CRACI frente a Namespace

La respuesta corta

Namespace es infraestructura para desarrolladores: runners gestionados de GitHub Actions, builders remotos de Docker, cache volumes, ejecución remota de Bazel y entornos de desarrollo en la nube, todo ello en hardware que opera la propia Namespace. CRACI es un runner compatible con GitHub Actions construido en torno a la seguridad de la cadena de suministro. Cada job produce una SBOM de lo que descargó realmente y se ejecuta bajo una política de egress.

Ambos productos pueden restringir lo que un build alcanza en la red, y las políticas de egress de Namespace están bien diseñadas. La diferencia está en qué más ocurre en el runner: Namespace se centra en la velocidad, las plataformas y la caché, y CRACI registra el build y lleva ese registro a la monitorización de vulnerabilidades y a la evidencia para el CRA. Ambos sustituyen al runner alojado por GitHub, así que tendrá que elegir uno.

De un vistazo

Lo que Namespace hace bien

• Plataformas. Linux en AMD64 (AMD EPYC) y ARM64 (AmpereOne, y Apple Silicon en acceso anticipado), Windows en AMD EPYC y macOS en Apple M5 Max o M4 Pro. Los runners de Windows vienen con el plan Team y superiores.
• Perfiles de runner. Cree un perfil en el panel con un sistema operativo y un tamaño de máquina, y después haga referencia a él en runs-on. Los tamaños llegan hasta 64 vCPU en Linux, y Namespace afirma que su soporte puede habilitar hasta 512 GB de RAM.
• Caché. Los cache volumes conservan los datos en almacenamiento local entre ejecuciones, de modo que los jobs no suben y descargan un archivo de caché cada vez. Namespace también ofrece caché de builds de Docker, caché y ejecución remotas de Bazel, y cachés de Turborepo y Gradle.
• Políticas de egress. Las políticas funcionan en modo BLOCK, que deniega todo lo que no esté permitido, o en modo ADVISORY, que registra las mismas decisiones sin bloquear para que pueda crear una lista de permitidos a partir del tráfico real. Las reglas coinciden con dominios, un conjunto de reglas gestionado github-actions mantiene operativos los runners y, con inspección profunda de paquetes, una política puede inyectar secretos en las cabeceras de las peticiones o enrutar el tráfico a través de un proxy. Un panel agrupa las peticiones permitidas y denegadas por dominio, y cada instancia tiene su propia vista de egress.
• Confianza. Namespace cuenta con SOC 2 Type II, con el informe disponible en su Trust Center, y ofrece residencia de datos exclusiva por región en los planes empresariales.

Namespace publica resultados de clientes, como que DuckDB ejecuta su CI "10x faster". Son cifras de Namespace para esos clientes.

En qué se diferencia CRACI

CRACI trata el build como la fuente de verdad de lo que usted distribuye.

Un registro de lo que descargó el build

Mientras se ejecuta cada job, un proxy que entiende de paquetes registra el tráfico hacia las fuentes de paquetes: fuentes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk y Git, además de los presets de descarga. La evidencia de dependencias viaja con las cachés de CI, así que un paquete restaurado desde una caché sigue contando. La SBOM de cada job, en CycloneDX o SPDX, lleva un estado de completitud por job y por caché. Los logs de egress de Namespace le dicen con qué dominios contactó un runner. El registro de CRACI le dice qué paquetes y versiones descargó de ellos el build.

La política de egress, comparada de forma justa

Las políticas de CRACI son de denegación por defecto o de permiso por defecto, con 24 presets integrados de fuentes de software, fuentes personalizadas tipadas para npm, PyPI, apt, apk, el proxy de Go, Nix, Cargo, registros OCI y Git sobre HTTPS y SSH, y reglas explícitas de TLS, TCP, UDP e ICMP. Las políticas se validan antes de que empiece el job, bloquean si fallan, rechazan los campos desconocidos y envían una alerta ante una infracción.

Namespace va por delante en dos aspectos. Su modo de aviso permite observar una política antes de aplicarla, y el modo de monitorización de CRACI sigue en la hoja de ruta. Sus reglas de inyección de secretos y de proxy no tienen equivalente en CRACI. Donde CRACI se diferencia es en que sus fuentes están tipadas según el ecosistema de paquetes y el protocolo, en lugar de figurar como dominios, y en que el mismo job que se ejecuta bajo la política produce también el registro de los paquetes que descargó.

Procedencia y monitorización

• Datos de procedencia. La API devuelve SBOM, trazas de red y procedencia. CRACI no firma la procedencia y no reivindica ningún nivel SLSA.
• Monitorización de lo distribuido. Las SBOM monitorizadas se reevalúan de forma continua frente a las nuevas vulnerabilidades, y los hallazgos de todos los builds y repositorios se agregan.

Precio y tamaños

Namespace factura en minutos de unidad, donde una unidad es 1 vCPU y 2 GB de RAM durante un minuto en Linux. A septiembre de 2026, un runner Linux de 2 vCPU y 4 GB cuesta $0.002 por minuto dentro de los minutos del plan y $0.003 por minuto de excedente. El plan Team cuesta $100 al mes con 100.000 minutos de unidad, y Business $250 al mes con 250.000. Windows consume minutos al doble de la tarifa de Linux y macOS a diez veces esa tarifa. El uso tiene un mínimo de un minuto por job y después se redondea por minuto; en el ejemplo de Namespace, 150 segundos se facturan como 3 minutos.

CRACI factura $0.002 por vCPU-minuto, así que un runner de 2 vCPU con 6 GB de RAM cuesta $0.004 por minuto, con ARM64 a la misma tarifa, medido por segundo y sin cuota mensual. El precio de lista por minuto de Namespace es más bajo, con un mínimo de un minuto por job. Sus tamaños estándar tienen 2 GB de RAM por vCPU y los de CRACI 3 GB, así que elija el tamaño que necesitan sus builds antes de comparar. Consulte los precios de CRACI para ver las condiciones actuales.

Cuál le conviene

Namespace es más adecuado cuando

• Necesita runners de macOS o Windows. CRACI hoy solo funciona con Linux; Windows y macOS están en la hoja de ruta.
• Quiere probar una política de egress en modo de aviso antes de aplicarla.
• Depende de la ejecución remota de Bazel o de los cache volumes.
• También utiliza agentes de Buildkite o entornos de desarrollo en la nube y quiere un solo proveedor.

CRACI es más adecuado cuando

• Necesita mostrar qué entró en una versión, con un estado de completitud, desde el propio build.
• Quiere monitorizar en un solo lugar las SBOM distribuidas.
• Necesita evidencia para el Cyber Resilience Act.
• Necesita residencia de datos en la UE, disponible en el plan Enterprise de CRACI.

Para el Cyber Resilience Act

El Cyber Resilience Act pide a los fabricantes que conozcan los componentes de sus productos, gestionen sus vulnerabilidades y conserven evidencia. El producto de Namespace es CI rápido e infraestructura de desarrollo. CRACI automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro de software que las empresas necesitan para su proceso más amplio de cumplimiento del CRA: SBOM generadas durante el build y exportadas en CycloneDX o SPDX, seguimiento de vulnerabilidades y procedencia mediante la API. Consulte la evidencia para el CRA.

Pasar de Namespace a CRACI

Instale la GitHub App de CRACI en su organización, con acceso a todos los repositorios o a un conjunto seleccionado, y cambie la etiqueta del runner en un job:

runs-on: craci

Migre un job cada vez, compruebe su SBOM y su traza de red, y lea más sobre la integración con CI/CD y la generación de SBOM durante el build.