CRACI vs CircleCI

Het korte antwoord

CircleCI is een volwassen, flexibel CI/CD-platform. Het sluit aan op GitHub, GitLab en Bitbucket, draait jobs op een breed scala aan machines, van Docker-containers tot macOS en GPU's, en laat u herbruikbare configuratie verpakken als orbs. Voor beveiliging beschermt CircleCI credentials en laat het scannen over aan orbs en tools van derden.

CRACI kiest de andere aanpak: de runner is het beveiligingsdossier. Het draait GitHub Actions-jobs, observeert elke externe afhankelijkheid die elke build ophaalt, dwingt een egressbeleid af op het buildnetwerk en maakt SBOM's, herkomstgegevens en CRA-bewijs op basis van wat het zag. Dat is het verschil tussen traditionele CI en beveiligingsbewuste CI.

CRACI ondersteunt vandaag alleen GitHub Actions, met GitLab CI en Jenkins op de roadmap. CircleCI wordt nog niet ondersteund. Teams op CircleCI zouden een pipeline naar GitHub Actions moeten overzetten om CRACI-runners te gebruiken, of wachten op andere CI-systemen, die op de roadmap staan.

Waar CircleCI sterk in is

Breed aanbod aan rekenkracht. CircleCI biedt Docker-, Linux VM-, Arm-, Windows-, macOS- en GPU-resourceklassen, zodat één platform een backend, een Windows-client en een iOS-app kan bouwen. Self-hosted runners breiden dat uit naar uw eigen Linux-, Windows- en macOS-machines en naar Kubernetes, en jobtijd op runners verbruikt geen credits.

Snelheidsfuncties. Docker layer caching is beschikbaar in alle abonnementen. Test splitting verdeelt een suite over parallelle executors op naam, bestandsgrootte of historische timinggegevens, wat de doorlooptijd van grote testsuites verkort.

Herbruikbare configuratie. Orbs verpakken jobs, commands en executors zodat teams ze in meerdere projecten kunnen hergebruiken, en ze maken het eenvoudig om tools van derden in te pluggen, ook beveiligingsscanners.

Zorgvuldig omgaan met credentials. De richtlijnen van CircleCI voor de softwareketen draaien om het beschermen van secrets: verdeel ze over contexts, zet deploy- en ondertekeningssleutels in beperkte contexts die worden beheerd door uw VCS-groepen, en gebruik OIDC-tokens zodat jobs cloudservices bereiken zonder langlevende credentials die in CircleCI zijn opgeslagen.

Waarin CRACI verschilt

De build is de bron van waarheid

Op een traditioneel CI-platform wordt een SBOM gemaakt door een tool die u aan de pipeline toevoegt, en die leest meestal manifests en lockfiles. CRACI observeert in plaats daarvan de build. Een proxy die pakketten herkent, legt het verkeer naar pakketbronnen vast terwijl de job draait, in npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk en Git-bronnen, plus downloadpresets. Het bewijs van afhankelijkheden reist mee met CI-caches, dus een pakket dat uit een cache wordt teruggezet, telt nog steeds mee.

U weet hoe volledig de SBOM is

Elke job levert een CycloneDX- of SPDX-SBOM op met een volledigheidsstatus per job en per cache: Complete, Complete with connections, Incomplete, Unavailable of Not recorded.

Het buildnetwerk heeft een beleid

De functie IP ranges van CircleCI leidt jobs via bekende CircleCI-adressen, zodat uw eigen systemen ze op een allowlist kunnen zetten. Dat lost inkomende toegang op. CRACI voegt controle in de andere richting toe: egressbeleid voor elke job, standaard weigeren of standaard toestaan, met 24 ingebouwde presets voor softwarebronnen, getypeerde eigen bronnen en expliciete TLS-, TCP-, UDP- en ICMP-regels. Beleid wordt gevalideerd voordat de job start en is fail-closed. CRACI biedt ook een stabiel IP-bereik voor egress.

Herkomst en monitoring uit dezelfde vastlegging

De API levert SBOM's, netwerktraces en herkomstgegevens. CRACI bundelt kwetsbaarheden over builds en repositories heen en blijft gemonitorde SBOM's opnieuw beoordelen.

Wat past bij u

• Blijf bij CircleCI als uw code op GitLab of Bitbucket staat, als u afhankelijk bent van Windows-, macOS- of GPU-builds, of als u jobs op uw eigen hardware draait.
• Overweeg CRACI als uw code op GitHub staat en u GitHub Actions afweegt tegen CircleCI, en u software levert waarvoor u moet aantonen wat er in elke release is gegaan.
• Gebruik beide tijdens een geleidelijke overstap: houd macOS- en Windows-pipelines op CircleCI, en draai Linux-workflows van GitHub Actions op CRACI waar bewijs uit de build het zwaarst weegt.

Voor de Cyber Resilience Act

De EU Cyber Resilience Act verwacht dat fabrikanten weten wat er in elke release zit en de kwetsbaarheden ervan afhandelen, met meldplichten vanaf september 2026 en volledige toepassing vanaf december 2027. Op CircleCI komt dat bewijs van de scanners en orbs die u in uw pipelines inbouwt. CRACI maakt het op basis van de vastlegging van de build en exporteert SBOM's als CycloneDX of SPDX, inclusief kwetsbaarheden. Het automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat bedrijven nodig hebben voor hun bredere CRA-nalevingsproces.

Een pipeline naar CRACI overzetten

CRACI draait GitHub Actions-workflows, dus een CircleCI-pipeline heeft eerst een equivalent in GitHub Actions nodig. Zodra dat er is, installeert u de CRACI GitHub App in uw organisatie en stelt u het runnerlabel in:

runs-on: craci

Runs verschijnen nog steeds in de GitHub-interface. Jobs krijgen Docker Engine, Buildx en Compose v2, runnerformaten van 1 tot 32 vCPU met elk 3 GB RAM, en ondersteuning voor de GitHub Actions-cache. Lees meer over SBOM-generatie tijdens de build, of bekijk de prijzen en het startupprogramma.