CRACI vs Avrea

En bref

Avrea est un service de runners hébergés pour GitHub Actions, basé à Helsinki comme CRACI, conçu pour la vitesse et pour voir à l'intérieur de votre CI : runners Linux, Windows et macOS, cache automatique des dépendances, recherche dans les logs, métriques d'exécution, détection des tests instables et SSH dans les jobs en cours. Si votre objectif est d'accélérer vos pipelines et de comprendre pourquoi ils sont lents, l'observabilité d'Avrea va plus loin que celle de CRACI, et Avrea couvre Windows et macOS dès aujourd'hui.

CRACI est une CI qui gère nativement la sécurité de la chaîne d'approvisionnement. Avrea a lui aussi ajouté des fonctionnalités de sécurité : un pare-feu sortant sur son plan Enterprise et, en preview, une SBOM de dépôt. La différence tient à l'origine des preuves. CRACI enregistre chaque dépendance externe que le build a réellement récupérée, applique une politique de trafic sortant qui bloque tout en cas d'échec et continue de surveiller ce qui a été livré pour détecter de nouvelles vulnérabilités. Les deux produits remplacent le runner sur lequel s'exécutent vos jobs : il faut donc choisir l'un des deux.

En un coup d'œil

Ce qu'Avrea fait bien

L'observabilité de la CI. Avrea collecte les métriques CPU, mémoire et réseau de chaque job sans agent, permet de chercher dans les logs de tous les jobs et de tous les dépôts, distingue les tests instables des vrais échecs, et affiche les taux de succès du cache, les workflows lents et les dépenses dans le temps. Le SSH dans un job en cours fonctionne depuis le terminal ou la console web, avec un délai de grâce après la fin du job. Tout cela est inclus dans chaque plan.

La vitesse et le cache. Les runners d'Avrea tournent sur du matériel dédié à fréquence élevée avec stockage NVMe local, et les dépendances sont mises en cache automatiquement, près des runners, après le premier build. Avrea affirme que ses runners sont trois fois plus rapides, et davantage avec un cache chaud. Ce sont les chiffres d'Avrea ; votre propre pipeline reste le vrai test.

La couverture des plateformes. Avrea propose Ubuntu en x86-64 de 1 à 32 vCPU, Linux ARM64 et macOS 26 sur du matériel Apple M5 Max, ainsi que Windows 2025. CRACI ne prend en charge que Linux aujourd'hui, avec Windows et macOS sur la roadmap. Avrea indique prendre en charge GitHub Actions aujourd'hui et prévoir d'ajouter d'autres plateformes comme GitLab ; chez CRACI, GitLab CI et Jenkins figurent sur la roadmap.

La sécurité du service, et un pare-feu sortant. Les jobs s'exécutent dans des VM éphémères, les caches sont isolés par dépôt et chiffrés, et Avrea est certifié ISO 27001:2022 et dispose d'une attestation SOC 2 Type 2. Son pare-feu sortant, inclus dans le plan Enterprise, autorise ou refuse des destinations par domaine, CIDR, protocole et port, est appliqué à la fois sur l'IP et le DNS, et fournit pour chaque exécution un récapitulatif des connexions et de ce qui a été bloqué.

Prix et dimensionnement

En x86-64, le prix catalogue est identique, $0.004 par minute 2 vCPU et $0.064 à 32 vCPU, et les runners d'Avrea ont plus de mémoire : 4 Go par vCPU contre 3 Go chez CRACI. En ARM64, la situation s'inverse. Les runners ARM64 d'Avrea tournent sur du matériel Apple M5 Max à $0.012 par minute 2 vCPU, trois fois le tarif ARM64 de CRACI : CRACI facture les mêmes $0.004 qu'en x86-64. CRACI décompte à la seconde, arrondi à la seconde la plus proche, alors qu'Avrea décompte à la minute : sur CRACI, les jobs courts sont facturés pour les secondes pendant lesquelles ils s'exécutent. Consultez les tarifs de CRACI pour les conditions actuelles.

