CRACI vs Avrea

La risposta breve

Avrea è un servizio di runner ospitati per GitHub Actions, di Helsinki come CRACI, pensato per la velocità e per vedere dentro la Sua CI: runner Linux, Windows e macOS, caching automatico delle dipendenze, ricerca nei log, metriche di runtime, rilevamento dei test instabili e accesso SSH ai job in esecuzione. Se il Suo obiettivo sono pipeline più veloci e capire perché sono lente, l'osservabilità di Avrea va oltre quella di CRACI, e oggi copre Windows e macOS.

CRACI è una CI che gestisce nativamente la sicurezza della supply chain. Anche Avrea ha aggiunto funzionalità di sicurezza: un firewall di egress nel piano Enterprise e, in preview, una SBOM del repository. La differenza sta nell'origine delle evidenze. CRACI registra ogni dipendenza esterna che la build ha effettivamente scaricato, applica una policy di egress in modalità fail closed e continua a monitorare ciò che è stato rilasciato per individuare nuove vulnerabilità. Entrambi i prodotti sostituiscono il runner su cui girano i Suoi job, quindi va scelto uno dei due.

In sintesi

Che cosa fa bene Avrea

Osservabilità della CI. Avrea raccoglie metriche di CPU, memoria e rete per ogni job senza agent, cerca nei log di tutti i job e di tutti i repository, distingue i test instabili dai fallimenti reali e mostra nel tempo tassi di hit della cache, workflow lenti e spesa. L'accesso SSH a un job in esecuzione funziona dal terminale o dalla console web, con un periodo di tolleranza dopo la fine del job. Tutto questo è incluso in ogni piano.

Velocità e caching. I runner di Avrea girano su hardware dedicato con frequenze di clock elevate e storage NVMe locale, e le dipendenze vengono messe in cache automaticamente, vicino ai runner, dopo la prima build. Avrea dichiara che i suoi runner sono tre volte più veloci, e ancora di più con una cache già popolata. Sono dati di Avrea; il vero test è la Sua pipeline.

Copertura delle piattaforme. Avrea offre Ubuntu su x86-64 da 1 a 32 vCPU, Linux ARM64 e macOS 26 su hardware Apple M5 Max, e Windows 2025. Oggi CRACI è solo Linux, con Windows e macOS in roadmap. Avrea dichiara di supportare oggi GitHub Actions e di voler aggiungere altre piattaforme come GitLab; per CRACI, GitLab CI e Jenkins sono in roadmap.

Sicurezza del servizio e firewall di egress. I job girano in VM effimere, le cache sono isolate per repository e cifrate, e Avrea ha la certificazione ISO 27001:2022 e l'attestazione SOC 2 Type 2. Il suo firewall di egress, che figura nel piano Enterprise, autorizza o nega le destinazioni per dominio, CIDR, protocollo e porta, viene applicato sia a livello IP sia DNS e fornisce per ogni esecuzione un riepilogo delle connessioni e di ciò che è stato bloccato.

Prezzo e dimensionamento

Su x86-64 il prezzo di listino è lo stesso, $0.004 per minuto a 2 vCPU e $0.064 a 32 vCPU, e i runner di Avrea hanno più memoria: 4 GB per vCPU contro i 3 GB di CRACI. Su ARM64 il quadro si inverte. I runner ARM64 di Avrea girano su hardware Apple M5 Max a $0.012 per minuto a 2 vCPU, il triplo della tariffa ARM64 di CRACI: CRACI addebita gli stessi $0.004 di x86-64. CRACI misura al secondo, arrotondando al secondo più vicino, mentre Avrea misura al minuto, quindi su CRACI i job brevi vengono fatturati per i secondi effettivi di esecuzione. Consulti i prezzi di CRACI per le condizioni attuali.

In che cosa CRACI è diverso

Una SBOM di ciò che la build ha scaricato, non di ciò che il repository dichiara

La SBOM di Avrea legge i manifest delle dipendenze e i lockfile sul branch predefinito, senza eseguire il codice, ed elenca le dipendenze di produzione. È un inventario utile di ciò che il repository dichiara. Quella di CRACI viene dalla build stessa: durante l'esecuzione di ogni job, un proxy che riconosce i pacchetti registra il traffico verso le sorgenti dei pacchetti, npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e sorgenti Git, oltre ai preset di download. Include i pacchetti ripristinati dalle cache e le dipendenze nascoste che nessun lockfile elenca, come il codice scaricato da hook di installazione o script di build, e i layer delle immagini base. Ogni job produce una SBOM CycloneDX o SPDX con uno stato di completezza.

