CRACI vs Namespace

La risposta breve

Namespace è un'infrastruttura per sviluppatori: runner GitHub Actions gestiti, builder Docker remoti, cache volume, esecuzione remota Bazel e ambienti di sviluppo cloud, il tutto su hardware gestito direttamente da Namespace. CRACI è un runner compatibile con GitHub Actions costruito attorno alla sicurezza della supply chain. Ogni job produce una SBOM di ciò che ha effettivamente scaricato ed è soggetto a una policy di egress.

Entrambi i prodotti possono limitare ciò che una build raggiunge in rete, e le policy di egress di Namespace sono ben progettate. La differenza sta in che cos'altro accade sul runner: Namespace si concentra su velocità, piattaforme e caching, CRACI registra la build e porta quella registrazione fino al monitoraggio delle vulnerabilità e alle evidenze per il CRA. Entrambi sostituiscono il runner ospitato da GitHub, quindi si sceglie l'uno o l'altro.

In sintesi

Che cosa fa bene Namespace

• Piattaforme. Linux su AMD64 (AMD EPYC) e ARM64 (AmpereOne, e Apple Silicon in early access), Windows su AMD EPYC e macOS su Apple M5 Max o M4 Pro. I runner Windows sono disponibili dal piano Team in su.
• Profili di runner. Lei crea un profilo nella dashboard con un sistema operativo e una configurazione di macchina, poi lo richiama in runs-on. Le configurazioni arrivano fino a 64 vCPU su Linux, e Namespace afferma che il supporto può sbloccare fino a 512 GB di RAM.
• Caching. I cache volume conservano i dati su storage locale tra un'esecuzione e l'altra, così i job non caricano e scaricano ogni volta un archivio di cache. Namespace offre anche caching delle build Docker, cache ed esecuzione remota Bazel e cache Turborepo e Gradle.
• Policy di egress. Le policy funzionano in modalità BLOCK, che nega tutto ciò che non è autorizzato, o in modalità ADVISORY, che registra le stesse decisioni senza bloccare, così si può costruire un'allowlist dal traffico reale. Le regole si applicano ai domini, un ruleset gestito github-actions mantiene operativi i runner e, con la deep packet inspection, una policy può iniettare secret negli header delle richieste o instradare il traffico attraverso un proxy. Una dashboard raggruppa le richieste autorizzate e negate per dominio, e ogni istanza ha la propria vista di egress.
• Fiducia. Namespace ha la certificazione SOC 2 Type II, con il report disponibile nel suo Trust Center, e offre la residenza dei dati esclusiva per regione nei piani enterprise.

Namespace pubblica risultati di clienti come DuckDB, che esegue la propria CI "10x faster". Sono cifre di Namespace per quei clienti.

In che cosa CRACI è diverso

CRACI considera la build la fonte di verità di ciò che Lei distribuisce.

Una registrazione di ciò che la build ha scaricato

Durante l'esecuzione di ogni job, un proxy che riconosce i pacchetti registra il traffico verso le sorgenti dei pacchetti: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e sorgenti Git, oltre ai preset di download. Le evidenze sulle dipendenze viaggiano con le cache CI, quindi anche un pacchetto ripristinato da una cache viene conteggiato. La SBOM di ogni job, in CycloneDX o SPDX, riporta uno stato di completezza per job e per cache. I log di egress di Namespace Le dicono quali domini ha contattato un runner. La registrazione di CRACI Le dice quali pacchetti e versioni la build ha scaricato da quei domini.

Policy di egress: un confronto equo

Le policy di CRACI sono a negazione o autorizzazione predefinita, con 24 preset integrati di sorgenti software, sorgenti personalizzate tipizzate per npm, PyPI, apt, apk, il proxy Go, Nix, Cargo, registry OCI e Git su HTTPS e SSH, e regole esplicite TLS, TCP, UDP e ICMP. Le policy vengono validate prima dell'avvio del job, operano in modalità fail closed, rifiutano i campi sconosciuti e inviano un avviso in caso di violazione.

