Herramientas y plataformas de CI/CD comparadas

Para quién es esta página

Está eligiendo una plataforma de CI/CD, o revisando la que tiene, y hay una pregunta nueva en la lista. Un cliente, un auditor o el Cyber Resilience Act de la UE preguntan qué entró en cada lanzamiento. Todas las plataformas de esta página pueden ejecutar sus builds. La diferencia está en de dónde sale esa evidencia y cuánta tiene que reunir usted mismo.

CRACI aparece en esta página por ese motivo, y no es una plataforma de CI. Es un runner para GitHub Actions: usted mantiene GitHub Actions y cambia runs-on a craci. CRACI solo es compatible hoy con GitHub Actions, con GitLab CI y Jenkins en la hoja de ruta. Los pipelines de GitLab CI, CircleCI y Buildkite no se ejecutan en él. Nosotros desarrollamos CRACI, así que téngalo en cuenta; los demás productos se describen a partir de su propia documentación.

¿De dónde debe salir la SBOM?

Hay tres lugares de los que una plataforma puede obtenerla.

1. El repositorio. La plataforma analiza manifiestos y lockfiles. El grafo de dependencias de GitHub y el escaneo de dependencias basado en SBOM de GitLab funcionan así. Está siempre activo, cuesta poco ejecutarlo y describe lo que declara el proyecto. No ve los scripts de instalación, las toolchains descargadas ni los paquetes restaurados desde una caché, y la exportación de GitHub refleja la rama predeterminada en lugar de un commit fijado.
2. Una herramienta que usted añade al pipeline. Ejecuta un generador de SBOM como un paso, mediante un orb de CircleCI o en sus agentes de Buildkite. Es flexible, y el resultado depende de la herramienta y de su configuración: cada generador lee un conjunto distinto de archivos y los resuelve de otra manera, así que dos de ellos aplicados al mismo checkout limpio no devolverán la misma lista de componentes. CRACI no se puede comparar en esos términos, porque registra builds en lugar de escanear un directorio.
3. El runner que observó el build. La SBOM se registra a partir del tráfico que generó el job mientras se ejecutaba. Esto es lo que hace CRACI.

La procedencia sigue la misma división. Las atestaciones de artefactos de GitHub, un paso que usted añade a un workflow, ofrecen SLSA v1.0 Build Level 2, o Level 3 con workflows reutilizables. GitLab Runner puede generar una declaración de procedencia SLSA 1.0 en todos los niveles. Buildkite Package Registries puede publicar procedencia SLSA que, según Buildkite, cumple Build Level 1, en los planes Enterprise. La API de CRACI devuelve datos de procedencia del runner que observó el job, sin firmar y sin nivel SLSA.

De un vistazo

La columna de GitHub Actions incluye las funciones de la plataforma GitHub que los equipos usan con ella: el grafo de dependencias, Dependabot, las atestaciones de artefactos y GitHub Advanced Security. Precios a septiembre de 2026.

Las plataformas

CRACI, un runner seguro para GitHub Actions

CRACI sustituye el runner, no GitHub Actions. Instale la GitHub App de CRACI y cambie runs-on; las ejecuciones siguen apareciendo en la interfaz de GitHub. Mientras se ejecuta cada job, un proxy que entiende de paquetes registra lo que descargó, incluidos los paquetes restaurados desde cachés de CI, y genera una SBOM CycloneDX o SPDX con un estado de completitud por job y por caché. Las políticas de egress se validan antes de que empiece el job y, si fallan, bloquean. Ideal para equipos de GitHub Actions que distribuyen software y necesitan evidencia de cada lanzamiento. Tenga en cuenta que hoy solo es compatible con GitHub Actions y Linux (GitLab CI, Jenkins, Windows y macOS están en la hoja de ruta), y que no ofrece SAST ni escaneo de secretos.

Generación de SBOM durante el build

GitHub Actions

CI/CD integrado en GitHub, con runners alojados de Linux, Windows y macOS y runners autoalojados para sus propias máquinas. Los planes incluyen de 2.000 a 50.000 minutos al mes, y un runner Linux estándar de 2 núcleos cuesta $0.006 por minuto a septiembre de 2026. A su alrededor están el grafo de dependencias, las alertas y actualizaciones de seguridad de Dependabot, las atestaciones de artefactos y los productos de pago GitHub Secret Protection y GitHub Code Security. Ideal para código que ya está en GitHub. Tenga en cuenta que la SBOM describe el repositorio, no el build, salvo que usted añada un generador.

CRACI frente a los runners alojados por GitHub y CRACI y GitHub Advanced Security

GitLab CI

Forma parte de una plataforma DevSecOps completa: control de código fuente, merge requests, planificación y CI/CD en un solo producto. El SAST básico, la detección de secretos y el escaneo de contenedores funcionan en todos los niveles; Ultimate añade el escaneo de dependencias, el escaneo continuo de vulnerabilidades, DAST y el informe de vulnerabilidades. Los runners alojados cubren Linux en x86-64 y arm64, con Windows y macOS en beta. A septiembre de 2026, Free incluye 400 minutos de cómputo y Premium cuesta $29 por usuario al mes con facturación anual. Ideal para quien busca un único proveedor para todo el ciclo de vida. Tenga en cuenta que la detección de dependencias se basa en lockfiles, y que GitLab presenta las atestaciones firmadas SLSA Level 3 como un experimento.

