CRACI vs Buildkite

Het korte antwoord

Buildkite is een hybride CI/CD-platform. Het SaaS-control plane verzorgt de orkestratie, en de agents die uw jobs draaien, staan op uw eigen infrastructuur, on-premises of in de cloud. Buildkite stelt dat broncode en secrets binnen uw omgeving blijven. Het biedt ook volledig beheerde gehoste agents als u liever niet zelf agents draait.

CRACI is een beheerde, met GitHub Actions compatibele runner, gebouwd voor ketenbeveiliging. Het legt elke externe afhankelijkheid vast die een build ophaalt, dwingt een egressbeleid af op het buildnetwerk, en levert op basis van dat verslag SBOM's, herkomstgegevens en CRA-bewijs. Eenvoudig gezegd: Buildkite is traditionele CI met maximale controle over infrastructuur; CRACI is beveiligingsbewuste CI waarin de runner het bewijs is.

CRACI ondersteunt vandaag alleen GitHub Actions, dus het draait geen Buildkite-pipelines. Een team op Buildkite zou een pipeline naar GitHub Actions moeten verhuizen om CRACI-runners te gebruiken, of moeten wachten op andere CI-systemen, die op de roadmap staan.

Waar Buildkite goed in is

Controle over rekenkracht. Omdat u de agents host, kiest u de hardware, het besturingssysteem, het netwerk en de regio. Agents pollen de agent-API van Buildkite via HTTPS, dus u hoeft geen inkomende firewallpoorten te openen. Dat model past bij grote monorepo's, gespecialiseerde hardware en organisaties waarvan het beleid broncode binnen de eigen perimeter houdt.

Integriteit van pipelines. Met ondertekende pipelines worden jobs bij het uploaden ondertekend en verifiëren agents de handtekening voordat ze ze uitvoeren, zodat een agent geen job draait waarvan de instructies na het uploaden zijn gewijzigd.

Tooling rond de build. Test Engine detecteert flaky tests, zet ze in quarantaine en verdeelt tests over parallelle jobs. Package Registries kan artefacten publiceren met SLSA-herkomst, wat volgens Buildkite voldoet aan SLSA Build Level 1; die functie is beschikbaar op Enterprise-abonnementen.

Flexibele prijzen. Per september 2026 heeft Buildkite een Free-abonnement en een Pro-abonnement van $30 per actieve gebruiker per maand, met 10 self-hosted agents inbegrepen bij Pro en extra agents voor $3.50 per agent per maand. Gehoste Linux-agents kosten $0.004 per vCPU-minuut, per seconde gemeten.

Waar CRACI anders is

Beveiligingsbewijs is onderdeel van de runner

Met self-hosted agents moet u de buildomgeving zelf beveiligen. De eigen beveiligingsrichtlijnen van Buildkite raden u aan minimale besturingssystemen te installeren, inkomende SSH uit te schakelen en strikte controles op uitgaand netwerkverkeer af te dwingen. Dat is een redelijke verdeling van verantwoordelijkheid, en het betekent dat het bewijs over de softwareketen afhangt van wat uw team rond de agents bouwt.

Op CRACI wordt die laag met de runner meegeleverd. Een proxy die pakketten herkent, legt tijdens elke job het verkeer naar pakketbronnen vast, voor npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk en Git-bronnen, plus downloadpresets. Het bewijs van afhankelijkheden reist mee met CI-caches. Elke job levert een SBOM in CycloneDX of SPDX met een volledigheidsstatus per job en per cache: Complete, Complete with connections, Incomplete, Unavailable of Not recorded.

Egressbeleid zonder het zelf te bouwen

Egressbeleid van CRACI staat standaard op weigeren of standaard op toestaan, met 24 ingebouwde presets voor softwarebronnen, getypeerde eigen bronnen voor npm, PyPI, apt, apk, de Go-proxy, Nix, Cargo, OCI-registries en Git, en expliciete TLS-, TCP-, UDP- en ICMP-regels. Beleid wordt gevalideerd voordat de job start, is fail-closed en stuurt een waarschuwing bij een overtreding.

Herkomst en monitoring

De API levert SBOM's, netwerktraces en herkomstgegevens. CRACI ondertekent herkomst niet. Het bundelt kwetsbaarheden over builds en repositories heen en blijft gemonitorde SBOM's opnieuw beoordelen.

De afweging

CRACI is uitsluitend een beheerde dienst. Jobs draaien in geïsoleerde virtuele machines op de infrastructuur van CRACI, en broncode wordt gedurende de build in de job-VM verwerkt en niet opgeslagen. Op het Enterprise-abonnement biedt CRACI EU-dataresidentie met uitvoering van builds op Europese bare-metalinfrastructuur. Als uw beleid builds op uw eigen hardware vereist, past het model van Buildkite bij die eis en dat van CRACI niet.

Welke past

• Buildkite als u builds op uw eigen hardware of netwerk nodig hebt, Windows- of macOS-builds draait, GitLab of Bitbucket gebruikt, of op een schaal werkt waarop eigen rekenkracht zich terugbetaalt.
• CRACI als u op GitHub Actions zit en buildbewijs wilt zonder het zelf te bouwen en te beheren: vastgelegde afhankelijkheden, egressbeleid en CRA-bewijs vanuit één runner.
• Beide als uw organisatie verdeeld is: Buildkite voor pipelines die op uw hardware moeten blijven, CRACI voor Linux-workflows in GitHub Actions. Zware Linux-builds, zoals Yocto-images, kunnen draaien op CRACI-runners van maximaal 32 vCPU en 96 GB RAM, zoals beschreven in de Yocto-handleiding van CRACI.

Voor de Cyber Resilience Act

De EU Cyber Resilience Act vraagt fabrikanten te weten wat er in elke release zit en de kwetsbaarheden ervan af te handelen, met meldplichten vanaf september 2026 en volledige toepassing vanaf december 2027. Op Buildkite komt dat bewijs uit de tools die u op uw agents draait. CRACI levert het uit het buildverslag, blijft monitoren wat is geleverd, en exporteert SBOM's als CycloneDX of SPDX, inclusief kwetsbaarheden. Het automatiseert een aanzienlijk deel van het inzicht in en bewijs over de softwareketen dat bedrijven nodig hebben voor hun bredere CRA-complianceproces.

CRACI toevoegen

Voor een repository op GitHub met GitHub Actions-workflows installeert u de CRACI GitHub App in uw organisatie en stelt u het runnerlabel in:

runs-on: craci

Runs verschijnen nog steeds in de GitHub-interface. Lees meer over SBOM-generatie tijdens de build en hoe CRACI met beveiliging omgaat, of bekijk de prijzen.