Comparatif des outils et plateformes CI/CD

À qui s'adresse cette page

Vous choisissez une plateforme CI/CD, ou vous réévaluez celle que vous avez, et une nouvelle question figure sur la liste. Un client, un auditeur ou le Cyber Resilience Act de l'UE demande ce qui est entré dans chaque release. Toutes les plateformes présentées ici peuvent exécuter vos builds. La différence tient à l'origine de ces preuves et à la part que vous devez assembler vous-même.

C'est pour cette raison que CRACI figure sur cette page, et ce n'est pas une plateforme CI. C'est un runner pour GitHub Actions : vous conservez GitHub Actions et remplacez runs-on par craci. CRACI ne prend en charge que GitHub Actions aujourd'hui, avec GitLab CI et Jenkins sur la roadmap. Les pipelines GitLab CI, CircleCI et Buildkite ne s'exécutent pas dessus. Nous développons CRACI, tenez-en compte ; les autres produits sont décrits d'après leur propre documentation.

D'où doit venir la SBOM ?

Une plateforme peut l'obtenir à trois endroits.

1. Le dépôt. La plateforme analyse les manifestes et les lockfiles. Le graphe de dépendances de GitHub et le scan des dépendances basé sur les SBOM de GitLab fonctionnent ainsi. C'est toujours actif, peu coûteux à exécuter, et cela décrit ce que le projet déclare. Cela ne voit ni les scripts d'installation, ni les toolchains téléchargées, ni les paquets restaurés depuis un cache, et l'export de GitHub reflète la branche par défaut plutôt qu'un commit précis.
2. Un outil que vous ajoutez au pipeline. Vous exécutez un générateur de SBOM comme étape, via un orb CircleCI ou sur vos agents Buildkite. C'est flexible, et le résultat dépend de l'outil et de sa configuration : chaque générateur lit un ensemble de fichiers différent et les résout différemment, si bien que deux d'entre eux appliqués au même checkout propre ne renverront pas la même liste de composants. CRACI ne peut pas être comparé sur ce terrain, car il enregistre des builds au lieu de scanner un répertoire.
3. Le runner qui a observé le build. La SBOM est enregistrée à partir du trafic généré par le job pendant son exécution. C'est ce que fait CRACI.

La provenance suit la même répartition. Les attestations d'artefacts de GitHub, une étape que vous ajoutez à un workflow, fournissent SLSA v1.0 Build Level 2, ou Level 3 avec des workflows réutilisables. GitLab Runner peut générer une déclaration de provenance SLSA 1.0 dans toutes les offres. Les Package Registries de Buildkite peuvent publier une provenance SLSA qui, selon Buildkite, atteint Build Level 1, sur les plans Enterprise. L'API de CRACI renvoie des données de provenance issues du runner qui a observé le job, non signées et sans niveau SLSA.

En un coup d'œil

La colonne GitHub Actions inclut les fonctionnalités de la plateforme GitHub que les équipes utilisent avec : le graphe de dépendances, Dependabot, les attestations d'artefacts et GitHub Advanced Security. Les prix sont ceux de septembre 2026.

Les plateformes

CRACI, un runner sécurisé pour GitHub Actions

CRACI remplace le runner, pas GitHub Actions. Installez la GitHub App CRACI et modifiez runs-on ; les exécutions apparaissent toujours dans l'interface GitHub. Pendant l'exécution de chaque job, un proxy qui comprend les paquets enregistre ce qu'il a récupéré, paquets restaurés depuis les caches CI compris, et produit une SBOM CycloneDX ou SPDX avec un état de complétude par job et par cache. Les politiques de trafic sortant sont validées avant le démarrage du job et bloquent tout en cas d'échec. Idéal pour les équipes GitHub Actions qui livrent des logiciels et ont besoin de preuves pour chaque release. Points d'attention : GitHub Actions et Linux uniquement aujourd'hui (GitLab CI, Jenkins, Windows et macOS figurent sur la roadmap), et ni SAST ni scan des secrets.

La génération de SBOM au build

GitHub Actions

La CI/CD intégrée à GitHub, avec des runners hébergés Linux, Windows et macOS et des runners auto-hébergés pour vos propres machines. Les plans incluent de 2 000 à 50 000 minutes par mois, et un runner Linux standard à 2 cœurs coûte $0.006 par minute en septembre 2026. Autour gravitent le graphe de dépendances, les alertes et mises à jour de sécurité Dependabot, les attestations d'artefacts, ainsi que les produits payants GitHub Secret Protection et GitHub Code Security. Idéal pour le code déjà hébergé sur GitHub. Points d'attention : une SBOM qui décrit le dépôt, pas le build, à moins d'ajouter vous-même un générateur.

CRACI vs runners hébergés par GitHub et CRACI et GitHub Advanced Security

GitLab CI

Elle fait partie d'une plateforme DevSecOps complète : gestion du code source, merge requests, planification et CI/CD dans un seul produit. Le SAST de base, la détection des secrets et le scan des conteneurs fonctionnent dans toutes les offres ; Ultimate ajoute le scan des dépendances, le scan continu des vulnérabilités, le DAST et le rapport de vulnérabilités. Les runners hébergés couvrent Linux sur x86-64 et arm64, avec Windows et macOS en bêta. En septembre 2026, Free inclut 400 minutes de calcul et Premium coûte $29 par utilisateur et par mois en facturation annuelle. Idéal pour confier tout le cycle de vie à un seul fournisseur. Points d'attention : une détection des dépendances à partir des lockfiles, et des attestations SLSA Level 3 signées que GitLab classe comme expérimentales.