CRACI frente a GitLab CI

CircleCI

Una plataforma de CI/CD alojada, madura y flexible, que se conecta a GitHub, GitLab y Bitbucket. Ejecuta jobs en clases de recursos Docker, Linux, Arm, Windows, macOS y GPU, con runners autoalojados para sus propias máquinas. La caché de capas de Docker está en todos los planes, y la división de pruebas reparte las suites entre ejecutores paralelos según los datos de tiempos. Sus recomendaciones sobre la cadena de suministro se centran en proteger las credenciales con contexts y OIDC. A septiembre de 2026, el plan Free incluye 30.000 créditos al mes. Ideal para plataformas mixtas y grandes suites de pruebas. Tenga en cuenta que las SBOM y el escaneo provienen de los orbs y las herramientas que usted conecte.

CRACI frente a CircleCI

Buildkite

Una plataforma híbrida: el plano de control SaaS de Buildkite orquesta, y los agentes que ejecutan los jobs están en su propia infraestructura, así que el código fuente y los secretos se quedan en su entorno. También hay agentes alojados, a $0.004 por minuto de vCPU en Linux a septiembre de 2026. Los pipelines firmados permiten que los agentes rechacen jobs modificados después de subirlos, y Test Engine gestiona las pruebas inestables y la división de pruebas. Ideal para builds que deben ejecutarse en su propio hardware o red. Tenga en cuenta que el diseño de la seguridad del build corre por su cuenta: las propias recomendaciones de Buildkite le indican que aplique controles estrictos de egress de red en sus agentes.

CRACI frente a Buildkite

Cómo encaja CRACI

CRACI es un complemento de GitHub Actions, no un sustituto de una plataforma de CI. En GitHub, una configuración habitual es GitHub Advanced Security y Dependabot en cada pull request, y CRACI como el runner que registra cada build y aplica la política de egress. Las SBOM monitorizadas se reevalúan a medida que aparecen nuevas vulnerabilidades, y se exportan en CycloneDX o SPDX, vulnerabilidades incluidas. Automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro de software que las empresas necesitan para su proceso más amplio de cumplimiento del Cyber Resilience Act.

Si sus pipelines están en GitLab CI, CircleCI o Buildkite, usar CRACI implica migrar esos pipelines a GitHub Actions. GitLab CI y Jenkins están en la hoja de ruta. CRACI no es la opción adecuada cuando:

• Quiere una sola plataforma para el código, la planificación, el CI y el escaneo. GitLab está hecho para eso.
• Los builds deben ejecutarse en su propio hardware o red. Buildkite y los runners autoalojados encajan; CRACI es hoy un servicio gestionado, con runners alojados por el cliente en la hoja de ruta para Enterprise.
• Necesita builds en Windows, macOS o GPU. CRACI hoy solo funciona en Linux; Windows y macOS están en la hoja de ruta.
• Necesita hoy un nivel SLSA documentado. Las atestaciones de artefactos de GitHub lo ofrecen.

Consulte los precios de CRACI y la integración con CI/CD.

CRACI comparado con cada herramienta

• CRACI frente a Runners alojados en GitHub Los mismos workflows, builds más rápidos, menor coste.
• CRACI frente a GitLab CI Los escáneres de una plataforma DevSecOps frente a un runner que registra.
• CRACI frente a CircleCI CI alojado frente a evidencias generadas durante el build.
• CRACI frente a Buildkite Agentes autoalojados frente a runners que registran los builds.
• CRACI frente a Blacksmith Runners rápidos frente a un CI con seguridad de la cadena de suministro integrada.
• CRACI frente a Depot Aceleración del build frente a evidencias del build.
• CRACI frente a Namespace Infraestructura de CI rápida frente a runners que registran los builds.
• CRACI frente a WarpBuild Runners rápidos y BYOC frente a runners con evidencias.
• CRACI frente a RunsOn Runners en su cuenta de AWS frente a runners que registran los builds.
• CRACI frente a Ubicloud Runners de bajo coste frente a un CI con seguridad de la cadena de suministro integrada.
• CRACI frente a Avrea Observabilidad del CI frente a evidencias generadas durante el build.
• CRACI frente a Harness Escaneos de SBOM en el pipeline frente a un runner que registra el build.
• CRACI frente a Northflank Una plataforma de build y despliegue frente a un runner que registra los builds.
• CRACI frente a Jenkins Un servidor de CI que usted gestiona frente a runners gestionados que registran los builds.
• CRACI frente a Azure Pipelines Jobs en paralelo frente a runners por minuto con evidencias del build.

Lado a lado

Varias herramientas en una página, para cuando elige una categoría y no un producto concreto.

• Comparativa de Runners de GitHub Actions Runners alojados en GitHub, CRACI, Blacksmith, Depot, Namespace y WarpBuild, lado a lado.