CRACI frente a Ubicloud

La respuesta corta

Ubicloud es una alternativa de código abierto a las grandes nubes, y sus runners gestionados de GitHub Actions están entre los más baratos que se pueden comprar: un runner de 2 vCPU cuesta $0.002 por minuto en hardware x64 premium y $0.00125 en x64 standard o arm64, a septiembre de 2026. Si su objetivo es reducir la factura de GitHub Actions para jobs de Linux, Ubicloud cuesta menos que CRACI, y también funciona en Europa.

CRACI es un CI que gestiona de forma nativa la seguridad de la cadena de suministro. También es un runner compatible con GitHub Actions, y el cambio es igualmente de una sola línea, pero la seguridad forma parte del runner en lugar de ser una herramienta añadida. CRACI registra cada dependencia externa que descargó el build, aplica una política de egress en la red del build y convierte ese registro en SBOM, monitorización de vulnerabilidades y evidencia. Ambos productos compiten por el mismo presupuesto de runners, así que debe elegir uno.

De un vistazo

Lo que Ubicloud hace bien

Precio. Ubicloud funciona sobre bare metal alquilado y traslada el ahorro. Dice que sus runners reducen entre cuatro y siete veces la factura de GitHub Actions y ofrecen siete veces la relación precio-rendimiento de los runners alojados por GitHub. Esas cifras son de Ubicloud, pero los precios de lista respaldan la tendencia: entre $0.00125 y $0.002 por minuto de 2 vCPU, está muy por debajo tanto de GitHub como de CRACI.

Elección de hardware. Los runners x64 standard usan procesadores AMD EPYC, los runners premium usan chips AMD Ryzen 9 7950X3D ajustados para la velocidad de un solo hilo, y los runners arm64 usan Ampere Altra con un núcleo físico dedicado por vCPU. Las cuentas nuevas reciben premium por defecto y pasan a standard cuando la capacidad premium está llena. Los tamaños van de 2 a 30 vCPU, con imágenes creadas a partir de las plantillas runner-images de GitHub.

Caché sin cambios en el workflow. La caché transparente de Ubicloud sirve actions/cache, las acciones de configuración y la caché de capas de Docker desde un almacenamiento próximo a los runners, que según Ubicloud es hasta cuatro veces más rápido, con 30 GB por repositorio a la semana. El acceso SSH ayuda a depurar un workflow que falla.

Código abierto y aislamiento. El código de Ubicloud es público bajo AGPL-3.0, así que puede leer cómo funciona u operarlo usted mismo. Cada job obtiene una máquina virtual KVM limpia y efímera cuyo almacenamiento de bloques se elimina después, registrada mediante la API de runners just-in-time de GitHub, y los runners se alojan en centros de datos de Alemania.

Precio y tamaños

El precio de lista de Ubicloud es más bajo en todos los tamaños. Los $0.004 por minuto de 2 vCPU de CRACI son el doble de la tarifa x64 premium de Ubicloud y más del triple de su tarifa standard y arm64. CRACI mide por segundo, redondeado al segundo más próximo, y Ubicloud factura por minuto, de modo que los jobs cortos reducen la diferencia: un job de 30 segundos cuesta $0.002 en CRACI, lo mismo que un minuto facturado en el x64 premium de Ubicloud. Las configuraciones también difieren: los runners x64 de Ubicloud tienen 4 GB de RAM por vCPU, sus runners arm64 3 GB, y una unidad de cómputo de CRACI es 1 vCPU con 3 GB. Consulte los precios de CRACI para ver las condiciones vigentes.

CRACI no compite en precio. Ambos dicen que sus runners son aproximadamente el doble de rápidos que los runners alojados por GitHub; CRACI lo consigue con un hardware más rápido, menos tiempo en cola y la caché. No hemos comparado ambos en un benchmark.