CRACI vs GitLab CI

CircleCI

Une plateforme CI/CD hébergée, mature et flexible, qui se connecte à GitHub, GitLab et Bitbucket. Elle exécute les jobs sur des classes de ressources Docker, Linux, Arm, Windows, macOS et GPU, avec des runners auto-hébergés pour vos propres machines. Le cache des couches Docker est disponible sur tous les plans, et le test splitting répartit les suites de tests entre des exécuteurs parallèles d'après les données de durée. Ses recommandations sur la chaîne d'approvisionnement portent surtout sur la protection des identifiants avec les contexts et OIDC. En septembre 2026, le plan Free inclut 30 000 crédits par mois. Idéal pour les plateformes hétérogènes et les grandes suites de tests. Points d'attention : des SBOM et des scans qui dépendent des orbs et des outils que vous branchez.

CRACI vs CircleCI

Buildkite

Une plateforme hybride : le plan de contrôle SaaS de Buildkite orchestre, et les agents qui exécutent les jobs résident sur votre propre infrastructure, si bien que le code source et les secrets restent dans votre environnement. Des agents hébergés sont aussi disponibles, à $0.004 par minute vCPU sous Linux en septembre 2026. Les pipelines signés permettent aux agents de refuser les jobs modifiés après leur envoi, et Test Engine gère les tests instables et le test splitting. Idéal pour les builds qui doivent s'exécuter sur votre propre matériel ou réseau. Points d'attention : une sécurité du build qu'il vous revient de concevoir ; les propres recommandations de Buildkite vous demandent d'appliquer des contrôles stricts du trafic réseau sortant sur vos agents.

CRACI vs Buildkite

La place de CRACI

CRACI complète GitHub Actions ; il ne remplace pas une plateforme CI. Sur GitHub, une configuration courante associe GitHub Advanced Security et Dependabot sur chaque pull request, et CRACI comme runner qui enregistre chaque build et applique la politique de trafic sortant. Les SBOM surveillées sont réévaluées à mesure que de nouvelles vulnérabilités apparaissent, et elles s'exportent en CycloneDX ou SPDX, vulnérabilités comprises. CRACI automatise une part importante de la visibilité sur la chaîne d'approvisionnement logicielle et des preuves dont les entreprises ont besoin pour leur démarche plus large de conformité au Cyber Resilience Act.

Si vos pipelines sont sur GitLab CI, CircleCI ou Buildkite, utiliser CRACI implique de les migrer vers GitHub Actions. GitLab CI et Jenkins figurent sur la roadmap. CRACI n'est pas le bon choix si :

• Vous voulez une seule plateforme pour le code, la planification, la CI et le scan. GitLab est conçu pour cela.
• Les builds doivent s'exécuter sur votre propre matériel ou réseau. Buildkite et les runners auto-hébergés conviennent ; CRACI est un service managé aujourd'hui, avec des runners hébergés par le client sur la roadmap pour Enterprise.
• Vous avez besoin de builds Windows, macOS ou GPU. CRACI est uniquement sous Linux aujourd'hui ; Windows et macOS figurent sur la roadmap.
• Vous avez besoin d'un niveau SLSA documenté dès aujourd'hui. Les attestations d'artefacts de GitHub en fournissent un.

Voir les tarifs de CRACI et l'intégration CI/CD.

CRACI comparé à chaque outil

• CRACI face à Runners hébergés par GitHub Les mêmes workflows, des builds plus rapides, un coût plus bas.
• CRACI face à GitLab CI Les scanners d'une plateforme DevSecOps face à un runner qui enregistre.
• CRACI face à CircleCI CI hébergée face aux preuves issues du build.
• CRACI face à Buildkite Agents auto-hébergés face à des runners qui enregistrent les builds.
• CRACI face à Blacksmith Des runners rapides face à une CI avec la sécurité de la chaîne d'approvisionnement intégrée.
• CRACI face à Depot Accélération des builds face aux preuves de build.
• CRACI face à Namespace Une infrastructure CI rapide face à des runners qui enregistrent les builds.
• CRACI face à WarpBuild Runners rapides et BYOC face à des runners avec preuves.
• CRACI face à RunsOn Des runners dans votre compte AWS face à des runners qui enregistrent les builds.
• CRACI face à Ubicloud Des runners à bas coût face à une CI avec la sécurité de la chaîne d'approvisionnement intégrée.
• CRACI face à Avrea Observabilité de la CI face aux preuves issues du build.
• CRACI face à Harness Scans SBOM dans le pipeline face à un runner qui enregistre le build.
• CRACI face à Northflank Une plateforme de build et de déploiement face à un runner qui enregistre les builds.
• CRACI face à Jenkins Un serveur CI que vous exploitez face à des runners managés qui enregistrent les builds.
• CRACI face à Azure Pipelines Jobs parallèles face à des runners facturés à la minute avec preuves de build.

Côte à côte

Plusieurs outils sur une même page, lorsque vous choisissez une catégorie plutôt qu'un produit.

• Comparatif Runners GitHub Actions Hébergés par GitHub, CRACI, Blacksmith, Depot, Namespace et WarpBuild côte à côte.