CRACI vs Ubicloud

La risposta breve

Ubicloud è un'alternativa open source ai grandi cloud, e i suoi runner GitHub Actions gestiti sono tra i più economici sul mercato: un runner da 2 vCPU costa $0.002 al minuto su hardware x64 premium e $0.00125 su x64 standard o arm64, a settembre 2026. Se il Suo obiettivo è ridurre la spesa GitHub Actions per i job Linux, Ubicloud costa meno di CRACI, e anch'esso gira in Europa.

CRACI è una CI che gestisce nativamente la sicurezza della supply chain. È anch'esso un runner compatibile con GitHub Actions, e il passaggio richiede lo stesso tipo di modifica di una riga, ma la sicurezza fa parte del runner anziché essere uno strumento aggiunto. CRACI registra ogni dipendenza esterna scaricata dalla build, applica una policy di egress sulla rete di build e trasforma quel record in SBOM, monitoraggio delle vulnerabilità ed evidenze. I due prodotti competono per lo stesso budget dei runner, quindi va scelto uno dei due.

In sintesi

Che cosa fa bene Ubicloud

Prezzo. Ubicloud gira su bare metal in affitto e trasferisce il risparmio ai clienti. Afferma che i suoi runner riducono la spesa GitHub Actions da quattro a sette volte e offrono un rapporto prezzo-prestazioni sette volte superiore a quello dei runner ospitati da GitHub. Sono cifre di Ubicloud, ma i prezzi di listino confermano la direzione: da $0.00125 a $0.002 per minuto con 2 vCPU, è ben al di sotto sia di GitHub sia di CRACI.

Scelta dell'hardware. I runner x64 standard usano processori AMD EPYC, i runner premium usano chip AMD Ryzen 9 7950X3D ottimizzati per la velocità single-thread, e i runner arm64 usano Ampere Altra con un core fisico dedicato per vCPU. I nuovi account ricevono premium per impostazione predefinita e ripiegano su standard quando la capacità premium è esaurita. Le dimensioni vanno da 2 a 30 vCPU, con immagini create dai template runner-images di GitHub.

Caching senza modifiche ai workflow. La cache trasparente di Ubicloud serve actions/cache, le action di setup e il caching dei layer Docker da uno storage vicino ai runner, che secondo Ubicloud è fino a quattro volte più veloce, con 30 GB per repository a settimana. L'accesso SSH aiuta a eseguire il debug di un workflow che fallisce.

Open source e isolamento. Il codice di Ubicloud è pubblico con licenza AGPL-3.0, quindi può leggere come funziona o eseguirlo in autonomia. Ogni job riceve una macchina virtuale KVM pulita ed effimera il cui block storage viene poi eliminato, registrata tramite l'API just-in-time dei runner di GitHub, e i runner sono ospitati in data center in Germania.

Prezzi e dimensioni

Il prezzo di listino di Ubicloud è più basso a ogni dimensione. I $0.004 per minuto con 2 vCPU di CRACI sono il doppio della tariffa x64 premium di Ubicloud e più del triplo della sua tariffa standard e arm64. CRACI misura al secondo, arrotondando al secondo più vicino, e Ubicloud fattura al minuto, quindi i job brevi riducono il divario: un job da 30 secondi costa $0.002 su CRACI, come un minuto fatturato su x64 premium di Ubicloud. Anche le configurazioni differiscono: i runner x64 di Ubicloud hanno 4 GB di RAM per vCPU, quelli arm64 3 GB, e un'unità di calcolo CRACI è di 1 vCPU con 3 GB. Consulti i prezzi di CRACI per le condizioni attuali.

Il prezzo non è il terreno su cui compete CRACI. Entrambi affermano che i loro runner sono circa due volte più veloci di quelli ospitati da GitHub; CRACI ci arriva con hardware più veloce, tempi di coda più brevi e caching. Non abbiamo effettuato benchmark tra i due.

