CRACI vs Depot

Het korte antwoord

Depot is buildversnelling: GitHub Actions-runners, een remote Docker-builddienst met een persistente laagcache, een remote cache voor tools zoals Bazel en Gradle, en een eigen CI-engine. CRACI is een met GitHub Actions compatibele runner die is gebouwd rond ketenbeveiliging. Elke job levert een SBOM op van wat hij werkelijk heeft opgehaald en draait onder een egressbeleid dat u bepaalt.

Het verschil in één zin: Depot optimaliseert hoe snel uw build draait, en CRACI legt vast en bepaalt wat erin gaat. Beide vervangen de GitHub-hosted runner, dus u kiest er één.

In één oogopslag

Waar Depot goed in is

Depot heeft een breed, goed gedocumenteerd runner- en buildplatform opgebouwd. Hoogtepunten uit de eigen documentatie:

• Een breed runneraanbod. Linux-runners op AMD EPYC (Intel-labels) en AWS Graviton4 (Arm) van 2 vCPU's en 8 GB RAM tot 64 vCPU's en 256 GB, plus Windows Server 2022 en 2025, en macOS-runners op de plannen Startup en Business.
• Caching. Runners zijn gekoppeld aan de gedistribueerde cache van Depot, die volgens Depot upload- en downloadsnelheden tot 1000 MiB/s haalt. Depot beschrijft zijn runners als "up to 3x faster than a GitHub-hosted runner" met "10x faster caching".
• Docker-builds. depot build is een drop-in vervanging voor docker build die draait op een remote BuildKit-host met een persistente NVMe-laagcache die uw hele team deelt, en bouwt x86- en Arm-images native zonder QEMU-emulatie. Volgens Depot is dit tot 40x sneller dan lokaal bouwen of bij een CI-aanbieder.
• Isolatie. Elke GitHub Actions-job draait op een verse, single-tenant EC2-instance die nooit opnieuw wordt gebruikt.
• Egressfiltering. Allow- en deny-regels voor IP's, CIDR's en hostnamen, met een standaardregel die u op toestaan of weigeren zet. Dit geldt momenteel voor Linux-runners.
• Enterprise-opties. Op het Business-plan rolt Depot Managed het dataplane uit in uw eigen AWS-account, met AWS PrivateLink, statische uitgaande IP's en SSO. Depot vermeldt een SOC 2 Type II-rapport.

Is de buildtijd van Docker-images uw grootste knelpunt in CI, dan is Depot precies voor dat probleem gebouwd.

Waar CRACI anders is

CRACI behandelt de build als de bron van waarheid voor wat u levert. De runner is waar dat bewijs wordt verzameld.

Een vastlegging van wat de build heeft opgehaald

Terwijl elke job draait, legt een proxy die pakketten herkent het verkeer naar pakketbronnen vast: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk en Git-bronnen, plus downloadpresets. Het bewijs van afhankelijkheden reist mee met CI-caches, dus een pakket dat uit een cache is teruggezet, telt nog steeds mee. De SBOM van elke job, in CycloneDX of SPDX, heeft een volledigheidsstatus per job en per cache, zodat u weet wanneer de vastlegging volledig is en wanneer niet.

Depot kan ook een SBOM maken: voeg --sbom=true toe aan depot build en het genereert een SPDX-SBOM met Syft. Dat is een scan van de image die de build heeft opgeleverd. De vastlegging van CRACI dekt de hele job, inclusief buildtools en pakketten die nooit in een image terechtkomen, en jobs die helemaal geen images bouwen.

Egressbeleid gebouwd voor softwarebronnen

Met beide producten kunt u onverwacht uitgaand verkeer van een runner blokkeren. CRACI-beleid is standaard weigeren of standaard toestaan, met 24 ingebouwde presets voor softwarebronnen, getypeerde aangepaste bronnen voor npm, PyPI, apt, apk, de Go-proxy, Nix, Cargo, OCI-registries en Git via HTTPS en SSH, en expliciete TLS-, TCP-, UDP- en ICMP-regels. Beleid wordt gevalideerd vóór de start van de job, is fail-closed en stuurt een melding bij een overtreding. De regels van Depot werken op het niveau van IP's, CIDR's en hostnamen, wat eenvoudiger te overzien is als dat alles is wat u nodig hebt.

