CRACI vs Avrea

Het korte antwoord

Avrea is een dienst met gehoste runners voor GitHub Actions, net als CRACI uit Helsinki, gebouwd voor snelheid en voor inzicht in uw CI: Linux-, Windows- en macOS-runners, automatische caching van afhankelijkheden, zoeken in logs, runtimemetrics, detectie van flaky tests en SSH naar draaiende jobs. Als uw doel snellere pipelines is en begrijpen waarom ze traag zijn, gaat de observability van Avrea verder dan die van CRACI, en dekt Avrea vandaag Windows en macOS af.

CRACI is CI die ketenbeveiliging native afhandelt. Avrea heeft ook beveiligingsfuncties toegevoegd: een egress-firewall op het Enterprise-abonnement en, als preview, een SBOM per repository. Het verschil zit in waar het bewijs vandaan komt. CRACI legt elke externe afhankelijkheid vast die de build daadwerkelijk heeft opgehaald, dwingt een egressbeleid af dat fail-closed is, en blijft wat is geleverd monitoren op nieuwe kwetsbaarheden. Beide producten vervangen de runner waarop uw jobs draaien, dus u kiest er een.

In één oogopslag

Waar Avrea goed in is

CI-observability. Avrea verzamelt zonder agent CPU-, geheugen- en netwerkmetrics voor elke job, doorzoekt logs over alle jobs en repositories, onderscheidt flaky tests van echte fouten, en toont cachehitrates, trage workflows en uitgaven in de loop van de tijd. SSH naar een draaiende job werkt vanuit de terminal of de webconsole, met een respijtperiode nadat de job is afgelopen. Dat alles zit in elk abonnement.

Snelheid en caching. De runners van Avrea draaien op dedicated hardware met hoge kloksnelheden en lokale NVMe-opslag, en afhankelijkheden worden na de eerste build automatisch gecachet, dicht bij de runners. Avrea zegt dat zijn runners drie keer sneller zijn, en nog sneller met een warme cache. Dit zijn de cijfers van Avrea; uw eigen pipeline is de echte test.

Platformdekking. Avrea biedt Ubuntu op x86-64 van 1 tot 32 vCPU, Linux ARM64 en macOS 26 op Apple M5 Max-hardware, en Windows 2025. CRACI is vandaag alleen Linux, met Windows en macOS op de roadmap. Avrea zegt vandaag GitHub Actions te ondersteunen en andere platforms zoals GitLab te willen toevoegen; bij CRACI staan GitLab CI en Jenkins op de roadmap.

Beveiliging van de dienst, en een egress-firewall. Jobs draaien in kortstondige VM's, caches zijn per repository geïsoleerd en versleuteld, en Avrea is ISO 27001:2022-gecertificeerd en heeft een SOC 2 Type 2-attestatie. De egress-firewall, vermeld bij het Enterprise-abonnement, staat bestemmingen toe of weigert ze op basis van domein, CIDR, protocol en poort, wordt afgedwongen op zowel IP als DNS, en geeft elke run een overzicht van waarmee hij verbinding maakte en wat werd geblokkeerd.

Prijs en formaten

Op x86-64 is de catalogusprijs gelijk, $0.004 per minuut met 2 vCPU en $0.064 bij 32 vCPU, en de runners van Avrea hebben meer geheugen: 4 GB per vCPU tegenover 3 GB bij CRACI. Op ARM64 is het beeld omgekeerd. De ARM64-runners van Avrea draaien op Apple M5 Max-hardware voor $0.012 per minuut met 2 vCPU, drie keer het ARM64-tarief van CRACI: CRACI rekent dezelfde $0.004 als op x86-64. CRACI meet per seconde, afgerond op de dichtstbijzijnde seconde, terwijl Avrea per minuut meet, dus korte jobs worden op CRACI gefactureerd voor de seconden dat ze draaien. Zie de prijzen van CRACI voor de actuele voorwaarden.

