CI/CD-tools en -platforms vergeleken

Voor wie dit is

U kiest een CI/CD-platform, of u evalueert het platform dat u hebt, en er staat een nieuwe vraag op de lijst. Een klant, een auditor of de EU Cyber Resilience Act vraagt wat er in elke release is gegaan. Elk platform hier kan uw builds draaien. Het verschil zit in waar dat bewijs vandaan komt en hoeveel ervan u zelf moet samenstellen.

Daarom staat CRACI op deze pagina, en het is geen CI-platform. Het is een runner voor GitHub Actions: u behoudt GitHub Actions en wijzigt runs-on in craci. CRACI ondersteunt vandaag alleen GitHub Actions, met GitLab CI en Jenkins op de roadmap. Pipelines van GitLab CI, CircleCI en Buildkite draaien er niet op. Wij bouwen CRACI, dus houd daar rekening mee; de andere producten worden beschreven op basis van hun eigen documentatie.

Waar zou de SBOM vandaan moeten komen?

Een platform kan hem op drie plekken vandaan halen.

1. De repository. Het platform leest manifests en lockfiles. De dependency graph van GitHub en de op SBOM's gebaseerde dependency scanning van GitLab werken zo. Het staat altijd aan en is goedkoop, en het beschrijft wat het project declareert. Het ziet geen installatiescripts, gedownloade toolchains of pakketten die uit een cache worden teruggezet, en de export van GitHub weerspiegelt de standaardbranch in plaats van een vastgezette commit.
2. Een tool die u aan de pipeline toevoegt. U draait een SBOM-generator als stap, via een CircleCI-orb of op uw Buildkite-agents. Dat is flexibel, en het resultaat hangt af van de tool en de configuratie: elke generator leest andere bestanden en lost ze anders op, dus twee generatoren op dezelfde schone checkout leveren niet dezelfde componentenlijst op. CRACI is op die manier niet te vergelijken, omdat het builds vastlegt in plaats van een map te scannen.
3. De runner die de build heeft geobserveerd. De SBOM wordt vastgelegd uit het verkeer dat de job tijdens het draaien maakte. Dat doet CRACI.

Voor herkomst geldt dezelfde verdeling. De artifact attestations van GitHub, een stap die u aan een workflow toevoegt, bieden SLSA v1.0 Build Level 2, of Level 3 met reusable workflows. GitLab Runner kan in alle tiers een SLSA 1.0-herkomststatement genereren. Buildkite Package Registries kan SLSA-herkomst publiceren die volgens Buildkite aan Build Level 1 voldoet, in Enterprise-abonnementen. De API van CRACI levert herkomstgegevens van de runner die de job heeft geobserveerd, niet ondertekend en zonder SLSA-niveau.

In één oogopslag

De kolom GitHub Actions omvat de functies van het GitHub-platform die teams erbij gebruiken: de dependency graph, Dependabot, artifact attestations en GitHub Advanced Security. Prijzen zijn de stand van september 2026.

De platforms

CRACI, een beveiligde runner voor GitHub Actions

CRACI vervangt de runner, niet GitHub Actions. Installeer de CRACI GitHub App en wijzig runs-on; runs verschijnen nog steeds in de GitHub-interface. Terwijl elke job draait, legt een proxy die pakketten herkent vast wat de job ophaalde, inclusief pakketten die uit CI-caches worden teruggezet, en maakt er een CycloneDX- of SPDX-SBOM van met een volledigheidsstatus per job en per cache. Egressbeleid wordt gevalideerd voordat de job start en is fail-closed. Het meest geschikt voor GitHub Actions-teams die software leveren en bewijs van elke release nodig hebben. Let op: vandaag alleen GitHub Actions en Linux (GitLab CI, Jenkins, Windows en macOS staan op de roadmap), en geen SAST of secret scanning.

SBOM-generatie tijdens de build

GitHub Actions

CI/CD ingebouwd in GitHub, met gehoste Linux-, Windows- en macOS-runners en self-hosted runners voor uw eigen machines. Abonnementen bevatten 2.000 tot 50.000 minuten per maand, en een standaard Linux-runner met 2 cores kost $0.006 per minuut (stand september 2026). Daaromheen zitten de dependency graph, Dependabot-meldingen en -beveiligingsupdates, artifact attestations en de betaalde producten GitHub Secret Protection en GitHub Code Security. Het meest geschikt voor code die al op GitHub staat. Let op: een SBOM die de repository beschrijft, niet de build, tenzij u zelf een generator toevoegt.

CRACI vs GitHub-hosted runners en CRACI en GitHub Advanced Security

GitLab CI

Onderdeel van een volledig DevSecOps-platform: versiebeheer, merge requests, planning en CI/CD in één product. Basis-SAST, secret detection en containerscans draaien in alle tiers; Ultimate voegt dependency scanning, continue kwetsbaarheidsscans, DAST en het kwetsbaarheidsrapport toe. Gehoste runners dekken Linux op x86-64 en arm64, met Windows en macOS in bèta. Per september 2026 bevat Free 400 rekenminuten en kost Premium $29 per gebruiker per maand, jaarlijks gefactureerd. Het meest geschikt voor één leverancier voor de hele levenscyclus. Let op: detectie van afhankelijkheden uit lockfiles, en ondertekende SLSA Level 3-attestaties die GitLab als experiment vermeldt.