In che cosa CRACI è diverso

Un record di ciò che la build ha scaricato

Durante l'esecuzione di ogni job, un proxy che riconosce i pacchetti registra il traffico verso le sorgenti dei pacchetti: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e sorgenti Git, oltre ai preset di download. Le evidenze sulle dipendenze viaggiano con le cache CI, quindi anche i pacchetti ripristinati da una cache vengono conteggiati. Questo comprende le dipendenze nascoste che nessun lockfile elenca, come il codice scaricato da hook di installazione o script di build, e i layer delle immagini base. Ogni job produce una SBOM CycloneDX o SPDX con uno stato di completezza per job e per cache: Complete, Complete with connections, Incomplete, Unavailable o Not recorded.

Controllo su ciò che la build può raggiungere

Una VM pulita per job impedisce a un job di avvelenare il successivo. Non impedisce a una dipendenza compromessa di inviare i Suoi secret altrove durante il job. La policy di egress di CRACI sì: negazione o autorizzazione predefinita, 24 preset integrati di sorgenti software, sorgenti personalizzate tipizzate e regole esplicite per TLS, TCP, UDP e ICMP. Le policy vengono convalidate prima dell'avvio del job, operano in modalità fail closed e inviano un avviso in caso di violazione. Poiché la policy consente solo ciò di cui la build ha bisogno, blocca l'esfiltrazione verso gli host di cui la build non ha bisogno, anche in un attacco mai visto prima.

Provenance e monitoraggio

L'API restituisce SBOM, tracce di rete e provenance. CRACI non firma la provenance. Aggrega le vulnerabilità tra build e repository e continua a rivalutare le SBOM monitorate.

Due domande di sicurezza diverse

Il lavoro di sicurezza di Ubicloud risponde a "posso affidare i miei job a questo runner?": VM isolate, registrazione just-in-time, cifratura e codice sorgente pubblico. CRACI risponde anche a questa domanda, con macchine virtuali isolate, nessun codice sorgente conservato e certificazione ISO 27001, e poi a una seconda: "che cosa ha scaricato questa build e a che cosa si è connessa?" Questa seconda risposta è quella che Le chiedono un auditor, un cliente o il Cyber Resilience Act.

Prenoti una demo per vedere la SBOM, la traccia di rete e la provenance di uno dei Suoi workflow.

Quale scegliere

Ubicloud è più adatto quando

• L'obiettivo principale è il prezzo al minuto più basso per i job Linux.
• Vuole una piattaforma open source che potrebbe anche eseguire in autonomia.
• Usa già Ubicloud per calcolo o PostgreSQL e vuole la CI sulla stessa fattura.

CRACI è più adatto quando

• Distribuisce software per cui deve mostrare che cosa è entrato in ogni release, a partire dalla build stessa.
• Vuole limitare ciò che le build possono raggiungere, con una policy fail closed.
• Le serve il monitoraggio di ciò che è stato distribuito, senza aggiungere strumenti a ogni workflow.
• Le serve la residenza dei dati nell'UE come clausola contrattuale, disponibile con il piano Enterprise di CRACI.

A che cosa rinuncia con CRACI. Il prezzo di Ubicloud, più basso a ogni dimensione, e il suo codice open source. Ciò che ottiene è un record di build che sicurezza e compliance possono usare senza un altro scanner nella pipeline.

Per il Cyber Resilience Act

Il Cyber Resilience Act dell'UE richiede ai fabbricanti di sapere che cosa contiene ogni release e di gestirne le vulnerabilità, con obblighi di segnalazione da settembre 2026 e piena applicazione da dicembre 2027. Un runner a basso costo non produce da solo queste evidenze; dovrebbe aggiungere strumenti SBOM e di scansione ai Suoi workflow. CRACI le produce dal record della build ed esporta le SBOM in CycloneDX o SPDX. Automatizza una parte significativa della visibilità e delle evidenze sulla software supply chain di cui le aziende hanno bisogno nel loro più ampio processo di conformità al CRA.

Passare da Ubicloud

CRACI sostituisce il runner, non GitHub Actions. I workflow e l'interfaccia di GitHub restano gli stessi, e l'etichetta del job diventa runs-on: craci. I job dispongono di Docker Engine, Buildx e Compose v2, di un'immagine Ubuntu 24.04 compatibile con GitHub e della virtualizzazione annidata su x86-64. Scopra di più sull'integrazione CI/CD e sulla generazione di SBOM in fase di build. Le startup possono candidarsi al programma startup.