Waar CRACI anders is

Een SBOM van wat de build heeft opgehaald, niet van wat de repository declareert

De SBOM van Avrea leest de afhankelijkheidsmanifesten en lockfiles op de standaardbranch, zonder de code uit te voeren, en vermeldt productieafhankelijkheden. Dat is een nuttige inventaris van wat de repository declareert. Die van CRACI komt uit de build zelf: terwijl elke job draait, legt een proxy die pakketten herkent het verkeer naar pakketbronnen vast, npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk en Git-bronnen, plus downloadpresets. Hij bevat pakketten die uit caches worden teruggezet en de verborgen afhankelijkheden die in geen enkele lockfile staan, zoals code die door install hooks of buildscripts wordt gedownload, en lagen van base images. Elke job levert een SBOM in CycloneDX of SPDX met een volledigheidsstatus.

Dat is belangrijk omdat builds standaard niet reproduceerbaar zijn: dezelfde commit die twee keer wordt gebouwd, kan verschillende pakketten binnenhalen. Alleen een SBOM uit de build die de release heeft gemaakt, laat zien wat erin zit.

Egressbeleid, eerlijk vergeleken

Beide producten kunnen een build aan een allowlist houden en al het andere weigeren. Avrea loopt voor in zichtbaarheid: het overzicht per run noemt de belangrijkste bestemmingen, de verzonden bytes en de DNS-lookups die het weigerde. Het beleid van CRACI typeert zijn bronnen per pakketecosysteem en protocol, met 24 ingebouwde presets voor softwarebronnen en eigen bronnen voor npm, PyPI, apt, apk, de Go-proxy, Nix, Cargo, OCI-registries en Git via HTTPS en SSH, wordt gevalideerd voordat de job start, is fail-closed en stuurt een waarschuwing bij een overtreding. En dezelfde job die onder het beleid draait, levert ook het verslag van de pakketten die hij heeft opgehaald.

Herkomst en monitoring

De API levert SBOM's, netwerktraces en herkomstgegevens. CRACI bundelt kwetsbaarheden over builds en repositories heen, blijft gemonitorde SBOM's opnieuw beoordelen en toont welke eerdere builds een kwetsbare afhankelijkheid bevatten.

Boek een demo om de SBOM, netwerktrace en herkomst van een van uw eigen workflows te zien.

Welke past

Avrea past beter wanneer

• Snellere pipelines en inzicht in trage jobs, flaky tests en cachegedrag de belangrijkste doelen zijn.
• U vandaag macOS- of Windows-runners nodig hebt.
• U 3.000 gratis minuten per maand wilt; op x86-64 hanteren beide dezelfde prijs per minuut.
• U SOC 2 nodig hebt van uw runnerleverancier.

CRACI past beter wanneer

• U software levert waarvoor u moet aantonen wat er in elke release is gegaan, vanuit de build zelf.
• U een egressbeleid wilt dat per pakketbron is getypeerd, vóór de job wordt gevalideerd en fail-closed is.
• U monitoring nodig hebt van wat is geleverd op nieuwe kwetsbaarheden.
• Uw builds op ARM64 draaien, waar het tarief van CRACI een derde is van dat van Avrea.

Wat u met CRACI opgeeft. De CI-analytics en debugtools van Avrea, Windows- en macOS-runners, die op de roadmap van CRACI staan, en 3.000 gratis minuten per maand. Wat u wint, is een buildverslag dat security en compliance kunnen gebruiken zonder nog een scanner in de pipeline.

Voor de Cyber Resilience Act

De EU Cyber Resilience Act verwacht dat fabrikanten weten wat er in elke release zit en de kwetsbaarheden ervan afhandelen, met meldplichten vanaf september 2026 en volledige toepassing vanaf december 2027. Een inventaris van afhankelijkheden uit de repository is een begin. CRACI maakt de SBOM uit de build die de release heeft gemaakt, monitort die op nieuwe kwetsbaarheden en exporteert hem als CycloneDX of SPDX, inclusief kwetsbaarheden. Het automatiseert een aanzienlijk deel van het inzicht in en bewijs over de softwareketen dat bedrijven nodig hebben voor hun bredere CRA-complianceproces.

Overstappen van Avrea

CRACI vervangt de runner, niet GitHub Actions. Workflows en de GitHub-interface blijven hetzelfde, en het joblabel wordt runs-on: craci. Jobs krijgen Docker Engine, Buildx en Compose v2, een GitHub-compatibel Ubuntu 24.04-image en geneste virtualisatie op x86-64. Lees meer over CI/CD-integratie en SBOM-generatie tijdens de build. Startups kunnen zich aanmelden voor het startupprogramma.

