Des runners européens pour GitHub Actions

Ce qu'un runner européen change, et ce qu'il ne change pas

Un pipeline GitHub Actions se compose de couches, et chacune peut se trouver à un endroit différent. Un runner CI n'en est qu'une : la machine où le job s'exécute. Voici qui exploite chaque couche, et où, dans trois configurations courantes.

Couche	Runners hébergés par GitHub sur github.com	GitHub Enterprise Cloud avec résidence des données dans l'UE	Runners CRACI
Stockage du dépôt et du code source	GitHub ; github.com stocke les données aux États-Unis par défaut	GitHub, dans la région de l'UE	GitHub, comme dans votre configuration actuelle. CRACI traite le code dans la machine virtuelle du job et ne le stocke pas
Orchestration, exécutions de workflow, logs, interface des checks	GitHub	GitHub ; données et logs d'Actions stockés dans la région de l'UE	GitHub, comme dans votre configuration actuelle
Stockage des secrets	GitHub	GitHub	GitHub ; transmis au runner CRACI au démarrage du job
Exécution du build	Runners hébergés par GitHub sur Microsoft Azure, et pour certains jobs Linux standard sur AWS ; régions non précisées	Runners hébergés dans des régions Azure de l'UE, via le réseau privé Azure	Runners CRACI sur une infrastructure bare-metal européenne
Enregistrement de ce que le build a récupéré	Non enregistré	Non enregistré	SBOM et traces réseau, conservées par CRACI, hébergées en Europe
Artefacts de actions/upload-artifact	GitHub	GitHub ; données d'Actions stockées dans la région de l'UE	GitHub, comme dans votre configuration actuelle
Qui l'exploite	GitHub, une entreprise Microsoft	GitHub, une entreprise Microsoft	GitHub pour le plan de contrôle ; CRACI Corporation Oy, une entreprise finlandaise, pour le runner

En clair : avec CRACI, la puissance de calcul qui voit votre code et vos secrets pendant le build tourne en Europe et est exploitée par une entreprise européenne, tout comme l'enregistrement de chaque paquet récupéré par le build. GitHub conserve toujours le code et orchestre le job. CRACI remplace le runner, pas GitHub Actions.

La résidence des données n'est pas la souveraineté numérique

La résidence des données porte sur l'endroit où les données sont stockées et traitées. La souveraineté numérique ajoute deux questions : qui contrôle les données, et quel droit s'applique à cet acteur, y compris quelle juridiction peut contraindre l'opérateur à remettre des données. Un data center européen exploité par une entreprise extérieure à l'Europe vous apporte la résidence, pas la souveraineté numérique. Savoir quelles juridictions comptent dans votre cas est une question pour votre conseil juridique, pas pour un fournisseur de runners.

Une règle de décision qui tient en audit : listez chaque couche du tableau ci-dessus, notez qui l'exploite et où elle tourne, et comparez avec votre exigence. Si l'exigence ne couvre que le lieu d'exécution des builds et le lieu de stockage des données de build, un runner européen peut y répondre. Si elle couvre le plan de contrôle ou le stockage du code, un runner seul n'y suffit pas.

Vos options en Europe

Option	Ce qui tourne en Europe	Qui l'exploite	Limites
GitHub Enterprise Cloud avec résidence des données (GHE.com)	Code et données d'Actions dans la région de l'UE ; runners hébergés dans des régions Azure de l'UE via le réseau privé Azure (x64 en France Central et Sweden Central, arm64 en France Central)	GitHub	Enterprise Cloud uniquement ; une entreprise GHE.com distincte
CRACI	Runners Linux managés sur une infrastructure bare-metal européenne, preuves de build incluses	CRACI Corporation Oy, une entreprise européenne	GitHub Actions et Linux uniquement aujourd'hui
Ubicloud	Runners GitHub Actions dans ses régions européennes, en Allemagne et en Finlande	Ubicloud, avec des bureaux à San Francisco, Amstelveen et Istanbul	Runners Ubuntu
Avrea	Avrea cite des hébergeurs dont Aiven, Google Cloud et OVHcloud, et invite ses clients à discuter avec lui de leurs exigences de localisation des données	Avrea, fondé à Helsinki	La localisation des données se convient avec Avrea, elle n'est pas publiée par région
Blacksmith	Des machines à Amsterdam et Francfort ainsi qu'aux États-Unis ; une organisation peut demander à être déplacée vers une autre région	Blacksmith, avec son plan de contrôle sur AWS	Un site européen, pas un opérateur européen
Runners auto-hébergés sur un cloud européen	Vos runners sur les serveurs d'un fournisseur européen, avec Actions Runner Controller ou de simples machines virtuelles	Vous	À vous de les patcher, de les isoler et de les faire évoluer
Une autre plateforme CI hébergée en Europe	Tout, y compris le plan de contrôle : GitLab self-managed ou une instance Forgejo ou Gitea	Vous ou votre partenaire d'hébergement	Une migration de CI, pas un changement de runner

Pour le détail un à un, consultez CRACI vs Ubicloud, CRACI vs Avrea et CRACI vs Blacksmith, et pour une vue d'ensemble, le comparatif des fournisseurs de runners GitHub Actions. Si vous envisagez d'exploiter vos propres runners, consultez runners managés ou auto-hébergés.