Ubicloud e CRACI: domande frequenti

Prezzi, velocità, hosting e sicurezza, in base alle informazioni pubblicate da ciascun vendor

Che cos'è Ubicloud?

Ubicloud è un cloud open source: calcolo, PostgreSQL gestito, Kubernetes e runner GitHub Actions, costruiti su provider bare-metal come Hetzner, Leaseweb e AWS Bare Metal. Può usare il suo servizio gestito o eseguirlo in autonomia. I suoi runner GitHub Actions si attivano con una sola etichetta, e ogni job riceve una macchina virtuale pulita ed effimera. Ubicloud ha fatto parte del batch W24 di Y Combinator e ha raccolto $16M di finanziamento seed.

Quanto costano i runner Ubicloud?

A settembre 2026, un runner x64 da 2 vCPU costa $0.00125 al minuto su hardware standard e $0.002 su hardware premium, che i nuovi account ricevono per impostazione predefinita. Un runner arm64 da 2 vCPU costa $0.00125. La fatturazione è al minuto, e ogni account riceve un credito mensile di $2.50, circa 1.250 minuti. La pagina marketing di Ubicloud indica anche runner standard da $0.0010 al minuto; le cifre qui riportate provengono dalla sua documentazione sui prezzi.

Ubicloud costa meno di CRACI?

Sì. CRACI addebita $0.004 per minuto con 2 vCPU sia su x86-64 sia su ARM64. I runner Ubicloud da 2 vCPU costano $0.002 su x64 premium e $0.00125 su x64 standard e arm64. CRACI misura al secondo e Ubicloud al minuto, il che riduce il divario sui job brevi: un job da 30 secondi costa $0.002 su CRACI, come un minuto fatturato su x64 premium di Ubicloud. Ciò che CRACI aggiunge sul runner è il record della build: una SBOM per ogni job, una policy di egress, dati di provenance e il monitoraggio delle vulnerabilità.

Ubicloud è più veloce di CRACI?

Ubicloud afferma che i suoi runner sono due volte più veloci dei runner ospitati da GitHub, e CRACI esegue le build circa due volte più velocemente dei runner ospitati da GitHub, grazie a hardware più veloce, tempi di coda più brevi e caching. Non abbiamo effettuato benchmark tra i due, quindi esegua lo stesso workflow su entrambi e confronti.

Ubicloud genera SBOM o provenance di build?

Non figura tra le funzionalità documentate. I runner di Ubicloud si concentrano su prezzo, prestazioni e isolamento dei job. CRACI registra i pacchetti scaricati da ogni job, compresi quelli ripristinati dalle cache, e produce una SBOM CycloneDX o SPDX con uno stato di completezza. L'API restituisce SBOM, tracce di rete e provenance.

Ubicloud può limitare ciò che una build può raggiungere in rete?

Una policy di egress per i job dei runner non figura tra le funzionalità della documentazione di Ubicloud su GitHub Actions, che copre VM isolate, registrazione just-in-time dei runner e conservazione dei log dei metadati. CRACI applica una policy di egress sul runner: negazione o autorizzazione predefinita, 24 preset integrati di sorgenti software, convalida prima dell'avvio del job e modalità fail closed.

Dove girano i job e i dati possono restare nell'UE?

Ubicloud alloca i suoi runner GitHub Actions in data center in Germania. CRACI esegue le build su infrastruttura bare-metal europea, con residenza dei dati nell'UE nel piano Enterprise. CRACI non conserva il Suo codice sorgente, che viene elaborato nella VM del job per la durata della build.

Devo riscrivere i miei workflow GitHub Actions per passare a CRACI?

No. Entrambi i prodotti sostituiscono il runner, non GitHub Actions. Workflow, trigger e interfaccia di GitHub restano gli stessi; su CRACI l'etichetta del job diventa runs-on: craci.