CRACI vs Depot

En bref

Depot, c'est l'accélération des builds : des runners GitHub Actions, un service de build Docker distant avec un cache de couches persistant, un cache distant pour des outils comme Bazel et Gradle, et son propre moteur de CI. CRACI est un runner compatible avec GitHub Actions construit autour de la sécurité de la chaîne d'approvisionnement. Chaque job produit une SBOM de ce qu'il a réellement récupéré et s'exécute sous une politique de trafic sortant que vous définissez.

La différence en une ligne : Depot optimise la vitesse de votre build, et CRACI enregistre et contrôle ce qui y entre. Les deux remplacent le runner hébergé par GitHub : il faut donc choisir l'un des deux.

En un coup d'œil

Ce que Depot fait bien

Depot a construit une plateforme de runners et de build étendue et bien documentée. Points forts d'après sa propre documentation :

• Un large catalogue de runners. Des runners Linux sur AMD EPYC (labels Intel) et AWS Graviton4 (Arm), de 2 vCPU et 8 Go de RAM jusqu'à 64 vCPU et 256 Go, plus Windows Server 2022 et 2025, et des runners macOS sur les plans Startup et Business.
• Cache. Les runners sont reliés au cache distribué de Depot, qui atteint selon Depot des vitesses d'envoi et de téléchargement allant jusqu'à 1000 MiB/s. Depot décrit ses runners comme « up to 3x faster than a GitHub-hosted runner » avec « 10x faster caching ».
• Builds Docker. depot build remplace directement docker build et s'exécute sur un hôte BuildKit distant avec un cache de couches NVMe persistant partagé par votre équipe, et construit des images x86 et Arm nativement, sans émulation QEMU. Depot indique que c'est jusqu'à 40 fois plus rapide qu'un build en local ou chez un fournisseur de CI.
• Isolation. Chaque job GitHub Actions s'exécute sur une nouvelle instance EC2 mono-locataire qui n'est jamais réutilisée.
• Filtrage du trafic sortant. Des règles d'autorisation et de refus pour les IP, les CIDR et les noms d'hôte, avec une règle par défaut que vous réglez sur autoriser ou refuser. Il s'applique actuellement aux runners Linux.
• Options Enterprise. Sur le plan Business, Depot Managed déploie le plan de données dans votre propre compte AWS, avec AWS PrivateLink, des IP sortantes statiques et le SSO. Depot indique disposer d'un rapport SOC 2 Type II.

Si la durée des builds d'images Docker est votre principal goulot d'étranglement en CI, Depot est conçu précisément pour ce problème.

Ce qui distingue CRACI

CRACI considère le build comme la source de vérité sur ce que vous livrez. C'est sur le runner que ces preuves sont recueillies.

Un enregistrement de ce que le build a récupéré

Pendant l'exécution de chaque job, un proxy qui comprend les paquets enregistre le trafic vers les sources de paquets : sources npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk et Git, plus des presets de téléchargement. Les preuves de dépendances suivent les caches CI : un paquet restauré depuis un cache est donc toujours comptabilisé. La SBOM de chaque job, en CycloneDX ou SPDX, porte un état de complétude par job et par cache : vous savez ainsi quand l'enregistrement est complet et quand il ne l'est pas.

Depot peut aussi produire une SBOM : ajoutez --sbom=true à depot build et il génère une SBOM SPDX avec Syft. Il s'agit d'un scan de l'image produite par le build. L'enregistrement de CRACI couvre tout le job, y compris les outils de build et les paquets qui ne finissent jamais dans une image, ainsi que les jobs qui ne construisent aucune image.

Une politique de trafic sortant conçue pour les sources logicielles

Les deux produits vous permettent de bloquer le trafic sortant inattendu d'un runner. Les politiques CRACI sont en refus ou en autorisation par défaut, avec 24 presets intégrés de sources logicielles, des sources personnalisées typées pour npm, PyPI, apt, apk, le proxy Go, Nix, Cargo, les registres OCI et Git via HTTPS et SSH, et des règles explicites TLS, TCP, UDP et ICMP. Les politiques sont validées avant le démarrage du job, bloquent tout en cas d'échec et envoient une alerte en cas de violation. Les règles de Depot fonctionnent au niveau des IP, des CIDR et des noms d'hôte, ce qui est plus simple à appréhender si c'est tout ce dont vous avez besoin.

