CRACI vs Blacksmith CI

En bref

Blacksmith est un service de runners gérés pour GitHub Actions, conçu pour la vitesse et le coût : runners Linux, Windows et macOS sur du matériel bare metal, cache de dépendances situé près des runners, cache des couches Docker sur disques persistants et observabilité de la CI. Si votre seul objectif est un GitHub Actions plus rapide et moins cher, Blacksmith est une option solide : son prix catalogue x64 est le même que celui de CRACI, son prix ARM est plus bas, et il inclut 3 000 minutes x64 gratuites par mois.

CRACI est une CI qui gère nativement la sécurité de la chaîne d'approvisionnement. C'est aussi un runner compatible avec GitHub Actions, et la migration se fait de la même façon, en une ligne, mais la sécurité fait partie du runner au lieu d'être un outil qu'on lui ajoute. CRACI enregistre chaque dépendance externe récupérée par le build, applique une politique de trafic sortant au réseau du build, et transforme cet enregistrement en SBOM, en surveillance des vulnérabilités et en preuves pour le CRA. Les deux produits visent le même budget runners : il faut donc choisir l'un des deux.

En un coup d'œil

Ce que Blacksmith fait bien

L'accent sur la performance. Blacksmith exécute les jobs sur des machines bare metal à hautes performances monocœur, affirme que ses runners sont deux fois plus rapides que les runners hébergés par GitHub, et que son cache situé près des runners télécharge environ quatre fois plus vite. Pour les builds Docker, il indique que des clients ont constaté des gains de 2x à 40x grâce au cache des couches. Ce sont les chiffres de Blacksmith ; votre propre pipeline reste le vrai test.

Le cache sans modifier les workflows. Les actions officielles de cache et de setup de GitHub communiquent de manière transparente avec le cache de Blacksmith, avec 25 Go de stockage gratuit par dépôt et par semaine et une éviction des entrées les moins récemment utilisées après sept jours. Les sticky disks et le cache des couches Docker conservent l'état d'une exécution à l'autre pour $0.50 par Go et par mois, et la documentation couvre aussi le cache de Bazel, du checkout Git et des images de conteneurs.

La couverture des plateformes. Blacksmith propose Ubuntu 22.04 et 24.04 en x64 et ARM de 2 à 32 vCPU, Windows Server 2025 en bêta publique, et macOS sur Apple M4 en tailles 6 et 12 vCPU. Il n'impose aucune limite de simultanéité. CRACI ne prend en charge que Linux aujourd'hui, avec Windows et macOS sur la roadmap : pour ces jobs, Blacksmith couvre un terrain que CRACI ne couvre pas encore.

Le débogage et l'analyse. L'accès SSH aux jobs en cours, l'historique des exécutions, la recherche dans les logs, les métriques, les moniteurs, l'analyse des tests et un tableau de bord CI sont des fonctionnalités documentées. Les Testboxes, qui exécutent des modifications locales dans un vrai job GitHub Actions, sont en bêta précoce.

La sécurité et la conformité du service. Les jobs s'exécutent dans des microVM Firecracker éphémères, et chaque job reçoit un token just-in-time limité à ce job, qui expire au bout d'une heure. Blacksmith déclare être conforme SOC 2 Type 2 et RGPD, et faire l'objet d'un test d'intrusion chaque trimestre.

Prix et dimensionnement

En x64, les deux ont le même prix catalogue, $0.004 par minute 2 vCPU. Le prix ARM de Blacksmith est nettement plus bas, puisque CRACI facture l'ARM64 au même tarif que le x86-64, et Blacksmith inclut 3 000 minutes x64 gratuites par mois. CRACI décompte à la seconde, arrondi à la seconde la plus proche : les jobs courts sont facturés pour les secondes pendant lesquelles ils s'exécutent. Les configurations diffèrent aussi : une unité de calcul CRACI correspond à 1 vCPU avec 3 Go de RAM, de 1 à 32 unités, tandis que les runners x64 de Blacksmith ont 4 Go par vCPU et ses runners ARM 3 Go. Partez de la mémoire dont vos builds ont besoin avant de comparer les prix. Consultez les tarifs de CRACI pour les conditions actuelles.

Ce n'est pas sur la vitesse que les deux diffèrent le plus. Tous deux affirment que leurs runners sont environ deux fois plus rapides que les runners hébergés par GitHub. CRACI y parvient grâce à un matériel plus rapide, des temps d'attente plus courts et le cache. Nous n'avons pas comparé les deux par un benchmark.

