CRACI vs Depot

La risposta breve

Depot è accelerazione delle build: runner GitHub Actions, un servizio remoto di build Docker con una cache dei layer persistente, una cache remota per strumenti come Bazel e Gradle e un proprio motore CI. CRACI è un runner compatibile con GitHub Actions costruito attorno alla sicurezza della supply chain. Ogni job produce una SBOM di ciò che ha effettivamente scaricato e gira con una policy di egress definita da Lei.

La differenza in una riga: Depot ottimizza la velocità della Sua build, CRACI registra e controlla ciò che vi entra. Entrambi sostituiscono il runner ospitato da GitHub, quindi va scelto uno dei due.

In sintesi

Che cosa fa bene Depot

Depot ha costruito un'ampia piattaforma di runner e di build, ben documentata. I punti salienti dalla sua documentazione:

• Un ampio catalogo di runner. Runner Linux su AMD EPYC (etichette Intel) e AWS Graviton4 (Arm) da 2 vCPU e 8 GB di RAM fino a 64 vCPU e 256 GB, più Windows Server 2022 e 2025, e runner macOS nei piani Startup e Business.
• Caching. I runner sono collegati alla cache distribuita di Depot, che secondo Depot raggiunge velocità di upload e download fino a 1000 MiB/s. Depot descrive i suoi runner come fino a 3x più veloci di un runner ospitato da GitHub, con un caching 10x più veloce.
• Build Docker. depot build è un sostituto diretto di docker build che gira su un host BuildKit remoto con una cache dei layer NVMe persistente condivisa nel Suo team, e compila nativamente immagini x86 e Arm senza emulazione QEMU. Depot afferma che è fino a 40x più veloce della build in locale o su un provider CI.
• Isolamento. Ogni job GitHub Actions gira su una nuova istanza EC2 single-tenant che non viene mai riutilizzata.
• Filtraggio dell'egress. Regole allow e deny per IP, CIDR e hostname, con una regola predefinita che Lei imposta su allow o deny. Attualmente si applica ai runner Linux.
• Opzioni enterprise. Con il piano Business, Depot Managed distribuisce il data plane nel Suo account AWS, con AWS PrivateLink, IP in uscita statici e SSO. Depot indica un report SOC 2 Type II.

Se il tempo di build delle immagini Docker è il Suo principale collo di bottiglia nella CI, Depot è fatto esattamente per questo problema.

In che cosa CRACI è diverso

CRACI tratta la build come fonte di verità per ciò che Lei distribuisce. Il runner è il punto in cui si raccolgono queste evidenze.

Un registro di ciò che la build ha scaricato

Durante l'esecuzione di ogni job, un proxy che riconosce i pacchetti registra il traffico verso le sorgenti di pacchetti: sorgenti npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e Git, oltre ai preset di download. Le evidenze sulle dipendenze viaggiano con le cache CI, così un pacchetto ripristinato da una cache viene comunque conteggiato. La SBOM di ogni job, in CycloneDX o SPDX, riporta uno stato di completezza per job e per cache, così Lei sa quando il registro è completo e quando non lo è.

Anche Depot può produrre una SBOM: aggiungendo --sbom=true a depot build genera una SBOM SPDX con Syft. Si tratta di una scansione dell'immagine prodotta dalla build. Il registro di CRACI copre l'intero job, compresi gli strumenti di build e i pacchetti che non finiscono mai in un'immagine, e i job che non compilano affatto immagini.

Una policy di egress pensata per le sorgenti software

Entrambi i prodotti consentono di bloccare il traffico in uscita inatteso da un runner. Le policy di CRACI sono a negazione o autorizzazione predefinita, con 24 preset integrati per le sorgenti software, sorgenti personalizzate tipizzate per npm, PyPI, apt, apk, il proxy Go, Nix, Cargo, registry OCI e Git su HTTPS e SSH, e regole esplicite TLS, TCP, UDP e ICMP. Le policy vengono convalidate prima dell'avvio del job, operano in modalità fail closed e inviano un avviso in caso di violazione. Le regole di Depot funzionano a livello di IP, CIDR e hostname, il che è più semplice da gestire se è tutto ciò che Le serve.