Questo conta perché le build non sono riproducibili per impostazione predefinita: lo stesso commit compilato due volte può scaricare pacchetti diversi. Solo una SBOM ricavata dalla build che ha prodotto la release mostra che cosa contiene.

La policy di egress, confrontata in modo equo

Entrambi i prodotti possono vincolare una build a un'allowlist e negare tutto il resto. Avrea è più avanti nella visibilità: il suo riepilogo per esecuzione indica le destinazioni principali, i byte inviati e le ricerche DNS rifiutate. La policy di CRACI tipizza le sorgenti per ecosistema di pacchetti e protocollo, con 24 preset integrati di sorgenti software e sorgenti personalizzate per npm, PyPI, apt, apk, il proxy Go, Nix, Cargo, registry OCI e Git su HTTPS e SSH, viene convalidata prima dell'avvio del job, opera in modalità fail closed e invia un avviso in caso di violazione. E lo stesso job soggetto alla policy produce anche il record dei pacchetti che ha scaricato.

Provenance e monitoraggio

L'API restituisce SBOM, tracce di rete e provenance. CRACI aggrega le vulnerabilità di tutte le build e di tutti i repository, continua a rivalutare le SBOM monitorate e mostra quali build passate contenevano una dipendenza vulnerabile.

Prenoti una demo per vedere la SBOM, la traccia di rete e la provenance di uno dei Suoi workflow.

Quale scegliere

Avrea è la scelta migliore se

• Gli obiettivi principali sono pipeline più veloci e visibilità su job lenti, test instabili e comportamento della cache.
• Ha bisogno oggi di runner macOS o Windows.
• Desidera 3.000 minuti gratuiti al mese; su x86-64 i due indicano lo stesso prezzo al minuto.
• Ha bisogno di SOC 2 dal fornitore del runner.

CRACI è la scelta migliore se

• Distribuisce software per cui deve dimostrare che cosa è entrato in ogni release, a partire dalla build stessa.
• Desidera una policy di egress tipizzata per sorgente dei pacchetti, convalidata prima dell'avvio del job e in modalità fail closed.
• Ha bisogno del monitoraggio di ciò che è stato rilasciato per individuare nuove vulnerabilità.
• Le Sue build girano su ARM64, dove la tariffa di CRACI è un terzo di quella di Avrea.

A che cosa rinuncia con CRACI. Agli strumenti di analisi e di debug della CI di Avrea, ai runner Windows e macOS, che sono nella roadmap di CRACI, e a 3.000 minuti gratuiti al mese. Ciò che ottiene è un record di build che sicurezza e compliance possono usare senza un altro scanner nella pipeline.

Per il Cyber Resilience Act

Il Cyber Resilience Act dell'UE si aspetta che i fabbricanti sappiano che cosa contiene ogni release e ne gestiscano le vulnerabilità, con obblighi di segnalazione da settembre 2026 e piena applicazione da dicembre 2027. Un inventario delle dipendenze ricavato dal repository è un inizio. CRACI produce la SBOM dalla build che ha creato la release, la monitora per individuare nuove vulnerabilità e la esporta in CycloneDX o SPDX, vulnerabilità incluse. Automatizza una parte significativa della visibilità e delle evidenze sulla software supply chain di cui le aziende hanno bisogno nel loro più ampio processo di conformità al CRA.

Passare da Avrea

CRACI sostituisce il runner, non GitHub Actions. I workflow e l'interfaccia di GitHub restano invariati, e la label del job diventa runs-on: craci. I job dispongono di Docker Engine, Buildx e Compose v2, di un'immagine Ubuntu 24.04 compatibile con GitHub e della virtualizzazione annidata su x86-64. Scopra di più sull'integrazione CI/CD e sulla generazione di SBOM in fase di build. Le startup possono candidarsi al programma per startup.

