CRACI vs Blacksmith CI

La risposta breve

Blacksmith è un servizio di runner gestiti per GitHub Actions, pensato per velocità e costi: runner Linux, Windows e macOS su hardware bare metal, una cache delle dipendenze co-locata, caching dei layer Docker su dischi persistenti e osservabilità della CI. Se il Suo unico obiettivo è un GitHub Actions più veloce ed economico, Blacksmith è un'opzione solida: il suo prezzo di listino x64 è lo stesso di CRACI, quello ARM è più basso e Blacksmith include 3.000 minuti gratuiti x64 al mese.

CRACI è una CI che gestisce nativamente la sicurezza della supply chain. È anch'esso un runner compatibile con GitHub Actions, e il passaggio richiede lo stesso tipo di modifica di una riga, ma la sicurezza fa parte del runner invece di essere uno strumento aggiunto. CRACI registra ogni dipendenza esterna che la build ha scaricato, applica una policy di egress sulla rete di build e trasforma quel record in SBOM, monitoraggio delle vulnerabilità ed evidenze per il CRA. Entrambi i prodotti competono per lo stesso budget per i runner, quindi va scelto uno dei due.

In sintesi

Che cosa fa bene Blacksmith

Attenzione alle prestazioni. Blacksmith esegue i job su macchine bare metal con elevate prestazioni single-core, dichiara che i suoi runner sono due volte più veloci dei runner ospitati da GitHub e che la sua cache co-locata scarica circa quattro volte più velocemente. Per le build Docker, riferisce che i clienti hanno ottenuto miglioramenti da 2x a 40x grazie al caching dei layer. Sono dati di Blacksmith; il vero test è la Sua pipeline.

Caching senza modifiche ai workflow. Le action ufficiali di cache e setup di GitHub dialogano in modo trasparente con la cache di Blacksmith, con 25 GB di storage gratuito per repository a settimana ed eliminazione dei dati usati meno di recente dopo sette giorni. Sticky disk e caching dei layer Docker mantengono lo stato tra un'esecuzione e l'altra per $0.50 per GB al mese, e la documentazione copre anche il caching di Bazel, del checkout Git e delle immagini container.

Copertura delle piattaforme. Blacksmith offre Ubuntu 22.04 e 24.04 su x64 e ARM da 2 a 32 vCPU, Windows Server 2025 in beta pubblica e macOS su Apple M4 nelle dimensioni da 6 e 12 vCPU. Non impone limiti di concorrenza. Oggi CRACI è solo Linux, con Windows e macOS in roadmap, quindi per quei job Blacksmith copre un terreno che CRACI non copre ancora.

Debug e analisi. Accesso SSH ai job in esecuzione, cronologia delle esecuzioni, ricerca nei log, metriche, monitor, analisi dei test e una dashboard della CI sono tutte funzionalità documentate. Le Testbox, che eseguono modifiche locali all'interno di un vero job GitHub Actions, sono in beta iniziale.

Sicurezza e conformità del servizio. I job girano in microVM Firecracker effimere, e ogni job riceve un token just-in-time limitato a quel job che scade dopo un'ora. Blacksmith dichiara di essere conforme a SOC 2 Type 2 e al GDPR e di sottoporsi a penetration test ogni trimestre.

Prezzo e dimensionamento

Su x64 i due hanno lo stesso prezzo di listino, $0.004 per minuto a 2 vCPU. Il prezzo ARM di Blacksmith è nettamente più basso, poiché CRACI addebita ARM64 alla stessa tariffa di x86-64, e Blacksmith include 3.000 minuti gratuiti x64 al mese. CRACI misura al secondo, arrotondando al secondo più vicino, quindi i job brevi vengono fatturati per i secondi effettivi di esecuzione. Anche le configurazioni differiscono: un'unità di calcolo CRACI è 1 vCPU con 3 GB di RAM, da 1 a 32 unità, mentre i runner x64 di Blacksmith hanno 4 GB per vCPU e quelli ARM 3 GB. Verifichi la memoria di cui hanno bisogno le Sue build prima di confrontare i prezzi. Consulti i prezzi di CRACI per le condizioni attuali.

Non è sulla velocità che i due differiscono di più. Entrambi dichiarano che i propri runner sono circa due volte più veloci dei runner ospitati da GitHub. CRACI ci arriva con hardware più veloce, tempi di coda più brevi e caching. Non abbiamo confrontato i due con un benchmark.

