CRACI vs. Avrea

Lyhyt vastaus

Avrea on hostattujen runnereiden palvelu GitHub Actionsille, CRACI:n tavoin helsinkiläinen, ja se on rakennettu nopeutta ja CI:n sisälle näkemistä varten: Linux-, Windows- ja macOS-runnerit, automaattinen riippuvuusvälimuisti, lokihaku, ajonaikaiset metriikat, epävakaiden testien tunnistus ja SSH-yhteys käynnissä oleviin jobeihin. Jos tavoitteesi on nopeammat putket ja sen ymmärtäminen, miksi ne ovat hitaita, Avrean havainnoitavuus menee pidemmälle kuin CRACI:n, ja se kattaa Windowsin ja macOS:n jo nyt.

CRACI on CI, joka hoitaa toimitusketjun tietoturvan sisäänrakennetusti. Myös Avrea on lisännyt tietoturvaominaisuuksia: egress-palomuurin Enterprise-tilaukseensa ja esiversiona repositorion SBOM:n. Ero on siinä, mistä näyttö tulee. CRACI tallentaa jokaisen ulkoisen riippuvuuden, jonka buildi todella haki, valvoo egress-käytäntöä, joka estää virhetilanteessa, ja valvoo toimitettua jatkuvasti uusien haavoittuvuuksien varalta. Molemmat tuotteet korvaavat runnerin, jolla jobisi ajetaan, joten valitset toisen.

Yhdellä silmäyksellä

Missä Avrea on hyvä

CI:n havainnoitavuus. Avrea kerää CPU-, muisti- ja verkkometriikat jokaisesta jobista ilman agenttia, hakee lokeista kaikkien jobien ja repositorioiden yli, erottaa epävakaat testit todellisista virheistä ja näyttää välimuistin osumaprosentit, hitaat työnkulut ja kulut ajan mittaan. SSH-yhteys käynnissä olevaan jobiin toimii päätteestä tai verkkokonsolista, ja jobin päätyttyä on lisäaikaa. Kaikki tämä sisältyy jokaiseen tilaukseen.

Nopeus ja välimuisti. Avrean runnerit toimivat omistetulla laitteistolla, jossa on korkeat kellotaajuudet ja paikallinen NVMe-tallennus, ja riippuvuudet tallennetaan automaattisesti välimuistiin runnereiden lähelle ensimmäisen buildin jälkeen. Avrean mukaan sen runnerit ovat pelkän laitteiston ansiosta noin kaksi kertaa nopeampia ja välimuistiosumien kanssa jopa kymmenen kertaa nopeampia. Luvut ovat Avrean omia; todellinen testi on oma putkesi.

Alustojen kattavuus. Avrea tarjoaa Ubuntua x86-64:llä 1–32 vCPU:n koossa, Linux ARM64:ää ja macOS 26:ta Apple M5 Max -laitteistolla sekä Windows 2025:tä. CRACI on nyt vain Linuxille, ja Windows ja macOS ovat tiekartalla. Avrean mukaan se tukee nyt GitHub Actionsia ja aikoo lisätä muita alustoja, kuten GitLabin; CRACI:lla GitLab CI ja Jenkins ovat tiekartalla.

Palvelun tietoturva ja egress-palomuuri. Jobit ajetaan tilapäisissä virtuaalikoneissa, välimuistit on eristetty repositorioittain ja salattu, ja Avrea on ISO 27001:2022 -sertifioitu ja SOC 2 Type 2 -todennettu. Sen Enterprise-tilaukseen listattu egress-palomuuri sallii tai estää kohteita verkkotunnuksen, CIDR:n, protokollan ja portin mukaan, sitä valvotaan sekä IP- että DNS-tasolla, ja jokaisesta ajosta saa yhteenvedon siitä, mihin se otti yhteyttä ja mitä estettiin.