Ce qui distingue CRACI

Une SBOM de ce que le build a récupéré, pas de ce que le dépôt déclare

La SBOM d'Avrea lit les manifestes de dépendances et les lockfiles de la branche par défaut, sans exécuter le code, et liste les dépendances de production. C'est un inventaire utile de ce que le dépôt déclare. Celle de CRACI provient du build lui-même : pendant l'exécution de chaque job, un proxy qui comprend les paquets enregistre le trafic vers les sources de paquets, npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk et sources Git, ainsi que des presets de téléchargement. Elle inclut les paquets restaurés depuis les caches et les dépendances cachées qu'aucun lockfile ne liste, comme le code téléchargé par des hooks d'installation ou des scripts de build, et les couches d'images de base. Chaque job produit une SBOM CycloneDX ou SPDX avec un état de complétude.

C'est important, car les builds ne sont pas reproductibles par défaut : le même commit construit deux fois peut récupérer des paquets différents. Seule une SBOM issue du build qui a produit la release montre ce qu'elle contient.

La politique de trafic sortant, comparée honnêtement

Les deux produits peuvent limiter un build à une liste d'autorisations et refuser tout le reste. Avrea a de l'avance en visibilité : son récapitulatif par exécution nomme les principales destinations, les octets envoyés et les requêtes DNS refusées. La politique de CRACI type ses sources par écosystème de paquets et par protocole, avec 24 presets de sources logicielles intégrés et des sources personnalisées pour npm, PyPI, apt, apk, le proxy Go, Nix, Cargo, les registres OCI et Git via HTTPS et SSH ; elle est validée avant le démarrage du job, bloque tout en cas d'échec et envoie une alerte en cas de violation. Et le job même qui s'exécute sous la politique produit aussi l'enregistrement des paquets qu'il a récupérés.

Provenance et surveillance

L'API renvoie les SBOM, les traces réseau et la provenance. CRACI agrège les vulnérabilités de l'ensemble des builds et des dépôts, continue de réévaluer les SBOM surveillées et montre quels builds passés contenaient une dépendance vulnérable.

Réservez une démo pour voir la SBOM, la trace réseau et la provenance de l'un de vos propres workflows.

Lequel choisir

Avrea convient mieux si

• Vos objectifs principaux sont des pipelines plus rapides et une vision claire des jobs lents, des tests instables et du comportement du cache.
• Vous avez besoin de runners macOS ou Windows dès aujourd'hui.
• Vous voulez 3 000 minutes gratuites par mois ; en x86-64, les deux affichent le même prix à la minute.
• Vous exigez une attestation SOC 2 de votre fournisseur de runners.

CRACI convient mieux si

• Vous livrez des logiciels pour lesquels vous devez montrer, à partir du build lui-même, ce qui est entré dans chaque release.
• Vous voulez une politique de trafic sortant typée par source de paquets, validée avant le démarrage du job et qui bloque tout en cas d'échec.
• Vous avez besoin de surveiller ce qui a été livré pour détecter de nouvelles vulnérabilités.
• Vos builds tournent en ARM64, où le tarif de CRACI représente un tiers de celui d'Avrea.

Ce à quoi vous renoncez avec CRACI. Les outils d'analyse et de débogage de la CI d'Avrea, les runners Windows et macOS, qui figurent sur la roadmap de CRACI, et les 3 000 minutes gratuites par mois. Ce que vous gagnez : un enregistrement de build que la sécurité et la conformité peuvent exploiter sans un scanner de plus dans le pipeline.

Pour le Cyber Resilience Act

Le Cyber Resilience Act de l'UE attend des fabricants qu'ils sachent ce que contient chaque release et qu'ils en traitent les vulnérabilités, avec des obligations de signalement dès septembre 2026 et une application complète à partir de décembre 2027. Un inventaire des dépendances tiré du dépôt est un début. CRACI produit la SBOM à partir du build qui a produit la release, la surveille pour détecter de nouvelles vulnérabilités et l'exporte en CycloneDX ou SPDX, vulnérabilités comprises. Il automatise une part importante de la visibilité et des preuves sur la chaîne d'approvisionnement logicielle dont les entreprises ont besoin pour leur démarche plus large de conformité au CRA.

Passer d'Avrea à CRACI

CRACI remplace le runner, pas GitHub Actions. Les workflows et l'interface GitHub restent les mêmes, et le label du job devient runs-on: craci. Les jobs disposent de Docker Engine, Buildx et Compose v2, d'une image Ubuntu 24.04 compatible GitHub et de la virtualisation imbriquée en x86-64. En savoir plus sur l'intégration CI/CD et la génération de SBOM au build. Les startups peuvent postuler au programme startup.