En qué se diferencia CRACI

Un registro de lo que descargó el build

Mientras se ejecuta cada job, un proxy que entiende de paquetes registra el tráfico hacia las fuentes de paquetes: fuentes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk y Git, además de los presets de descarga. La evidencia de dependencias viaja con las cachés de CI, de modo que los paquetes restaurados desde una caché se siguen contando. Eso incluye las dependencias ocultas que ningún lockfile enumera, como el código descargado por hooks de instalación o scripts de build, y las capas de imágenes base. Cada job produce una SBOM en CycloneDX o SPDX con un estado de completitud por job y por caché: Complete, Complete with connections, Incomplete, Unavailable o Not recorded.

Control sobre lo que el build puede alcanzar

Una máquina virtual limpia por job impide que un job envenene el siguiente. No impide que una dependencia comprometida envíe sus secretos a algún sitio durante el job. La política de egress de CRACI, sí: de denegación o permiso por defecto, con 24 presets integrados de fuentes de software, fuentes personalizadas tipadas y reglas explícitas de TLS, TCP, UDP e ICMP. Las políticas se validan antes de que empiece el job, bloquean si fallan y envían una alerta ante una infracción. Como la política solo permite lo que el build necesita, bloquea la exfiltración a hosts que el build no necesita, incluso en un ataque que nadie haya visto antes.

Procedencia y monitorización

La API devuelve SBOM, trazas de red y procedencia. CRACI no firma la procedencia. Agrega las vulnerabilidades de todos los builds y repositorios y sigue reevaluando las SBOM monitorizadas.

Dos preguntas de seguridad distintas

El trabajo de seguridad de Ubicloud responde a «¿es seguro confiar mis jobs al runner?»: máquinas virtuales aisladas, registro just-in-time, cifrado y código fuente publicado. CRACI también responde a esa pregunta, con máquinas virtuales aisladas, sin almacenar código fuente y con la certificación ISO 27001, y después a una segunda: «¿qué incorporó este build y a dónde se conectó?». Esa segunda respuesta es la que le piden un auditor, un cliente o el Cyber Resilience Act.

Reserve una demo para ver la SBOM, la traza de red y la procedencia de uno de sus propios workflows.

Cuál encaja mejor

Ubicloud encaja mejor cuando

• El objetivo principal es el menor precio por minuto para jobs de Linux.
• Quiere una plataforma de código abierto que también podría operar usted mismo.
• Ya utiliza Ubicloud para cómputo o PostgreSQL y quiere el CI en la misma factura.

CRACI encaja mejor cuando

• Distribuye software para el que debe demostrar qué entró en cada versión, desde el propio build.
• Quiere restringir lo que pueden alcanzar los builds, con una política que bloquea si falla.
• Necesita monitorizar lo distribuido sin añadir herramientas a cada workflow.
• Necesita la residencia de datos en la UE como condición contractual, disponible en el plan Enterprise de CRACI.

A qué renuncia con CRACI. Al precio de Ubicloud, más bajo en todos los tamaños, y a su código abierto. Lo que gana es un registro del build que seguridad y cumplimiento pueden usar sin otro escáner en el pipeline.

Para el Cyber Resilience Act

El Cyber Resilience Act de la UE espera que los fabricantes sepan qué hay en cada versión y gestionen sus vulnerabilidades, con obligaciones de notificación desde septiembre de 2026 y aplicación completa desde diciembre de 2027. Un runner de bajo coste no produce esa evidencia por sí solo; tendría que añadir herramientas de SBOM y de escaneo a sus workflows. CRACI la produce a partir del registro del build y exporta SBOM en CycloneDX o SPDX. Automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro de software que las empresas necesitan para su proceso más amplio de cumplimiento del CRA.

Migrar desde Ubicloud

CRACI sustituye el runner, no GitHub Actions. Los workflows y la interfaz de GitHub siguen igual, y la etiqueta del job pasa a ser runs-on: craci. Los jobs disponen de Docker Engine, Buildx y Compose v2, una imagen de Ubuntu 24.04 compatible con GitHub y virtualización anidada en x86-64. Lea más sobre la integración con CI/CD y la generación de SBOM durante el build. Las startups pueden solicitar el programa para startups.