Hinta ja koot

x86-64:llä listahinta on sama, $0.004 2 vCPU:n minuutilta ja $0.064 32 vCPU:lla, ja Avrean runnereissa on enemmän muistia: 4 Gt per vCPU CRACI:n 3 Gt:tä vastaan. Avrea myy myös vähemmän muistia sisältäviä x86-64-runnereita, joissa on 2 Gt per vCPU: 4 vCPU ja 8 Gt hintaan $0.006 minuutilta sekä 8 vCPU ja 16 Gt hintaan $0.012, mikä alittaa CRACI:n $0.008 ja $0.016 näissä koissa. ARM64:llä tilanne kääntyy. Avrean ARM64-runnerit toimivat Apple M5 Max -laitteistolla hintaan $0.012 2 vCPU:n minuutilta, kolminkertaisesti CRACI:n ARM64-hintaan nähden: CRACI veloittaa saman $0.004 kuin x86-64:llä. Molemmat mittaavat ajoaikaa sekunneittain, joten lyhyestä jobista laskutetaan kummallakin vain ajetut sekunnit. Katso voimassa olevat ehdot sivulta CRACI:n hinnoittelu.

Missä CRACI on erilainen

SBOM siitä, mitä buildi haki, ei siitä, mitä repositorio ilmoittaa

Avrean SBOM lukee oletushaaran riippuvuusmanifestit ja lukitustiedostot ajamatta koodia ja luettelee tuotantoriippuvuudet. Se on hyödyllinen inventaario siitä, mitä repositorio ilmoittaa. CRACI:n SBOM tulee buildista itsestään: kunkin jobin ajon aikana paketit tunnistava välityspalvelin tallentaa liikenteen pakettilähteisiin, npm-, PyPI-, RubyGems-, Composer-, Cargo-, Go-, Nix-, OCI-, apt-, apk- ja Git-lähteisiin sekä latausesiasetuksiin. Siihen sisältyvät välimuisteista palautetut paketit ja piilossa olevat riippuvuudet, joita mikään lukitustiedosto ei luettele, kuten asennushookkien tai build-skriptien lataama koodi ja peruskuvan kerrokset. Jokainen jobi tuottaa CycloneDX- tai SPDX-muotoisen SBOM:n kattavuustilan kanssa.

Tällä on merkitystä, koska buildit eivät ole oletuksena toistettavia: kahdesti buildattu sama commit voi tuoda mukaan eri paketit. Vain julkaisun tuottaneesta buildista otettu SBOM näyttää, mitä julkaisussa on.

Egress-käytäntö reilusti vertailtuna

Molemmat tuotteet voivat rajata buildin sallittujen listaan ja estää kaiken muun. Avrea on edellä näkyvyydessä: sen ajokohtainen yhteenveto nimeää tärkeimmät kohteet, lähetetyt tavut ja estetyt DNS-haut. CRACI:n käytäntö tyypittää lähteet paketti-ekosysteemin ja protokollan mukaan, siinä on 24 valmista ohjelmistolähteiden esiasetusta ja mukautetut lähteet npm:lle, PyPI:lle, apt:lle, apk:lle, Go-proxylle, Nixille, Cargolle, OCI-rekistereille ja Gitille HTTPS:n ja SSH:n yli, se validoidaan ennen jobin alkua, se estää virhetilanteessa ja lähettää hälytyksen rikkeestä. Lisäksi sama jobi, joka ajetaan käytännön alaisena, tuottaa myös tallenteen hakemistaan paketeista.

Alkuperätiedot ja valvonta

API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot. CRACI kokoaa haavoittuvuudet kaikista buildeista ja repositorioista, arvioi valvotut SBOM:t jatkuvasti uudelleen ja näyttää, mitkä aiemmat buildit sisälsivät haavoittuvan riippuvuuden.

Varaa demo, niin näet SBOM:n, verkkojäljen ja alkuperätiedot yhdestä omasta työnkulustasi.

Kumpi sopii

Avrea sopii paremmin, kun

• Päätavoitteet ovat nopeammat putket ja näkyvyys hitaisiin jobeihin, epävakaisiin testeihin ja välimuistin toimintaan.
• Tarvitset macOS- tai Windows-runnereita jo nyt.
• Haluat 3 000 ilmaista minuuttia kuukaudessa; x86-64:llä kummankin minuuttihinta on sama.
• Tarvitset runneritoimittajaltasi SOC 2:n.