Herkomst en monitoring

• Herkomstgegevens. De API levert SBOM's, netwerktraces en herkomstgegevens. CRACI ondertekent herkomstgegevens niet. Docker-imagebuilds op Depot kunnen BuildKit-attestaties voor herkomst toevoegen, ingesteld met de vlag --provenance.
• Monitoring van wat is geleverd. Gemonitorde SBOM's worden continu opnieuw beoordeeld op nieuwe kwetsbaarheden, en bevindingen worden gebundeld over builds en repositories heen.

Prijs en formaten

Per september 2026 rekent Depot $0.006 per minuut voor zijn Linux-runner met 2 vCPU en 8 GB boven de minuten die in uw plan zitten, en grotere formaten schalen lineair: 32 vCPU's kosten $0.096 per minuut. Het Developer-plan kost $20 per maand met 2.000 GitHub Actions-minuten, en het Startup-plan $200 per maand met 20.000. Depot meet gebruik per seconde zonder minimum van één minuut per run, en biedt een gratis proefperiode van 7 dagen.

CRACI rekent $0.002 per vCPU-minuut, dus 2 vCPU's kosten $0.004 per minuut en 32 vCPU's $0.064 per minuut, met ARM64 tegen hetzelfde tarief. Er wordt per seconde gemeten, en er is geen maandbedrag. Boven de planminuten van Depot is dat ongeveer 33% minder per minuut bij elk formaat. Stem het geheugen af voordat u vergelijkt: een CRACI-rekeneenheid heeft 3 GB RAM per vCPU, terwijl de runners van Depot 4 GB per vCPU hebben. Zie prijzen van CRACI voor de actuele voorwaarden.

Wat past bij u

Depot past beter wanneer

• Docker-imagebuilds het grootste deel van uw CI-tijd innemen.
• U Windows- of macOS-runners nodig hebt. CRACI draait vandaag alleen op Linux; Windows en macOS staan op de roadmap.
• U runners in uw eigen AWS-account nodig hebt. CRACI biedt nog geen door de klant gehoste runners; die staan op de roadmap voor Enterprise.
• U vertrouwt op remote caching voor Bazel, Gradle, Turborepo of sccache.

CRACI past beter wanneer

• U moet tonen wat er in een release is gegaan, vanuit de build zelf, met een volledigheidsstatus.
• U egress van builds wilt beheersen per pakketbron, gevalideerd vóór elke job.
• U monitoring van geleverde SBOM's op één plek wilt.
• U gegevensopslag in de EU nodig hebt, beschikbaar op het Enterprise-plan van CRACI.

Voor de Cyber Resilience Act

De Cyber Resilience Act vraagt fabrikanten de componenten in hun producten te kennen, kwetsbaarheden daarin af te handelen en bewijs te bewaren. Het product van Depot is buildinfrastructuur, en de documentatie richt zich op snelheid, caching en isolatie. CRACI automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat bedrijven nodig hebben voor hun bredere CRA-nalevingsproces: SBOM's uit de build, het volgen van kwetsbaarheden, herkomstgegevens en SBOM-export als CycloneDX of SPDX.

Overstappen van Depot naar CRACI

Installeer de CRACI GitHub App in uw organisatie, met toegang tot alle repositories of een selectie, en wijzig dan het runnerlabel op een job:

runs-on: craci

Uw workflows en de GitHub-interface blijven hetzelfde. Zet één job tegelijk over, te beginnen met een job die iets bouwt wat u levert. Bekijk de SBOM en netwerktrace, en schrijf dan een egressbeleid dat de bronnen toestaat die de job nodig heeft. Lees meer over CI/CD-integratie en SBOM-generatie tijdens de build.