Ce qui distingue CRACI

Un enregistrement de ce que le build a récupéré

Pendant l'exécution de chaque job, un proxy qui comprend les paquets enregistre le trafic vers les sources de paquets : npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk et sources Git, ainsi que des presets de téléchargement. Les preuves de dépendances suivent les caches CI : les paquets restaurés depuis un cache sont donc toujours comptés. Chaque job produit une SBOM CycloneDX ou SPDX avec un état de complétude par job et par cache : Complete, Complete with connections, Incomplete, Unavailable ou Not recorded.

Le contrôle de ce que le build peut atteindre

Les IP statiques de Blacksmith donnent à vos runners une adresse fixe pour atteindre des services protégés par un pare-feu. CRACI fournit aussi une plage d'IP sortantes stable, et y ajoute des politiques de trafic sortant : refus par défaut ou autorisation par défaut, 24 presets de sources logicielles intégrés, des sources personnalisées typées et des règles TLS, TCP, UDP et ICMP explicites. Les politiques sont validées avant le démarrage du job, bloquent tout en cas d'échec et envoient une alerte en cas de violation.

Provenance et surveillance

L'API renvoie les SBOM, les traces réseau et la provenance. CRACI agrège les vulnérabilités de l'ensemble des builds et des dépôts et continue de réévaluer les SBOM surveillées.

Deux questions de sécurité différentes

Le travail de Blacksmith sur la sécurité répond à la question « peut-on confier ses jobs à ce service de runners ? » : microVM isolées, tokens de courte durée, caches chiffrés et rapport SOC 2. CRACI répond lui aussi à cette question, avec des machines virtuelles isolées et aucun code source stocké, puis à une seconde : « qu'a récupéré ce build, et à quoi s'est-il connecté ? » C'est cette seconde réponse que vous demandent un auditeur, un client ou le Cyber Resilience Act.

Réservez une démo pour voir la SBOM, la trace réseau et la provenance de l'un de vos propres workflows.

Lequel choisir

Blacksmith convient mieux si

• Vos objectifs principaux sont la vitesse de build et le coût à la minute le plus bas en ARM, ou si les minutes mensuelles gratuites comptent.
• Vous avez besoin de runners macOS ou Windows dès aujourd'hui.
• Vous vous appuyez sur les sticky disks, la console d'observabilité de Blacksmith ou le débogage SSH.

CRACI convient mieux si

• Vous livrez des logiciels pour lesquels vous devez montrer, à partir du build lui-même, ce qui est entré dans chaque release.
• Vous voulez restreindre ce que les builds peuvent atteindre, avec une politique qui bloque tout en cas d'échec.
• Vous avez besoin de surveiller ce qui a été livré, sans ajouter d'outils à chaque workflow.
• Vous avez besoin de la résidence des données dans l'UE, disponible sur le plan Enterprise de CRACI.

Ce à quoi vous renoncez avec CRACI. Les jobs Windows et macOS, qui figurent sur la roadmap, le prix ARM le plus bas, et les outils de débogage et d'analyse de Blacksmith. Ce que vous gagnez : un enregistrement de build que la sécurité et la conformité peuvent exploiter sans un scanner de plus dans le pipeline.

Pour le Cyber Resilience Act

Le Cyber Resilience Act de l'UE attend des fabricants qu'ils sachent ce que contient chaque release et qu'ils en traitent les vulnérabilités, avec des obligations de signalement dès septembre 2026 et une application complète à partir de décembre 2027. Un runner rapide ne produit pas ces preuves à lui seul ; il vous faudrait ajouter des outils SBOM et de scan à vos workflows. CRACI les produit à partir de l'enregistrement du build et exporte les SBOM en CycloneDX ou SPDX, vulnérabilités comprises. Il automatise une part importante de la visibilité et des preuves sur la chaîne d'approvisionnement logicielle dont les entreprises ont besoin pour leur démarche plus large de conformité au CRA.

Passer de Blacksmith à CRACI

CRACI remplace le runner, pas GitHub Actions. Les workflows et l'interface GitHub restent les mêmes, et le label du job devient runs-on: craci. Les jobs disposent de Docker Engine, Buildx et Compose v2, d'une image Ubuntu 24.04 compatible GitHub et de la virtualisation imbriquée en x86-64. En savoir plus sur l'intégration CI/CD et la génération de SBOM au build. Les startups peuvent postuler au programme startup.