CRACI sopii paremmin, kun

• Toimitat ohjelmistoa, jonka jokaisen julkaisun sisältö sinun on osoitettava itse buildista.
• Haluat egress-käytännön, joka on tyypitetty pakettilähteen mukaan, validoidaan ennen jobin alkua ja estää virhetilanteessa.
• Tarvitset toimitetun ohjelmiston valvontaa uusien haavoittuvuuksien varalta.
• Buildisi ajetaan ARM64:llä, jolla CRACI:n hinta on kolmasosa Avrean hinnasta.

Mistä luovut CRACI:n kanssa. Avrean CI-analytiikasta ja vianetsintätyökaluista, Windows- ja macOS-runnereista, jotka ovat CRACI:n tiekartalla, sekä 3 000 ilmaisesta minuutista kuukaudessa. Saat tilalle buildin tallenteen, jota tietoturva ja compliance voivat käyttää ilman uutta skanneria putkessa.

EU:n kyberkestävyyssäädöstä varten

EU:n kyberkestävyyssäädös (Cyber Resilience Act, CRA) edellyttää, että valmistajat tietävät, mitä kussakin julkaisussa on, ja käsittelevät sen haavoittuvuudet. Raportointivelvoitteet alkavat syyskuussa 2026, ja säädöstä sovelletaan kokonaisuudessaan joulukuusta 2027. Repositorion riippuvuusinventaario on alku. CRACI tuottaa SBOM:n julkaisun tehneestä buildista, valvoo sitä uusien haavoittuvuuksien varalta ja vie sen CycloneDX- tai SPDX-muodossa haavoittuvuuksineen. Se automatisoi merkittävän osan siitä ohjelmistotoimitusketjun näkyvyydestä ja näytöstä, jota yritykset tarvitsevat laajempaan CRA-vaatimustenmukaisuuden prosessiinsa.

Siirtyminen Avreasta

CRACI korvaa runnerin, ei GitHub Actionsia. Työnkulut ja GitHubin käyttöliittymä pysyvät ennallaan, ja jobin labeliksi tulee runs-on: craci. Jobeilla on käytössään Docker Engine, Buildx ja Compose v2, GitHub-yhteensopiva Ubuntu 24.04 -kuva ja sisäkkäinen virtualisointi x86-64:llä. Lue lisää CI/CD-integraatiosta ja buildin aikaisesta SBOM-generoinnista. Startupit voivat hakea startup-ohjelmaan.

Avrea vs. CRACI: yleisiä kysymyksiä

Hinnoittelu, nopeus, SBOM:t ja lähtevän liikenteen hallinta kunkin toimittajan julkaisemien tietojen perusteella

Mikä Avrea on?

Avrea on hostattujen runnereiden palvelu GitHub Actionsille, ja sen ovat rakentaneet Helsingissä Aivenin perustajiin kuuluva Hannu Valtonen ja Noston perustajiin kuuluva Juha Valvanne. Vaihdat runnerin labelin, ja jobisi ajetaan Avrean tilapäisillä virtuaalikoneilla automaattisen välimuistin, lokihaun, ajonaikaisten metriikoiden ja SSH-vianetsinnän kera. Avrea julkaistiin toukokuussa 2026, ja se keräsi $4.7 miljoonan pre-seed-rahoituksen, jota johti Earlybird.

Paljonko Avrea maksaa?

Marraskuussa 2026 Avrea veloittaa runneriminuuteista ilman kuukausimaksua: $0.004 minuutilta 2 vCPU:n x86-64-runnerilla, $0.012 2 vCPU:n ARM64:llä Apple M5 Maxilla, $0.008 2 vCPU:n Windowsilla ja $0.08 8 vCPU:n macOS:llä. Jokainen organisaatio saa 3 000 ilmaista 2 vCPU:n minuuttia kuukaudessa. Staattiset IP-osoitteet maksavat $100 per IP kuukaudessa, ja egress-palomuuri on listattu Enterprise-tilaukseen.