Ce que CRACI exécute en Europe

• Des runners managés, hébergés en Europe. Les builds tournent sur une infrastructure bare-metal européenne, exploitée par CRACI Corporation Oy. CRACI propose aujourd'hui des runners managés ; les runners hébergés par le client sont sur la feuille de route.
• Résidence des données dans l'UE avec Enterprise. Le plan Enterprise inclut la résidence des données dans l'UE, ainsi qu'une rétention personnalisée et le SSO SAML.
• Isolation. Chaque job s'exécute dans sa propre machine virtuelle isolée.
• Ce que CRACI conserve, et ce qu'il ne conserve pas. CRACI traite votre code source dans la machine virtuelle du job et ne le stocke pas. Il conserve les métadonnées de build, les données de paquets, les traces réseau, les SBOM, la provenance, les caches et les enregistrements d'audit. Les caches contiennent ce que votre workflow y enregistre.
• Une plage d'adresses IP sortantes stable, pour les listes d'autorisation que votre build atteint.
• Certification. Le système de management de la sécurité de l'information de CRACI Corporation Oy, pour le développement et l'exploitation de la plateforme CRACI, est certifié ISO/IEC 27001 par Into Certification. CRACI est conforme au RGPD.

Pour les détails dont votre revue de sécurité a besoin, consultez la sécurité, le Trust Center et ce à quoi CRACI peut accéder.

Pourquoi la couche de build mérite d'être déplacée

Même quand GitHub reste, le runner est la couche à déplacer en premier. C'est là que votre code est compilé en présence de vos secrets, et là que les paquets tiers entrent dans votre produit. L'exécuter sur une infrastructure européenne maintient cette exécution, et l'enregistrement de chaque paquet récupéré, sur une infrastructure exploitée par une entreprise européenne plutôt que sur la puissance de calcul d'un hyperscaler américain.

Cet enregistrement est aussi une preuve. CRACI enregistre les dépendances de chaque job sous forme de SBOM avec un état de complétude, sous une politique de trafic sortant qui bloque tout en cas d'échec, et continue de les surveiller pour détecter de nouvelles vulnérabilités. La réglementation européenne, comme le Cyber Resilience Act, exige de plus en plus des fabricants précisément ce type d'enregistrement.

La migration tient en un changement de label : runs-on: craci. CRACI exécute les builds environ deux fois plus vite que les runners hébergés par GitHub, grâce à un matériel plus rapide, des temps d'attente plus courts et la mise en cache, et ne facture que les minutes de build : $0.002 par minute vCPU ($0.004 pour un runner par défaut à 2 vCPU), mesurées à la seconde, sans frais mensuels. Consultez les runners de CRACI, les tarifs et comment changer de fournisseur de runners.

Quand CRACI n'est pas la bonne réponse

• Votre exigence couvre le plan de contrôle ou le stockage du code. Un runner européen ne suffit pas. Il vous faut GitLab self-managed ou une forge auto-hébergée en Europe ; consultez les alternatives à GitLab. CRACI ne prend en charge que GitHub Actions aujourd'hui, avec GitLab CI et Jenkins sur la feuille de route.
• Les runners doivent tourner sur votre propre matériel ou dans votre propre tenant cloud. Les runners CRACI hébergés par le client sont sur la feuille de route, pas disponibles aujourd'hui.
• Vous avez besoin de builds macOS ou Windows en Europe. CRACI exécute aujourd'hui Linux sur x86-64 et ARM64, avec Windows et macOS sur la feuille de route.
• Vous cherchez le prix à la minute le plus bas. D'autres options européennes affichent des tarifs inférieurs.

Runners GitHub Actions européens : questions fréquentes

Les builds GitHub Actions peuvent-ils s'exécuter dans l'UE ?

Oui. Le build s'exécute là où se trouve le runner : un runner sur une infrastructure européenne exécute donc votre build en Europe. Vous pouvez en obtenir un auprès d'un fournisseur managé comme CRACI, via GitHub Enterprise Cloud avec résidence des données, qui peut placer des runners hébergés dans des régions Azure de l'UE, ou en exploitant des runners auto-hébergés sur un cloud européen.

Existe-t-il un fournisseur européen de runners GitHub Actions ?

Oui. CRACI est une entreprise européenne, et ses runners managés pour GitHub Actions tournent sur une infrastructure bare-metal européenne. D'autres fournisseurs exploitent aussi des machines en Europe ; vérifiez à la fois où se trouvent les machines et quelle entreprise les exploite.

Si mon runner est dans l'UE, ma CI garantit-elle ma souveraineté numérique ?

Pas à lui seul. Un runner européen déplace l'exécution du build et l'enregistrement de ce que le build a récupéré. GitHub stocke toujours le code, les secrets, les logs et les artefacts, et orchestre chaque job. Pour sortir GitHub de l'équation, il vous faut une autre plateforme CI hébergée en Europe.

Quelles données restent chez GitHub quand j'utilise un runner européen ?

Le dépôt, les fichiers de workflow, le stockage des secrets, les exécutions de workflow et leurs logs, l'interface des checks et les artefacts envoyés avec actions/upload-artifact. Le runner reçoit le code et les secrets du job pendant son exécution. CRACI traite votre code dans la machine virtuelle du job et ne le stocke pas.

GitHub propose-t-il la résidence des données dans l'UE pour Actions ?

Sur GitHub Enterprise Cloud avec résidence des données, hébergé sur GHE.com, vous pouvez choisir une région de l'UE, et GitHub y stocke les dépôts ainsi que les données et logs d'Actions. Ses runners hébergés peuvent tourner dans des régions Azure de l'UE via le réseau privé Azure. L'opérateur reste GitHub, et l'offre est réservée aux clients Enterprise Cloud.

Quelle différence entre résidence des données dans l'UE et souveraineté numérique ?

La résidence des données porte sur l'endroit où les données sont stockées et traitées. La souveraineté numérique ajoute la question de savoir qui contrôle les données et quel droit s'applique à cet acteur. Un data center européen exploité par une entreprise extérieure à l'Europe vous apporte la résidence, pas la souveraineté numérique. Listez chaque couche de votre pipeline, qui l'exploite et où, et comparez avec votre exigence.