In che cosa CRACI è diverso

Un record di ciò che la build ha scaricato

Durante l'esecuzione di ogni job, un proxy che riconosce i pacchetti registra il traffico verso le sorgenti dei pacchetti: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e sorgenti Git, oltre ai preset di download. Le evidenze sulle dipendenze viaggiano con le cache CI, quindi anche i pacchetti ripristinati da una cache vengono conteggiati. Ogni job produce una SBOM CycloneDX o SPDX con uno stato di completezza per job e per cache: Complete, Complete with connections, Incomplete, Unavailable o Not recorded.

Controllo su ciò che la build può raggiungere

Gli IP statici di Blacksmith danno ai Suoi runner un indirizzo fisso per raggiungere servizi protetti da firewall. Anche CRACI offre un intervallo di IP di egress stabile, e aggiunge le policy di egress: negazione o autorizzazione predefinita, 24 preset integrati di sorgenti software, sorgenti personalizzate tipizzate e regole esplicite TLS, TCP, UDP e ICMP. Le policy vengono convalidate prima dell'avvio del job, operano in modalità fail closed e inviano un avviso in caso di violazione.

Provenance e monitoraggio

L'API restituisce SBOM, tracce di rete e provenance. CRACI aggrega le vulnerabilità di tutte le build e di tutti i repository e continua a rivalutare le SBOM monitorate.

Due domande di sicurezza diverse

Il lavoro di Blacksmith sulla sicurezza risponde alla domanda "posso affidare con fiducia i miei job a questo servizio di runner?": microVM isolate, token di breve durata, cache cifrate e un report SOC 2. CRACI risponde anche a questa domanda, con macchine virtuali isolate e nessun codice sorgente archiviato, e poi a una seconda: "che cosa ha scaricato questa build, e a che cosa si è connessa?" È questa seconda risposta che Le chiedono un auditor, un cliente o il Cyber Resilience Act.

Prenoti una demo per vedere la SBOM, la traccia di rete e la provenance di uno dei Suoi workflow.

Quale scegliere

Blacksmith è la scelta migliore se

• Gli obiettivi principali sono la velocità delle build e il costo al minuto più basso su ARM, o contano i minuti gratuiti mensili.
• Ha bisogno oggi di runner macOS o Windows.
• Fa affidamento sugli sticky disk, sulla console di osservabilità di Blacksmith o sul debug via SSH.

CRACI è la scelta migliore se

• Distribuisce software per cui deve dimostrare che cosa è entrato in ogni release, a partire dalla build stessa.
• Desidera limitare ciò che le build possono raggiungere, con una policy in modalità fail closed.
• Ha bisogno del monitoraggio di ciò che è stato rilasciato, senza aggiungere strumenti a ogni workflow.
• Ha bisogno della residenza dei dati nell'UE, disponibile nel piano Enterprise di CRACI.

A che cosa rinuncia con CRACI. Ai job Windows e macOS, che sono in roadmap, al prezzo ARM più basso e agli strumenti di debug e di analisi di Blacksmith. Ciò che ottiene è un record di build che sicurezza e compliance possono usare senza un altro scanner nella pipeline.

Per il Cyber Resilience Act

Il Cyber Resilience Act dell'UE si aspetta che i fabbricanti sappiano che cosa contiene ogni release e ne gestiscano le vulnerabilità, con obblighi di segnalazione da settembre 2026 e piena applicazione da dicembre 2027. Un runner veloce non produce da solo queste evidenze; dovrebbe aggiungere strumenti SBOM e di scansione ai Suoi workflow. CRACI le produce dal record della build ed esporta le SBOM in CycloneDX o SPDX, vulnerabilità incluse. Automatizza una parte significativa della visibilità e delle evidenze sulla software supply chain di cui le aziende hanno bisogno nel loro più ampio processo di conformità al CRA.

Passare da Blacksmith

CRACI sostituisce il runner, non GitHub Actions. I workflow e l'interfaccia di GitHub restano invariati, e la label del job diventa runs-on: craci. I job dispongono di Docker Engine, Buildx e Compose v2, di un'immagine Ubuntu 24.04 compatibile con GitHub e della virtualizzazione annidata su x86-64. Scopra di più sull'integrazione CI/CD e sulla generazione di SBOM in fase di build. Le startup possono candidarsi al programma per startup.

