de vulnerabilidades, que de otro modo requerirían herramientas independientes.

¿Es Blacksmith más rápido que CRACI?

Ambos afirman que sus runners son aproximadamente el doble de rápidos que los runners alojados en GitHub. CRACI lo consigue con un hardware más rápido, tiempos de cola más cortos y la caché. No hemos comparado ambos en un benchmark, así que ejecute el mismo workflow en los dos y compare.

¿Genera Blacksmith SBOM o procedencia del build?

No figura entre sus funciones documentadas. Blacksmith se centra en la capacidad de cómputo, la caché y la observabilidad. CRACI registra los paquetes que descarga cada job, incluidos los restaurados desde cachés, y genera una SBOM en CycloneDX o SPDX con un estado de completitud. La API devuelve SBOM, trazas de red y datos de procedencia.

¿Puede Blacksmith restringir a qué accede un build en la red?

Blacksmith ofrece IP estáticas para que sus jobs puedan acceder a servicios protegidos por firewall desde una dirección fija. Una política sobre a qué puede conectarse el propio job no figura entre sus funciones documentadas. CRACI aplica una política de egress en el runner: denegación o permiso por defecto, 24 presets de fuentes de software integrados, validada antes de que empiece el job y que bloquea si falla (fail closed).

¿Es compatible CRACI con runners Windows o macOS?

Todavía no. CRACI ejecuta hoy Linux en x86-64 y ARM64, con Windows y macOS en la hoja de ruta. Blacksmith ofrece macOS en Apple M4 y Windows Server 2025 en beta pública.

¿Dónde se ejecutan los jobs y pueden los datos quedarse en la UE?

Blacksmith ejecuta los jobs en máquinas bare-metal en US East, US West, Ámsterdam y Fráncfort, con su plano de control en AWS. CRACI ejecuta los builds en infraestructura bare-metal europea, con residencia de datos en la UE en el plan Enterprise. CRACI no almacena su código fuente; se procesa en la VM del job mientras dura el build.

¿Cumple Blacksmith con SOC 2?

Blacksmith afirma que cumple con SOC 2 Type 2 y con el RGPD y que se somete a pruebas de penetración cada trimestre. CRACI documenta sus controles de seguridad en su Trust Center.

¿Tengo que reescribir mis workflows de GitHub Actions para cambiar?

No. Ambos productos sustituyen el runner, no GitHub Actions. Los workflows, los triggers y la interfaz de GitHub siguen igual; en CRACI, la etiqueta del job pasa a ser runs-on: craci.