Provenance et surveillance

• Données de provenance. L'API renvoie les SBOM, les traces réseau et la provenance. CRACI ne signe pas la provenance. Les builds d'images Depot peuvent joindre des attestations de provenance BuildKit, définies avec l'option --provenance.
• Surveillance de ce qui a été livré. Les SBOM surveillées sont réévaluées en continu par rapport aux nouvelles vulnérabilités, et les résultats sont agrégés sur l'ensemble des builds et des dépôts.

Prix et tailles

En septembre 2026, Depot facture $0.006 par minute pour son runner Linux 2 vCPU, 8 Go au-delà des minutes incluses dans votre plan, et les tailles supérieures évoluent linéairement : 32 vCPU coûtent $0.096 par minute. Le plan Developer coûte $20 par mois avec 2 000 minutes GitHub Actions, et le plan Startup $200 par mois avec 20 000. Depot mesure l'utilisation à la seconde, sans minimum d'une minute par exécution, et propose un essai gratuit de 7 jours.

CRACI facture $0.002 par minute vCPU : 2 vCPU coûtent donc $0.004 par minute et 32 vCPU $0.064 par minute, avec ARM64 au même tarif. La mesure se fait à la seconde, et il n'y a pas de frais mensuels. Au-delà des minutes incluses dans le plan de Depot, cela représente environ 33 % de moins par minute pour toutes les tailles. Alignez la mémoire avant de comparer : une unité de calcul CRACI dispose de 3 Go de RAM par vCPU, alors que les runners de Depot en ont 4 Go par vCPU. Consultez les tarifs de CRACI pour les conditions actuelles.

Lequel choisir

Depot convient mieux lorsque

• Les builds d'images Docker dominent votre temps de CI.
• Vous avez besoin de runners Windows ou macOS. CRACI est uniquement sous Linux aujourd'hui ; Windows et macOS sont sur la roadmap.
• Vous avez besoin de runners dans votre propre compte AWS. CRACI ne propose pas encore de runners hébergés par le client ; ils sont sur la roadmap pour Enterprise.
• Vous comptez sur le cache distant pour Bazel, Gradle, Turborepo ou sccache.

CRACI convient mieux lorsque

• Vous devez montrer ce qui est entré dans une release, à partir du build lui-même, avec un état de complétude.
• Vous voulez un trafic sortant du build contrôlé par source de paquets, validé avant chaque job.
• Vous voulez la surveillance des SBOM livrées au même endroit.
• Vous avez besoin de la résidence des données dans l'UE, disponible sur le plan Enterprise de CRACI.

Pour le Cyber Resilience Act

Le Cyber Resilience Act demande aux fabricants de connaître les composants de leurs produits, d'en traiter les vulnérabilités et de conserver des preuves. Le produit de Depot est une infrastructure de build, et sa documentation porte sur la vitesse, le cache et l'isolation. CRACI automatise une part importante de la visibilité et des preuves sur la chaîne d'approvisionnement logicielle dont les entreprises ont besoin pour leur démarche plus large de conformité au CRA : SBOM de build, suivi des vulnérabilités, provenance et export de SBOM en CycloneDX ou SPDX.

Passer de Depot à CRACI

Installez la GitHub App CRACI sur votre organisation, avec accès à tous les dépôts ou à une sélection, puis changez le label du runner sur un job :

runs-on: craci

Vos workflows et l'interface GitHub restent les mêmes. Migrez un job à la fois, en commençant par un job qui construit quelque chose que vous livrez. Regardez sa SBOM et sa trace réseau, puis écrivez une politique de trafic sortant qui autorise les sources dont il a besoin. En savoir plus sur l'intégration CI/CD et la génération de SBOM au moment du build.