Namespace è avanti su due punti. La sua modalità advisory consente di osservare una policy prima di applicarla, e la modalità monitor di CRACI è ancora in roadmap. La sua iniezione di secret e le sue regole proxy non hanno equivalenti in CRACI. CRACI si distingue perché le sue sorgenti sono tipizzate per ecosistema di pacchetti e protocollo invece di essere elencate come domini, e perché lo stesso job soggetto alla policy produce anche la registrazione dei pacchetti scaricati.

Provenance e monitoraggio

• Dati di provenance. L'API restituisce SBOM, tracce di rete e provenance. CRACI non firma la provenance e non dichiara alcun livello SLSA.
• Monitoraggio di ciò che è stato distribuito. Le SBOM monitorate vengono rivalutate di continuo rispetto alle nuove vulnerabilità, e i risultati vengono aggregati tra build e repository.

Prezzi e dimensioni

Namespace fattura in unit minute, dove un'unità corrisponde a 1 vCPU e 2 GB di RAM per un minuto su Linux. A settembre 2026, un runner Linux da 2 vCPU e 4 GB costa $0.002 al minuto entro i minuti del piano e $0.003 al minuto in eccedenza. Il piano Team costa $100 al mese con 100.000 unit minute, e Business $250 al mese con 250.000. Windows consuma minuti al doppio della tariffa Linux e macOS a dieci volte tanto. L'utilizzo ha un minimo di un minuto per job e viene poi arrotondato al minuto; l'esempio di Namespace fattura 150 secondi come 3 minuti.

CRACI fattura $0.002 per vCPU-minuto, quindi un runner da 2 vCPU con 6 GB di RAM costa $0.004 al minuto, con ARM64 alla stessa tariffa, misurato al secondo, senza canone mensile. Il prezzo di listino al minuto di Namespace è inferiore, con un minimo di un minuto per job. Le sue configurazioni standard hanno 2 GB di RAM per vCPU e quelle di CRACI 3 GB, quindi scelga la configurazione di cui hanno bisogno le Sue build prima di confrontare. Veda i prezzi di CRACI per le condizioni attuali.

Quale scegliere

Namespace è la scelta migliore quando

• Le servono runner macOS o Windows. Oggi CRACI è solo Linux; Windows e macOS sono in roadmap.
• Vuole provare una policy di egress in modalità advisory prima di applicarla.
• Dipende dall'esecuzione remota Bazel o dai cache volume.
• Usa anche agenti Buildkite o ambienti di sviluppo cloud e vuole un solo vendor.

CRACI è la scelta migliore quando

• Deve dimostrare che cosa è entrato in una release, con uno stato di completezza, dalla build stessa.
• Vuole il monitoraggio delle SBOM distribuite in un unico posto.
• Le servono evidenze per il Cyber Resilience Act.
• Le serve la residenza dei dati nell'UE, disponibile nel piano Enterprise di CRACI.

Per il Cyber Resilience Act

Il Cyber Resilience Act chiede ai fabbricanti di conoscere i componenti dei loro prodotti, di gestirne le vulnerabilità e di conservare le evidenze. Il prodotto di Namespace è un'infrastruttura veloce di CI e sviluppo. CRACI automatizza una parte significativa della visibilità e delle evidenze sulla software supply chain di cui le aziende hanno bisogno per il loro più ampio processo di conformità al CRA: SBOM in fase di build esportate in CycloneDX o SPDX, tracciamento delle vulnerabilità e provenance tramite l'API. Veda le evidenze per il CRA.

Passare da Namespace a CRACI

Installi la CRACI GitHub App sulla Sua organizzazione, con accesso a tutti i repository o a un insieme selezionato, poi cambi l'etichetta del runner su un job:

runs-on: craci

Sposti un job alla volta, controlli la sua SBOM e la sua traccia di rete e approfondisca l'integrazione CI/CD e la generazione di SBOM in fase di build.