Wat CRACI kan bereiken, en wat het bewaart

Waarom deze vraag een eerlijk antwoord verdient

Een CI-runner ziet meer dan de meeste tools in uw stack. Hij checkt uw broncode uit, installeert uw afhankelijkheden en bevat de secrets die uw workflows gebruiken om pakketten te publiceren en uit te rollen. Toen de GitHub Action tj-actions/changed-files in maart 2025 werd gecompromitteerd, meldde CISA dat de kwaadaardige code secrets blootlegde, waaronder toegangssleutels, persoonlijke toegangstokens van GitHub, npm-tokens en private RSA-sleutels. De runner is waar die secrets zich bevinden terwijl een job draait.

Voordat u een workflow naar CRACI verwijst, moet u dus precies weten wat het kan bereiken. De antwoorden staan hieronder, en het CRACI Trust Center en docs.craci.com bevatten de details.

Waarvoor de GitHub App dient

CRACI vervangt de runner, niet GitHub Actions. U houdt uw workflows, wijzigt runs-on in craci voor de jobs die u kiest, en de runs verschijnen nog steeds in de GitHub-interface. Om dat mogelijk te maken, installeert uw organisatie de CRACI GitHub App.

Bij de installatie geeft u de App toegang tot alle repositories of tot een geselecteerde set. Alleen de repositories waartoe u toegang geeft, kunnen workflows op CRACI draaien.

De exacte rechten die de App vraagt, staan op het installatiescherm van GitHub, en u kunt ze achteraf bekijken in de instellingen van uw organisatie. Kort gezegd kan de App uw code en uw Actions-runs lezen, en beheert hij de runners die hij voor uw organisatie registreert.

Waar uw code draait

Jobs worden uitgevoerd in geïsoleerde virtuele machines. De builduitvoering draait op Europese bare-metal-infrastructuur. Uw broncode wordt tijdens de build verwerkt in de VM van de job.

Elke job draait op een van drie images: CRACI Slim, CRACI Slim ARM64 of een GitHub-compatibele Ubuntu 24.04-image. Runners draaien momenteel alleen op Linux; Windows en macOS staan op de roadmap.

Hoe jobs worden geïsoleerd, en wat er met de VM van een job gebeurt wanneer die eindigt, is gedocumenteerd op docs.craci.com en in het Trust Center.

Wat CRACI opslaat, en hoelang

CRACI verwerkt uw broncode in de VM van de job terwijl de build draait en slaat die niet op. Wat het bewaart, is het bewijs dat het over elke build vastlegt, plus de caches die uw workflows opslaan:

• Buildmetadata
• Pakketgegevens, dat wil zeggen de afhankelijkheden die elke job heeft binnengehaald
• Netwerktraces van de job
• SBOM's
• Herkomstgegevens
• Caches
• Auditgegevens

Een cache bevat wat uw workflow erin zet, dus behandel de inhoud van caches zoals u elke andere builduitvoer behandelt.

De standaardbewaartermijn is 180 dagen. Enterprise-plannen kunnen een aangepaste bewaartermijn instellen. Verwijdering en versleuteling van gegevens worden behandeld in het Trust Center.

Hosting en dataresidentie

CRACI wordt in Europa gehost en biedt EU-dataresidentie, met builduitvoering op Europese bare-metal-infrastructuur. Het platform draait bij Hetzner, een Duitse provider, in een datacenter in Tuusula, Finland. Zie dataresidentie voor welke gegevens CRACI verwerkt.

Beheersmaatregelen voor de build zelf

Een runner die uw secrets ziet, moet u ook laten beperken waar ze naartoe kunnen. Het netwerkegressbeleid van CRACI stelt per job een standaard van deny of allow in, met 24 ingebouwde presets voor gangbare softwarebronnen en getypeerde aangepaste bronnen voor registries zoals npm, PyPI, Cargo, Go proxy en OCI. U kunt ook expliciete TLS-, TCP-, UDP- en ICMP-regels schrijven. Beleid wordt gevalideerd voordat de job start, werkt fail-closed en weigert onbekende velden. Alerts signaleren overtredingen van het beleid.

Jobs vertrekken vanuit een stabiel egress-IP-bereik, zodat u CRACI-runners op adres door uw eigen firewalls kunt toelaten.

Toegang binnen uw organisatie

• Enterprise-plannen ondersteunen SAML single sign-on, met Google Workspace als identiteitsprovider.
• Een beheerdersauditlog legt beheerdersacties vast. Het is beschikbaar in de interface en kan nog niet worden geëxporteerd.
• API-tokens worden aangemaakt door beheerders, kunnen op elk moment worden ingetrokken en verlopen na 90 dagen.

Hoe u de scope klein houdt

U hoeft CRACI niet uw hele organisatie te geven om het te evalueren.

1. Installeer op geselecteerde repositories. Kies "Only select repositories" wanneer u de App installeert, en selecteer er een of twee. U kunt de set later verruimen of verkleinen via Settings van uw organisatie, onder GitHub Apps, CRACI, Configure. De wijziging gaat direct in.
2. Verplaats één job tegelijk. Alleen jobs met runs-on: craci draaien op CRACI. Al het andere blijft op de runner die het nu gebruikt.
3. Begin met een job die weinig secrets bevat. Een test- of lintjob toont u de SBOM en het netwerkbewijs zonder publicatie- of deployment-inloggegevens op een nieuwe runner te zetten.
4. Zet een default-deny-egressbeleid aan. Sta de pakketbronnen toe die de job nodig heeft, en verder niets.
5. Weet hoe u kunt stoppen. In GitHub kunt u de App opschorten, wat de toegang blokkeert terwijl hij geïnstalleerd blijft, of hem verwijderen, wat zijn toegang tot uw organisatie weghaalt.

Onze beveiligingsaanpak

Onze beveiligingspagina legt onze aanpak uit: gedocumenteerd, niet beweerd. Het Trust Center brengt het beleid, de maatregelen en de documentatie achter het platform samen, en daar kunt u materiaal voor een leveranciersbeoordeling aanvragen.

Deze pagina doet geen uitspraken over certificeringen. Raadpleeg het Trust Center voor de actuele status van ons beveiligingsprogramma en eventuele audits.