CRACI frente a Depot

La respuesta corta

Depot es aceleración de builds: runners de GitHub Actions, un servicio remoto de builds de Docker con una caché de capas persistente, una caché remota para herramientas como Bazel y Gradle, y su propio motor de CI. CRACI es un runner compatible con GitHub Actions construido en torno a la seguridad de la cadena de suministro. Cada job produce una SBOM de lo que descargó realmente y se ejecuta bajo una política de egress que usted define.

La diferencia en una línea: Depot optimiza la velocidad de su build, y CRACI registra y controla lo que entra en él. Ambos sustituyen el runner alojado por GitHub, así que debe elegir uno.

De un vistazo

Qué hace bien Depot

Depot ha creado una plataforma de runners y builds amplia y bien documentada. Lo más destacado según su propia documentación:

• Un amplio catálogo de runners. Runners de Linux en AMD EPYC (etiquetas Intel) y AWS Graviton4 (Arm) desde 2 vCPU y 8 GB de RAM hasta 64 vCPU y 256 GB, además de Windows Server 2022 y 2025, y runners de macOS en los planes Startup y Business.
• Caché. Los runners están conectados a la caché distribuida de Depot, que según Depot alcanza velocidades de subida y descarga de hasta 1000 MiB/s. Depot describe sus runners como hasta 3 veces más rápidos que un runner alojado por GitHub, con una caché 10 veces más rápida.
• Builds de Docker. depot build es un sustituto directo de docker build que se ejecuta en un host remoto de BuildKit con una caché de capas NVMe persistente compartida por su equipo, y compila imágenes x86 y Arm de forma nativa sin emulación QEMU. Depot afirma que es hasta 40 veces más rápido que compilar en local o en un proveedor de CI.
• Aislamiento. Cada job de GitHub Actions se ejecuta en una instancia EC2 nueva, de un solo inquilino, que nunca se reutiliza.
• Filtrado del egress. Reglas de permiso y denegación para IP, CIDR y nombres de host, con una regla por defecto que usted fija en permitir o denegar. Actualmente se aplica a los runners de Linux.
• Opciones Enterprise. En el plan Business, Depot Managed despliega el plano de datos en su propia cuenta de AWS, con AWS PrivateLink, IP de salida estáticas y SSO. Depot indica un informe SOC 2 Type II.

Si el tiempo de build de imágenes Docker es su principal cuello de botella de CI, Depot está hecho exactamente para ese problema.

En qué se diferencia CRACI

CRACI trata el build como la fuente de verdad de lo que usted distribuye. El runner es donde se reúnen esas evidencias.

Un registro de lo que descargó el build

Mientras se ejecuta cada job, un proxy que entiende de paquetes registra el tráfico hacia las fuentes de paquetes: fuentes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk y Git, además de los presets de descarga. Las evidencias de dependencias viajan con las cachés de CI, así que un paquete restaurado desde una caché se sigue contando. La SBOM de cada job, en CycloneDX o SPDX, lleva un estado de completitud por job y por caché, de modo que usted sabe cuándo el registro está completo y cuándo no.

Depot también puede producir una SBOM: añada --sbom=true a depot build y generará una SBOM en SPDX con Syft. Es un escaneo de la imagen que produjo el build. El registro de CRACI cubre todo el job, incluidas las herramientas de build y los paquetes que nunca acaban en una imagen, y los jobs que no compilan imágenes.

Una política de egress pensada para fuentes de software

Ambos productos permiten bloquear el tráfico saliente inesperado de un runner. Las políticas de CRACI son de denegación o de permiso por defecto, con 24 presets integrados de fuentes de software, fuentes personalizadas tipadas para npm, PyPI, apt, apk, el proxy de Go, Nix, Cargo, registros OCI y Git sobre HTTPS y SSH, y reglas explícitas de TLS, TCP, UDP e ICMP. Las políticas se validan antes de que empiece el job, bloquean si fallan y envían una alerta en caso de infracción. Las reglas de Depot funcionan a nivel de IP, CIDR y nombres de host, lo que resulta más sencillo de entender si es todo lo que necesita.

Procedencia y monitorización

• Datos de procedencia. La API devuelve SBOM, trazas de red y procedencia. CRACI no firma la procedencia. Los builds de imágenes de Depot pueden adjuntar atestaciones de procedencia de BuildKit, configuradas con el flag --provenance.
• Monitorización de lo distribuido. Las SBOM monitorizadas se reevalúan de forma continua frente a nuevas vulnerabilidades, y los hallazgos se agregan para todos los builds y repositorios.

Precio y tamaños

A septiembre de 2026, Depot cobra $0.006 por minuto por su runner de Linux de 2 vCPU y 8 GB más allá de los minutos incluidos en su plan, y los tamaños mayores escalan de forma lineal: 32 vCPU cuestan $0.096 por minuto. El plan Developer cuesta $20 al mes con 2.000 minutos de GitHub Actions, y el plan Startup $200 al mes con 20.000. Depot mide el uso por segundos sin un mínimo de un minuto por ejecución, y ofrece una prueba gratuita de 7 días.

CRACI factura $0.002 por minuto de vCPU, así que 2 vCPU cuestan $0.004 por minuto y 32 vCPU cuestan $0.064 por minuto, con ARM64 a la misma tarifa. La medición es por segundos, y no hay cuota mensual. Más allá de los minutos del plan de Depot, eso supone alrededor de un 33 % menos por minuto en todos los tamaños. Iguale la memoria antes de comparar: una unidad de cómputo de CRACI tiene 3 GB de RAM por vCPU, mientras que los runners de Depot tienen 4 GB por vCPU. Consulte los precios de CRACI para conocer las condiciones actuales.

Cuál le conviene

Depot encaja mejor cuando

• Los builds de imágenes Docker dominan su tiempo de CI.
• Necesita runners de Windows o macOS. CRACI es hoy solo para Linux; Windows y macOS están en la hoja de ruta.
• Necesita runners dentro de su propia cuenta de AWS. CRACI aún no ofrece runners alojados por el cliente; están en la hoja de ruta para Enterprise.
• Depende de la caché remota para Bazel, Gradle, Turborepo o sccache.

CRACI encaja mejor cuando

• Necesita mostrar qué entró en una versión, desde el propio build, con un estado de completitud.
• Quiere controlar el egress del build por fuente de paquetes, con validación antes de cada job.
• Quiere la monitorización de las SBOM distribuidas en un solo lugar.
• Necesita residencia de datos en la UE, disponible en el plan Enterprise de CRACI.

Para el Cyber Resilience Act

El Cyber Resilience Act pide a los fabricantes que conozcan los componentes de sus productos, gestionen sus vulnerabilidades y conserven evidencias. El producto de Depot es infraestructura de build, y su documentación se centra en la velocidad, la caché y el aislamiento. CRACI automatiza una parte importante de la visibilidad y las evidencias de la cadena de suministro de software que las empresas necesitan para su proceso más amplio de cumplimiento del CRA: SBOM generadas durante el build, seguimiento de vulnerabilidades, procedencia y exportación de SBOM en CycloneDX o SPDX.

Cambiar de Depot a CRACI

Instale la GitHub App de CRACI en su organización, con acceso a todos los repositorios o a una selección, y cambie la etiqueta del runner en un job:

runs-on: craci

Sus workflows y la interfaz de GitHub siguen igual. Migre job a job, empezando por uno que compile algo que usted distribuye. Revise su SBOM y su traza de red, y después escriba una política de egress que permita las fuentes que necesita. Lea más sobre la integración con CI/CD y la generación de SBOM durante el build.