CRACI vs Buildkite

La risposta breve

Buildkite è una piattaforma CI/CD ibrida. Il suo control plane SaaS gestisce l'orchestrazione, mentre gli agent che eseguono i Suoi job risiedono sulla Sua infrastruttura, on-premise o nel cloud. Buildkite dichiara che codice sorgente e secret restano all'interno del Suo ambiente. Offre anche agent ospitati completamente gestiti, se preferisce non gestirne di propri.

CRACI è un runner gestito compatibile con GitHub Actions, progettato per la sicurezza della supply chain. Registra ogni dipendenza esterna scaricata da una build, applica una policy di egress sulla rete di build e, a partire da quel record, produce SBOM, dati di provenance ed evidenze per il CRA. In breve: Buildkite è una CI tradizionale con il massimo controllo sull'infrastruttura; CRACI è una CI attenta alla sicurezza in cui il runner è l'evidenza.

Oggi CRACI supporta solo GitHub Actions, quindi non esegue le pipeline di Buildkite. Un team su Buildkite dovrebbe spostare una pipeline su GitHub Actions per usare i runner CRACI, oppure attendere gli altri sistemi CI, che sono in roadmap.

Che cosa fa bene Buildkite

Controllo sulla potenza di calcolo. Poiché è Lei a ospitare gli agent, sceglie hardware, sistema operativo, rete e regione. Gli agent interrogano l'API degli agent di Buildkite via HTTPS, quindi non è necessario aprire porte in ingresso sul firewall. Questo modello si adatta a grandi monorepo, hardware specializzato e organizzazioni le cui policy mantengono il codice sorgente all'interno del proprio perimetro.

Integrità delle pipeline. Con le pipeline firmate, i job vengono firmati al caricamento e gli agent verificano la firma prima di eseguirli, così un agent non eseguirà un job le cui istruzioni sono state modificate dopo il caricamento.

Strumenti attorno alla build. Test Engine rileva e mette in quarantena i test instabili e suddivide i test tra job paralleli. Package Registries può pubblicare artefatti con provenance SLSA, che secondo Buildkite soddisfa SLSA Build Level 1; questa funzionalità è disponibile nei piani Enterprise.

Prezzi flessibili. A settembre 2026, Buildkite offre un piano Free e un piano Pro a $30 per utente attivo al mese, con 10 agent self-hosted inclusi nel Pro e quelli aggiuntivi a $3.50 per agent al mese. Gli agent Linux ospitati costano $0.004 per vCPU-minuto, misurati al secondo.

In che cosa CRACI è diverso

Le evidenze di sicurezza fanno parte del runner

Con gli agent self-hosted, la messa in sicurezza dell'ambiente di build spetta a Lei. Le linee guida di sicurezza di Buildkite stessa indicano di installare sistemi operativi minimali, disabilitare l'SSH in ingresso e applicare controlli rigorosi sull'egress di rete. È una ripartizione equa delle responsabilità, e significa che le evidenze sulla supply chain dipendono da ciò che il Suo team costruisce attorno agli agent.

Su CRACI, questo livello è incluso nel runner. Durante l'esecuzione di ogni job, un proxy che riconosce i pacchetti registra il traffico verso le sorgenti dei pacchetti, tra npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e sorgenti Git, oltre ai preset di download. Le evidenze sulle dipendenze viaggiano con le cache CI. Ogni job produce una SBOM CycloneDX o SPDX con uno stato di completezza per job e per cache: Complete, Complete with connections, Incomplete, Unavailable o Not recorded.

Una policy di egress senza doverla costruire

Le policy di egress di CRACI sono a negazione o ad autorizzazione predefinita, con 24 preset integrati di sorgenti software, sorgenti personalizzate tipizzate per npm, PyPI, apt, apk, il proxy Go, Nix, Cargo, registry OCI e Git, e regole esplicite TLS, TCP, UDP e ICMP. Le policy vengono convalidate prima dell'avvio del job, operano in modalità fail closed e inviano un avviso in caso di violazione.

Provenance e monitoraggio

L'API restituisce SBOM, tracce di rete e provenance. CRACI non firma la provenance. Aggrega le vulnerabilità di tutte le build e di tutti i repository e continua a rivalutare le SBOM monitorate.

Il compromesso

CRACI è solo un servizio gestito. I job girano in macchine virtuali isolate sull'infrastruttura di CRACI, e il codice sorgente viene elaborato nella VM del job per la durata della build e non viene archiviato. Con il piano Enterprise, CRACI offre la residenza dei dati nell'UE con esecuzione delle build su infrastruttura bare metal europea. Se la Sua policy richiede build sul Suo hardware, il modello di Buildkite soddisfa questo requisito e quello di CRACI no.

Quale scegliere

• Buildkite se ha bisogno di build sul Suo hardware o sulla Sua rete, esegue build Windows o macOS, usa GitLab o Bitbucket o opera su una scala in cui possedere la potenza di calcolo conviene.
• CRACI se è su GitHub Actions e desidera evidenze di build senza doverle costruire e gestire: dipendenze registrate, policy di egress ed evidenze per il CRA da un unico runner.
• Entrambi se la Sua organizzazione è divisa: Buildkite per le pipeline che devono restare sul Suo hardware, CRACI per i workflow GitHub Actions su Linux. Le build Linux pesanti, come le immagini Yocto, possono girare su runner CRACI fino a 32 vCPU e 96 GB di RAM, come descritto nella guida Yocto di CRACI.

Per il Cyber Resilience Act

Il Cyber Resilience Act dell'UE chiede ai fabbricanti di sapere che cosa contiene ogni release e di gestirne le vulnerabilità, con obblighi di segnalazione da settembre 2026 e piena applicazione da dicembre 2027. Su Buildkite, queste evidenze provengono dagli strumenti che Lei esegue sui Suoi agent. CRACI le produce dal record della build, continua a monitorare ciò che è stato rilasciato ed esporta le SBOM in CycloneDX o SPDX, vulnerabilità incluse. Automatizza una parte significativa della visibilità e delle evidenze sulla software supply chain di cui le aziende hanno bisogno nel loro più ampio processo di conformità al CRA.

Aggiungere CRACI

Per un repository su GitHub con workflow GitHub Actions, installi la GitHub App di CRACI nella Sua organizzazione e imposti l'etichetta del runner:

runs-on: craci

Le esecuzioni continuano a comparire nell'interfaccia di GitHub. Scopra di più sulla generazione di SBOM in fase di build e su come CRACI gestisce la sicurezza, oppure consulti i prezzi.