Ubicloud frente a CRACI: preguntas frecuentes

Precios, velocidad, alojamiento y seguridad, con respuestas basadas en la información publicada por cada proveedor

¿Qué es Ubicloud?

Ubicloud es una nube de código abierto: cómputo, PostgreSQL gestionado, Kubernetes y runners de GitHub Actions, construida sobre proveedores de bare metal como Hetzner, Leaseweb y AWS Bare Metal. Puede usar su servicio gestionado u operarla usted mismo. Sus runners de GitHub Actions se activan con una etiqueta, y cada job obtiene una máquina virtual limpia y efímera. Ubicloud formó parte de la promoción W24 de Y Combinator y obtuvo $16M de financiación seed.

¿Cuánto cuestan los runners de Ubicloud?

A septiembre de 2026, un runner x64 de 2 vCPU cuesta $0.00125 por minuto en hardware standard y $0.002 en hardware premium, el que reciben por defecto las cuentas nuevas. Un runner arm64 de 2 vCPU cuesta $0.00125. La facturación es por minuto, y cada cuenta recibe un crédito mensual de $2.50, unos 1.250 minutos. La página comercial de Ubicloud también indica runners standard desde $0.0010 por minuto; las cifras de aquí proceden de su documentación de precios.

¿Ubicloud es más barato que CRACI?

Sí. CRACI cobra $0.004 por minuto de 2 vCPU tanto en x86-64 como en ARM64. Los runners de 2 vCPU de Ubicloud cuestan $0.002 en x64 premium y $0.00125 en x64 standard y arm64. CRACI mide por segundo y Ubicloud por minuto, lo que reduce la diferencia en los jobs cortos: un job de 30 segundos cuesta $0.002 en CRACI, lo mismo que un minuto facturado en el x64 premium de Ubicloud. Lo que CRACI añade en el runner es el registro del build: una SBOM para cada job, una política de egress, datos de procedencia y monitorización de vulnerabilidades.

¿Ubicloud es más rápido que CRACI?

Ubicloud dice que sus runners van el doble de rápido que los runners alojados por GitHub, y CRACI ejecuta los builds aproximadamente el doble de rápido que los runners alojados por GitHub, gracias a un hardware más rápido, menos tiempo en cola y la caché. No hemos comparado ambos en un benchmark, así que ejecute el mismo workflow en los dos y compare.

¿Ubicloud genera SBOM o procedencia del build?

No figura entre sus funcionalidades documentadas. Los runners de Ubicloud se centran en el precio, el rendimiento y el aislamiento de los jobs. CRACI registra los paquetes que descarga cada job, incluidos los restaurados desde cachés, y produce una SBOM en CycloneDX o SPDX con un estado de completitud. La API devuelve SBOM, trazas de red y procedencia.

¿Puede Ubicloud restringir lo que un build alcanza en la red?

Una política de egress para los jobs de los runners no figura entre las funcionalidades de la documentación de GitHub Actions de Ubicloud, que cubre máquinas virtuales aisladas, registro de runners just-in-time y retención de logs de metadatos. CRACI aplica una política de egress en el runner: de denegación o permiso por defecto, con 24 presets integrados de fuentes de software, validada antes de que empiece el job y que bloquea si falla.

¿Dónde se ejecutan los jobs y pueden los datos permanecer en la UE?

Ubicloud reparte sus runners de GitHub Actions entre centros de datos de Alemania. CRACI ejecuta los builds en infraestructura bare metal europea, con residencia de datos en la UE en el plan Enterprise. CRACI no almacena su código fuente; se procesa en la máquina virtual del job mientras dura el build.

¿Tengo que reescribir mis workflows de GitHub Actions para cambiar?

No. Ambos productos sustituyen el runner, no GitHub Actions. Los workflows, los activadores y la interfaz de GitHub siguen igual; en CRACI, la etiqueta del job pasa a ser runs-on: craci.