CRACI vs GitLab CI

CircleCI

Een volwassen, flexibel gehost CI/CD-platform dat aansluit op GitHub, GitLab en Bitbucket. Het draait jobs op Docker-, Linux-, Arm-, Windows-, macOS- en GPU-resourceklassen, met self-hosted runners voor uw eigen machines. Docker layer caching zit in alle abonnementen, en test splitting verdeelt testsuites over parallelle executors op basis van timinggegevens. De richtlijnen voor de softwareketen draaien om het beschermen van credentials met contexts en OIDC. Per september 2026 bevat het Free-abonnement 30.000 credits per maand. Het meest geschikt voor gemengde platforms en grote testsuites. Let op: SBOM's en scans die afkomstig zijn van de orbs en tools die u inplugt.

CRACI vs CircleCI

Buildkite

Een hybride platform: het SaaS-control plane van Buildkite orkestreert, en de agents die jobs draaien staan op uw eigen infrastructuur, zodat broncode en secrets in uw omgeving blijven. Er zijn ook gehoste agents, voor $0.004 per vCPU-minuut op Linux (stand september 2026). Met signed pipelines kunnen agents jobs weigeren die na het uploaden zijn gewijzigd, en Test Engine regelt flaky tests en test splitting. Het meest geschikt voor builds die op uw eigen hardware of netwerk moeten draaien. Let op: buildbeveiliging die u zelf moet ontwerpen: de eigen richtlijnen van Buildkite zeggen dat u strikte controles op netwerkegress op uw agents moet afdwingen.

CRACI vs Buildkite

Hoe CRACI past

CRACI is een aanvulling op GitHub Actions, geen vervanging van een CI-platform. Op GitHub is een gangbare opzet GitHub Advanced Security en Dependabot op elke pull request, en CRACI als de runner die elke build vastlegt en het egressbeleid afdwingt. Gemonitorde SBOM's worden opnieuw beoordeeld zodra er nieuwe kwetsbaarheden verschijnen, en ze worden geëxporteerd als CycloneDX of SPDX, inclusief kwetsbaarheden. CRACI automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat bedrijven nodig hebben voor hun bredere nalevingsproces voor de Cyber Resilience Act.

Draaien uw pipelines op GitLab CI, CircleCI of Buildkite, dan betekent CRACI gebruiken dat u die pipelines naar GitHub Actions overzet. GitLab CI en Jenkins staan op de roadmap. CRACI is niet de juiste keuze als:

• U één platform wilt voor code, planning, CI en scans. Daarvoor is GitLab gebouwd.
• Builds op uw eigen hardware of netwerk moeten draaien. Buildkite en self-hosted runners passen daarbij; CRACI is vandaag een beheerde dienst, met door de klant gehoste runners op de roadmap voor Enterprise.
• U Windows-, macOS- of GPU-builds nodig hebt. CRACI is vandaag alleen Linux; Windows en macOS staan op de roadmap.
• U vandaag een gedocumenteerd SLSA-niveau nodig hebt. De artifact attestations van GitHub bieden er een.

Bekijk de prijzen van CRACI en CI/CD-integratie.

CRACI vergeleken met elke tool

• CRACI vs GitHub-hosted runners Dezelfde workflows, snellere builds, lagere kosten.
• CRACI vs GitLab CI Scanners van een DevSecOps-platform tegenover een runner die vastlegt.
• CRACI vs CircleCI Gehoste CI tegenover bewijs uit de build.
• CRACI vs Buildkite Zelfgehoste agents tegenover runners die builds vastleggen.
• CRACI vs Blacksmith Snelle runners tegenover CI met ingebouwde ketenbeveiliging.
• CRACI vs Depot Buildversnelling tegenover bewijs uit de build.
• CRACI vs Namespace Snelle CI-infrastructuur tegenover runners die builds vastleggen.
• CRACI vs WarpBuild Snelle runners en BYOC tegenover runners met bewijs.
• CRACI vs RunsOn Runners in uw AWS-account tegenover runners die builds vastleggen.
• CRACI vs Ubicloud Goedkope runners tegenover CI met ingebouwde ketenbeveiliging.
• CRACI vs Avrea CI-observability tegenover bewijs uit de build.
• CRACI vs Harness SBOM-scans in de pipeline tegenover een runner die de build vastlegt.
• CRACI vs Northflank Een build- en deployplatform tegenover een runner die builds vastlegt.
• CRACI vs Jenkins Een CI-server die u zelf beheert tegenover beheerde runners die builds vastleggen.
• CRACI vs Azure Pipelines Parallelle jobs tegenover runners per minuut met bewijs uit de build.

Naast elkaar

Meerdere tools op één pagina, voor als u een categorie kiest en niet één product.

• GitHub Actions-runners vergeleken GitHub-hosted, CRACI, Blacksmith, Depot, Namespace en WarpBuild naast elkaar.