Avrea vs CRACI: domande frequenti

Prezzi, velocità, SBOM e controllo dell'egress, con risposte basate sulle informazioni pubblicate da ciascun vendor

Che cos'è Avrea?

Avrea è un servizio di runner ospitati per GitHub Actions, creato a Helsinki da Hannu Valtonen, cofondatore di Aiven, e Juha Valvanne, cofondatore di Nosto. Lei cambia la label del runner e i Suoi job vengono eseguiti sulle VM effimere di Avrea con caching automatico, ricerca nei log, metriche di runtime e debug via SSH. Avrea è stata lanciata a maggio 2026 con un finanziamento pre-seed di $4.7 milioni guidato da Earlybird.

Quanto costa Avrea?

A settembre 2026, Avrea addebita per minuto di runner senza canone mensile: $0.004 al minuto per un runner x86-64 da 2 vCPU, $0.012 per ARM64 da 2 vCPU su Apple M5 Max, $0.008 per Windows da 2 vCPU e $0.08 per macOS da 8 vCPU. Ogni organizzazione riceve 3.000 minuti gratuiti a 2 vCPU al mese. Gli IP statici costano $100 per IP al mese, e il firewall di egress figura nel piano Enterprise.

Avrea costa meno di CRACI?

Dipende dall'architettura. Su x86-64 a 2 vCPU, entrambi indicano $0.004 al minuto, e il runner di Avrea ha più memoria. Su ARM64 a 2 vCPU, CRACI costa meno: gli stessi $0.004 contro i $0.012 di Avrea, un terzo del prezzo. CRACI misura al secondo e Avrea al minuto, quindi i job brevi costano relativamente meno su CRACI. Avrea include inoltre 3.000 minuti gratuiti al mese; CRACI non ha un piano gratuito ma offre un programma per startup.

Avrea è più veloce di CRACI?

Avrea dichiara che i suoi runner sono tre volte più veloci, e ancora di più con la sua cache. CRACI esegue le build circa due volte più velocemente dei runner ospitati da GitHub, grazie a hardware più veloce, tempi di coda più brevi e caching. Non abbiamo confrontato i due con un benchmark, quindi esegua lo stesso workflow su entrambi e confronti.

Ora Avrea ha le SBOM. In che cosa è diversa quella di CRACI?

Avrea genera una SBOM del repository analizzando staticamente i manifest delle dipendenze e i lockfile sul branch predefinito, con le sole dipendenze di produzione, in CycloneDX e SPDX. Descrive ciò che il repository dichiara. CRACI registra ciò che la build ha effettivamente scaricato durante l'esecuzione, compresi i pacchetti ripristinati dalle cache e le dipendenze nascoste che nessun lockfile elenca, come il codice scaricato da hook di installazione o script di build e i layer delle immagini base. Ogni SBOM di CRACI riporta uno stato di completezza, e le SBOM monitorate vengono rivalutate man mano che compaiono nuove vulnerabilità.

Entrambi hanno un firewall di egress. Qual è la differenza?

Entrambi consentono a una build di raggiungere solo le destinazioni autorizzate, ed entrambi possono negare per impostazione predefinita. Le regole di Avrea filtrano per dominio, CIDR, protocollo e porta, vengono applicate sia a livello IP sia DNS e sono accompagnate da un riepilogo per esecuzione delle connessioni di ogni build; la funzione figura nel piano Enterprise. La policy di CRACI tipizza le sorgenti per ecosistema di pacchetti, con 24 preset integrati di sorgenti software, viene convalidata prima dell'avvio del job e opera in modalità fail closed. CRACI registra inoltre quali pacchetti e quali versioni sono passati attraverso quelle connessioni.

CRACI supporta runner Windows o macOS?

Non ancora. Oggi CRACI esegue Linux su x86-64 e ARM64, con Windows e macOS in roadmap. Avrea offre Windows 2025 e macOS 26 su Apple M5 Max.

Devo riscrivere i miei workflow GitHub Actions per cambiare?

No. Entrambi i prodotti sostituiscono il runner, non GitHub Actions. Workflow, trigger e interfaccia di GitHub restano invariati; su CRACI la label del job diventa runs-on: craci.