Blacksmith vs CRACI: domande frequenti

Prezzi, velocità, piattaforme e sicurezza, con risposte basate sulle informazioni pubblicate da ciascun vendor

Che cos'è Blacksmith CI?

Blacksmith è un servizio di runner gestiti per GitHub Actions. Lei mantiene i Suoi workflow e cambia la label del runner, e i Suoi job vengono eseguiti sulle macchine bare metal di Blacksmith in microVM Firecracker anziché sui runner ospitati da GitHub. Punta su velocità e prezzo: hardware più veloce, una cache delle dipendenze co-locata, caching dei layer Docker e osservabilità della CI.

Quanto costa Blacksmith?

A settembre 2026, Blacksmith indica per Ubuntu x64 a 2 vCPU $0.004 al minuto, per Ubuntu ARM $0.0025, per Windows $0.008 e per macOS M4 (6 vCPU) $0.08. Ogni organizzazione riceve 3.000 minuti gratuiti x64 a 2 vCPU al mese. Il caching dei layer Docker e gli sticky disk costano $0.50 per GB al mese, e gli IP statici $100 per IP al mese.

Blacksmith costa meno di CRACI?

Su ARM sì; su x64 il prezzo di listino è lo stesso. CRACI addebita $0.004 al minuto per 2 vCPU sia su x86-64 sia su ARM64, contro i $0.004 di Blacksmith su x64 e i $0.0025 su ARM, e Blacksmith include 3.000 minuti gratuiti x64 al mese. CRACI misura al secondo, quindi i job brevi vengono fatturati per i secondi effettivi di esecuzione. Ciò che CRACI aggiunge sul runner è il record della build: una SBOM per ogni job, una policy di egress, dati di provenance tramite l'API e monitoraggio delle vulnerabilità, che altrimenti richiederebbero strumenti separati.

Blacksmith è più veloce di CRACI?

Entrambi dichiarano che i propri runner sono circa due volte più veloci dei runner ospitati da GitHub. CRACI ci arriva con hardware più veloce, tempi di coda più brevi e caching. Non abbiamo confrontato i due con un benchmark, quindi esegua lo stesso workflow su entrambi e confronti.

Blacksmith genera SBOM o provenance della build?

Non figura tra le sue funzionalità documentate. Blacksmith si concentra su calcolo, caching e osservabilità. CRACI registra i pacchetti scaricati da ogni job, compresi quelli ripristinati dalle cache, e produce una SBOM CycloneDX o SPDX con uno stato di completezza. L'API restituisce SBOM, tracce di rete e provenance.

Blacksmith può limitare ciò che una build può raggiungere in rete?

Blacksmith offre IP statici, così i Suoi job possono raggiungere servizi protetti da firewall da un indirizzo fisso. Una policy su ciò a cui il job stesso può connettersi non figura tra le sue funzionalità documentate. CRACI applica una policy di egress sul runner: negazione o autorizzazione predefinita, 24 preset integrati di sorgenti software, convalidata prima dell'avvio del job e in modalità fail closed.

CRACI supporta runner Windows o macOS?

Non ancora. Oggi CRACI esegue Linux su x86-64 e ARM64, con Windows e macOS in roadmap. Blacksmith offre macOS su Apple M4 e Windows Server 2025 in beta pubblica.

Dove vengono eseguiti i job, e i dati possono restare nell'UE?

Blacksmith esegue i job su macchine bare metal negli Stati Uniti orientali e occidentali, ad Amsterdam e a Francoforte, con il control plane su AWS. CRACI esegue le build su infrastruttura bare metal europea, con residenza dei dati nell'UE nel piano Enterprise. CRACI non archivia il Suo codice sorgente; viene elaborato nella VM del job per la durata della build.

Blacksmith è conforme a SOC 2?

Blacksmith dichiara di essere conforme a SOC 2 Type 2 e al GDPR e di sottoporsi a penetration test ogni trimestre. CRACI documenta i propri controlli di sicurezza nel suo Trust Center.

Devo riscrivere i miei workflow GitHub Actions per cambiare?

No. Entrambi i prodotti sostituiscono il runner, non GitHub Actions. Workflow, trigger e interfaccia di GitHub restano invariati; su CRACI la label del job diventa runs-on: craci.