Onko Avrea halvempi kuin CRACI?

Se riippuu arkkitehtuurista. 2 vCPU:n x86-64:llä molempien listahinta on $0.004 minuutilta, ja Avrean runnerissa on enemmän muistia. 4 ja 8 vCPU:n koossa Avrea myy myös vähemmän muistia sisältäviä x86-64-runnereita (2 Gt per vCPU), jotka maksavat vähemmän kuin CRACI:n. 2 vCPU:n ARM64:llä CRACI on halvempi: sama $0.004 Avrean $0.012:ta vastaan, kolmasosa hinnasta. Molemmat mittaavat ajoaikaa sekunneittain. Avrean hintaan sisältyy myös 3 000 ilmaista minuuttia kuukaudessa; CRACI:lla ei ole ilmaistasoa, mutta sillä on startup-ohjelma.

Onko Avrea nopeampi kuin CRACI?

Avrean mukaan sen runnerit ovat pelkän laitteiston ansiosta noin kaksi kertaa nopeampia ja välimuistiosumien kanssa jopa kymmenen kertaa nopeampia. CRACI ajaa buildit noin kaksi kertaa nopeammin kuin GitHubin ylläpitämät runnerit nopeamman laitteiston, lyhyempien jonotusaikojen ja välimuistin ansiosta. Emme ole verranneet näitä kahta toisiinsa mittauksin, joten aja sama työnkulku molemmilla ja vertaa.

Avreassa on nyt SBOM:t. Miten CRACI:n SBOM eroaa?

Avrea generoi repositorion SBOM:n analysoimalla staattisesti oletushaaran riippuvuusmanifestit ja lukitustiedostot, vain tuotantoriippuvuudet, CycloneDX- ja SPDX-muodossa. Se kuvaa sitä, mitä repositorio ilmoittaa. CRACI tallentaa sen, mitä buildi todella haki ajon aikana, mukaan lukien välimuisteista palautetut paketit ja piilossa olevat riippuvuudet, joita mikään lukitustiedosto ei luettele, kuten asennushookkien tai build-skriptien lataaman koodin ja peruskuvan kerrokset. Jokaisella CRACI:n SBOM:lla on kattavuustila, ja valvotut SBOM:t arvioidaan uudelleen uusien haavoittuvuuksien ilmaantuessa.

Molemmissa on egress-palomuuri. Mikä on ero?

Molemmat antavat buildin tavoittaa vain sallimasi kohteet, ja molemmat voivat estää oletuksena. Avrean säännöt vastaavat verkkotunnuksia, CIDR:eja, protokollia ja portteja, niitä valvotaan sekä IP- että DNS-tasolla, ja jokaisesta ajosta saa yhteenvedon siitä, mihin buildi otti yhteyttä; palomuuri on listattu Enterprise-tilaukseen. CRACI:n käytäntö tyypittää lähteet paketti-ekosysteemin mukaan, siinä on 24 valmista ohjelmistolähteiden esiasetusta, se validoidaan ennen jobin alkua ja se estää virhetilanteessa. CRACI tallentaa myös, mitkä paketit ja versiot tulivat näiden yhteyksien kautta.

Tukeeko CRACI Windows- tai macOS-runnereita?

Ei vielä. CRACI ajaa nyt Linuxia x86-64:llä ja ARM64:llä, ja Windows ja macOS ovat tiekartalla. Avrea tarjoaa Windows 2025:n ja macOS 26:n Apple M5 Maxilla.

Pitääkö GitHub Actions -työnkulut kirjoittaa uudelleen vaihdon yhteydessä?

Ei. Molemmat tuotteet korvaavat runnerin, eivät GitHub Actionsia. Työnkulut, laukaisimet ja GitHubin käyttöliittymä pysyvät ennallaan; CRACI:ssa jobin label on runs-on: craci.