Provenance e monitoraggio

• Dati di provenance. L'API restituisce SBOM, tracce di rete e provenance. CRACI non firma la provenance. Le build di immagini di Depot possono allegare attestazioni di provenance BuildKit, impostate con il flag --provenance.
• Monitoraggio di ciò che è stato distribuito. Le SBOM monitorate vengono rivalutate di continuo rispetto alle nuove vulnerabilità, e i risultati vengono aggregati tra build e repository.

Prezzo e dimensioni

A settembre 2026, Depot addebita $0.006 al minuto per il suo runner Linux da 2 vCPU e 8 GB oltre i minuti inclusi nel piano, e le dimensioni maggiori crescono in modo lineare: 32 vCPU costano $0.096 al minuto. Il piano Developer costa $20 al mese con 2.000 minuti GitHub Actions, e il piano Startup $200 al mese con 20.000. Depot conteggia l'utilizzo al secondo, senza un minimo di un minuto per esecuzione, e offre una prova gratuita di 7 giorni.

CRACI fattura $0.002 per vCPU-minuto, quindi 2 vCPU costano $0.004 al minuto e 32 vCPU $0.064 al minuto, con ARM64 alla stessa tariffa. La misurazione è al secondo e non c'è alcun canone mensile. Oltre i minuti del piano di Depot, questo significa circa il 33% in meno al minuto per ogni dimensione. Confronti a parità di memoria: un'unità di calcolo CRACI ha 3 GB di RAM per vCPU, mentre i runner di Depot hanno 4 GB per vCPU. Veda i prezzi di CRACI per le condizioni attuali.

Quale scegliere

Depot è più adatto quando

• Le build di immagini Docker dominano il Suo tempo di CI.
• Le servono runner Windows o macOS. Oggi CRACI è solo Linux; Windows e macOS sono in roadmap.
• Le servono runner nel Suo account AWS. CRACI non offre ancora runner ospitati dal cliente; sono in roadmap per Enterprise.
• Si affida al caching remoto per Bazel, Gradle, Turborepo o sccache.

CRACI è più adatto quando

• Deve dimostrare che cosa è entrato in una release, a partire dalla build stessa, con uno stato di completezza.
• Vuole un egress delle build controllato per sorgente di pacchetti, convalidato prima di ogni job.
• Vuole il monitoraggio delle SBOM distribuite in un unico posto.
• Le serve la residenza dei dati nell'UE, disponibile con il piano Enterprise di CRACI.

Per il Cyber Resilience Act

Il Cyber Resilience Act chiede ai fabbricanti di conoscere i componenti dei loro prodotti, gestirne le vulnerabilità e conservare le evidenze. Il prodotto di Depot è un'infrastruttura di build, e la sua documentazione si concentra su velocità, caching e isolamento. CRACI automatizza una parte significativa della visibilità e delle evidenze sulla software supply chain di cui le aziende hanno bisogno per il loro più ampio processo di conformità al CRA: SBOM in fase di build, tracciamento delle vulnerabilità, provenance ed esportazione SBOM in CycloneDX o SPDX.

Passare da Depot a CRACI

Installi la GitHub App di CRACI nella Sua organizzazione, con accesso a tutti i repository o a una selezione, poi cambi l'etichetta del runner su un job:

runs-on: craci

I Suoi workflow e l'interfaccia di GitHub restano invariati. Sposti un job alla volta, a partire da uno che compila qualcosa che Lei distribuisce. Guardi la sua SBOM e la sua traccia di rete, poi scriva una policy di egress che consenta le sorgenti di cui ha bisogno. Approfondisca l'integrazione CI/CD e la generazione di SBOM in fase di build.