Blacksmith vs CRACI : questions fréquentes

Tarifs, vitesse, plateformes et sécurité, d'après les informations publiées par chaque éditeur

Qu'est-ce que Blacksmith CI ?

Blacksmith est un service de runners gérés pour GitHub Actions. Vous conservez vos workflows et changez le label du runner, et vos jobs s'exécutent sur les machines bare metal de Blacksmith, dans des microVM Firecracker, au lieu des runners hébergés par GitHub. Ses arguments sont la vitesse et le prix : un matériel plus rapide, un cache de dépendances situé près des runners, le cache des couches Docker et l'observabilité de la CI.

Combien coûte Blacksmith ?

En septembre 2026, Blacksmith affiche Ubuntu x64 à 2 vCPU à $0.004 par minute, Ubuntu ARM à $0.0025, Windows à $0.008 et macOS M4 (6 vCPU) à $0.08. Chaque organisation dispose de 3 000 minutes 2 vCPU x64 gratuites par mois. Le cache des couches Docker et les sticky disks coûtent $0.50 par Go et par mois, et les IP statiques $100 par IP et par mois.

Blacksmith est-il moins cher que CRACI ?

En ARM, oui ; en x64, le prix catalogue est le même. CRACI facture $0.004 par minute pour 2 vCPU en x86-64 comme en ARM64, contre $0.004 en x64 et $0.0025 en ARM chez Blacksmith, qui inclut en outre 3 000 minutes x64 gratuites par mois. CRACI décompte à la seconde : les jobs courts sont facturés pour les secondes pendant lesquelles ils s'exécutent. Ce que CRACI ajoute au runner, c'est l'enregistrement du build : une SBOM pour chaque job, une politique de trafic sortant, des données de provenance via l'API et la surveillance des vulnérabilités, qui exigeraient sinon des outils distincts.

Blacksmith est-il plus rapide que CRACI ?

Tous deux affirment que leurs runners sont environ deux fois plus rapides que les runners hébergés par GitHub. CRACI y parvient grâce à un matériel plus rapide, des temps d'attente plus courts et le cache. Nous n'avons pas comparé les deux par un benchmark : exécutez le même workflow sur les deux et comparez.

Blacksmith génère-t-il des SBOM ou une provenance de build ?

Cela ne figure pas parmi ses fonctionnalités documentées. Blacksmith se concentre sur le calcul, le cache et l'observabilité. CRACI enregistre les paquets que chaque job récupère, y compris ceux restaurés depuis les caches, et produit une SBOM CycloneDX ou SPDX avec un état de complétude. L'API renvoie les SBOM, les traces réseau et la provenance.

Blacksmith peut-il restreindre ce qu'un build peut atteindre sur le réseau ?

Blacksmith propose des IP statiques pour que vos jobs puissent atteindre des services protégés par un pare-feu depuis une adresse fixe. Une politique sur ce à quoi le job lui-même peut se connecter ne figure pas parmi ses fonctionnalités documentées. CRACI applique une politique de trafic sortant au niveau du runner : refus ou autorisation par défaut, 24 presets de sources logicielles intégrés, validée avant le démarrage du job et qui bloque tout en cas d'échec.

CRACI prend-il en charge les runners Windows ou macOS ?

Pas encore. CRACI exécute aujourd'hui Linux en x86-64 et ARM64, avec Windows et macOS sur la roadmap. Blacksmith propose macOS sur Apple M4 et Windows Server 2025 en bêta publique.

Où s'exécutent les jobs, et les données peuvent-elles rester dans l'UE ?

Blacksmith exécute les jobs sur des machines bare metal dans les régions US East, US West, Amsterdam et Francfort, avec son plan de contrôle sur AWS. CRACI exécute les builds sur une infrastructure bare metal européenne, avec résidence des données dans l'UE sur le plan Enterprise. CRACI ne stocke pas votre code source : il est traité dans la VM du job pendant la durée du build.

Blacksmith est-il conforme SOC 2 ?

Blacksmith déclare être conforme SOC 2 Type 2 et RGPD, et faire l'objet d'un test d'intrusion chaque trimestre. CRACI documente ses contrôles de sécurité dans son Trust Center.

Dois-je réécrire mes workflows GitHub Actions pour changer ?

Non. Les deux produits remplacent le runner, pas GitHub Actions. Les workflows, les déclencheurs et l'interface GitHub restent les mêmes ; sur CRACI, le label du job devient runs-on: craci.