Avrea vs CRACI : questions fréquentes

Tarifs, vitesse, SBOM et contrôle du trafic sortant, d'après les informations publiées par chaque éditeur

Qu'est-ce qu'Avrea ?

Avrea est un service de runners hébergés pour GitHub Actions, créé à Helsinki par Hannu Valtonen, cofondateur d'Aiven, et Juha Valvanne, cofondateur de Nosto. Vous changez le label du runner et vos jobs s'exécutent sur les VM éphémères d'Avrea, avec cache automatique, recherche dans les logs, métriques d'exécution et débogage SSH. Avrea a été lancé en mai 2026 avec un financement pre-seed de $4.7 millions mené par Earlybird.

Combien coûte Avrea ?

En septembre 2026, Avrea facture à la minute de runner, sans abonnement mensuel : $0.004 par minute pour un runner x86-64 à 2 vCPU, $0.012 pour un ARM64 à 2 vCPU sur Apple M5 Max, $0.008 pour un Windows à 2 vCPU et $0.08 pour un macOS à 8 vCPU. Chaque organisation dispose de 3 000 minutes 2 vCPU gratuites par mois. Les IP statiques coûtent $100 par IP et par mois, et le pare-feu sortant figure dans le plan Enterprise.

Avrea est-il moins cher que CRACI ?

Cela dépend de l'architecture. En x86-64 à 2 vCPU, les deux affichent $0.004 par minute, et le runner d'Avrea dispose de plus de mémoire. En ARM64 à 2 vCPU, CRACI est moins cher : les mêmes $0.004 contre $0.012 chez Avrea, soit un tiers du prix. CRACI décompte à la seconde et Avrea à la minute : les jobs courts coûtent donc relativement moins cher sur CRACI. Avrea inclut aussi 3 000 minutes gratuites par mois ; CRACI n'a pas d'offre gratuite mais propose un programme startup.

Avrea est-il plus rapide que CRACI ?

Avrea affirme que ses runners sont trois fois plus rapides, et davantage avec son cache. CRACI exécute les builds environ deux fois plus vite que les runners hébergés par GitHub, grâce à un matériel plus rapide, des temps d'attente plus courts et le cache. Nous n'avons pas comparé les deux par un benchmark : exécutez le même workflow sur les deux et comparez.

Avrea propose désormais des SBOM. En quoi celle de CRACI est-elle différente ?

Avrea génère une SBOM de dépôt en analysant statiquement les manifestes de dépendances et les lockfiles de la branche par défaut, avec les seules dépendances de production, en CycloneDX et SPDX. Elle décrit ce que le dépôt déclare. CRACI enregistre ce que le build a réellement récupéré pendant son exécution, y compris les paquets restaurés depuis les caches et les dépendances cachées qu'aucun lockfile ne liste, comme le code téléchargé par des hooks d'installation ou des scripts de build et les couches d'images de base. Chaque SBOM CRACI porte un état de complétude, et les SBOM surveillées sont réévaluées à mesure que de nouvelles vulnérabilités apparaissent.

Les deux ont un pare-feu sortant. Quelle est la différence ?

Tous deux ne laissent un build atteindre que les destinations que vous autorisez, et tous deux peuvent refuser par défaut. Les règles d'Avrea portent sur les domaines, les CIDR, les protocoles et les ports, sont appliquées à la fois sur l'IP et le DNS, et s'accompagnent d'un récapitulatif par exécution des destinations contactées par chaque build ; ce pare-feu figure dans le plan Enterprise. La politique de CRACI type ses sources par écosystème de paquets, avec 24 presets de sources logicielles intégrés, est validée avant le démarrage du job et bloque tout en cas d'échec. CRACI enregistre aussi quels paquets et quelles versions sont passés par ces connexions.

CRACI prend-il en charge les runners Windows ou macOS ?

Pas encore. CRACI exécute aujourd'hui Linux en x86-64 et ARM64, avec Windows et macOS sur la roadmap. Avrea propose Windows 2025 et macOS 26 sur Apple M5 Max.

Dois-je réécrire mes workflows GitHub Actions pour changer ?

Non. Les deux produits remplacent le runner, pas GitHub Actions. Les workflows, les déclencheurs et l'interface GitHub restent les mêmes ; sur CRACI, le label du job devient runs-on: craci.