Avrea vs CRACI: veelgestelde vragen

Prijzen, snelheid, SBOM's en egress-controle, beantwoord op basis van de gepubliceerde informatie van elke leverancier

Wat is Avrea?

Avrea is een dienst met gehoste runners voor GitHub Actions, gebouwd in Helsinki door Hannu Valtonen, medeoprichter van Aiven, en Juha Valvanne, medeoprichter van Nosto. U wijzigt het runnerlabel en uw jobs draaien op kortstondige VM's van Avrea met automatische caching, zoeken in logs, runtimemetrics en debuggen via SSH. Avrea werd in mei 2026 gelanceerd met $4,7 miljoen aan pre-seedfinanciering onder leiding van Earlybird.

Wat kost Avrea?

Per september 2026 rekent Avrea per runnerminuut zonder maandelijkse kosten: $0.004 per minuut voor een x86-64-runner met 2 vCPU, $0.012 voor ARM64 met 2 vCPU op Apple M5 Max, $0.008 voor Windows met 2 vCPU en $0.08 voor macOS met 8 vCPU. Elke organisatie krijgt 3.000 gratis minuten met 2 vCPU per maand. Statische IP's kosten $100 per IP per maand, en de egress-firewall staat vermeld bij het Enterprise-abonnement.

Is Avrea goedkoper dan CRACI?

Dat hangt af van de architectuur. Op x86-64 met 2 vCPU hanteren beide $0.004 per minuut, en de runner van Avrea heeft meer geheugen. Op ARM64 met 2 vCPU is CRACI goedkoper: dezelfde $0.004 tegenover $0.012 bij Avrea, een derde van de prijs. CRACI meet per seconde en Avrea per minuut, dus korte jobs kosten op CRACI relatief minder. Avrea biedt ook 3.000 gratis minuten per maand; CRACI heeft geen gratis tier, maar heeft wel een startupprogramma.

Is Avrea sneller dan CRACI?

Avrea zegt dat zijn runners drie keer sneller zijn, en nog sneller met de cache. CRACI draait builds ongeveer twee keer zo snel als door GitHub gehoste runners, dankzij snellere hardware, kortere wachtrijen en caching. We hebben de twee niet tegen elkaar gebenchmarkt, dus draai dezelfde workflow op beide en vergelijk.

Avrea heeft nu SBOM's. Wat is er anders aan die van CRACI?

Avrea genereert een SBOM per repository door de afhankelijkheidsmanifesten en lockfiles op de standaardbranch statisch te analyseren, met alleen productieafhankelijkheden, in CycloneDX en SPDX. Die beschrijft wat de repository declareert. CRACI legt vast wat de build tijdens de uitvoering daadwerkelijk heeft opgehaald, inclusief pakketten die uit caches worden teruggezet en verborgen afhankelijkheden die in geen enkele lockfile staan, zoals code die door install hooks of buildscripts wordt gedownload en lagen van base images. Elke SBOM van CRACI heeft een volledigheidsstatus, en gemonitorde SBOM's worden opnieuw beoordeeld zodra er nieuwe kwetsbaarheden verschijnen.

Beide hebben een egress-firewall. Wat is het verschil?

Beide laten een build alleen de bestemmingen bereiken die u toestaat, en beide kunnen standaard weigeren. De regels van Avrea matchen domeinen, CIDR's, protocollen en poorten, worden afgedwongen op zowel IP als DNS, en worden geleverd met een overzicht per run van waarmee elke build verbinding maakte; de firewall staat vermeld bij het Enterprise-abonnement. Het beleid van CRACI typeert zijn bronnen per pakketecosysteem, met 24 ingebouwde presets voor softwarebronnen, wordt gevalideerd voordat de job start en is fail-closed. CRACI legt ook vast welke pakketten en versies via die verbindingen binnenkwamen.

Ondersteunt CRACI Windows- of macOS-runners?

Nog niet. CRACI draait vandaag Linux op x86-64 en ARM64, met Windows en macOS op de roadmap. Avrea biedt Windows 2025 en macOS 26 op Apple M5 Max.

Moet ik mijn GitHub Actions-workflows herschrijven om over te stappen?

Nee. Beide producten vervangen de runner, niet GitHub Actions. Workflows, triggers en de GitHub-interface blijven hetzelfde; op CRACI wordt het joblabel runs-on: craci.