CRACI vs GitLab CI

Het korte antwoord

GitLab is een compleet DevSecOps-platform: versiebeheer, merge requests, planning en CI/CD in één product, met een breed scala aan beveiligingsscanners en kwetsbaarheidsbeheer in de Ultimate-laag. Wilt u één leverancier voor de hele softwarelevenscyclus, dan is GitLab daarvoor gebouwd.

CRACI is smaller. Het is een met GitHub Actions compatibele runner die elke externe afhankelijkheid vastlegt die een build ophaalt, bepaalt wat de build kan bereiken en die vastlegging omzet in SBOM's, herkomstgegevens en CRA-bewijs. Het kernverschil is traditionele CI met scanners eraan gekoppeld versus CI waarin de runner zelf het beveiligingsdossier is.

Eén praktisch punt vooraf. CRACI ondersteunt vandaag alleen GitHub Actions; GitLab CI en Jenkins staan op de roadmap. Staan uw pipelines in GitLab CI, dan moet u ze naar GitHub Actions overzetten om CRACI-runners te gebruiken, of wachten op ondersteuning voor GitLab CI, die op de roadmap staat.

Waar GitLab sterk in is

Eén platform. Code, reviews, pipelines, beveiligingsbevindingen en planning staan op dezelfde plek, met één rechtenmodel. Voor veel organisaties beslist dat alleen al de kwestie.

Beveiligingsscans, per laag. Wees precies over wat elke laag bevat. Volgens GitLab draaien basis-SAST, detectie van secrets en containerscans in alle lagen, ook Free. In Free en Premium leveren die scans JSON-rapportartefacten op. Ultimate voegt de workflow eromheen toe: bevindingen in merge requests, het kwetsbaarheidsrapport, de dependency list, beveiligingsgoedkeuringen en GitLab Advanced SAST. Dependency scanning, continuous vulnerability scanning en DAST zijn functies van Ultimate. Containerscans kunnen in elke laag ook een CycloneDX-SBOM-rapport opleveren.

Herkomst. GitLab Runner kan in alle lagen een herkomstverklaring voor artefacten genereren in het SLSA 1.0-formaat. Ondertekende SLSA Level 3-attestaties bestaan ook, maar GitLab vermeldt ze als experiment op GitLab.com voor Ultimate, achter een feature flag die standaard uit staat.

Keuze in runners. Door GitLab gehoste runners dekken Linux op x86-64 (2 tot 32 vCPU's) en arm64, met Windows en macOS in bèta. U kunt ook overal uw eigen runners draaien, en GitLab stelt dat jobs op uw eigen runners geen rekenminuten verbruiken. GitLab Dedicated voegt dataresidentie toe in een regio naar keuze.

Waarin CRACI verschilt

De SBOM komt uit de build, niet uit de lockfile

De SBOM-gebaseerde dependency scanning van GitLab detecteert afhankelijkheden uit ondersteunde lockfiles of exports van de dependency graph. Dat is een degelijke aanpak wanneer de lockfile het hele verhaal vertelt. Builds doen vaak meer: ze draaien installatiescripts, downloaden toolchains, zetten caches terug en halen base images op.

CRACI ziet die activiteit omdat het de runner is. Een proxy die pakketten herkent, observeert het verkeer naar pakketbronnen terwijl de job draait, voor npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk en Git-bronnen, plus downloadpresets. Het bewijs van afhankelijkheden reist mee met CI-caches, dus een pakket dat uit een cache wordt teruggezet, telt nog steeds mee. Elke job levert een SBOM op in CycloneDX of SPDX.

Volledigheid wordt vermeld, niet aangenomen

Elke SBOM heeft een volledigheidsstatus per job en per cache: Complete, Complete with connections, Incomplete, Unavailable of Not recorded. Zit er een gat in de vastlegging, dan kunt u dat zien.

Het buildnetwerk heeft een beleid

Het egressbeleid van CRACI is standaard weigeren of standaard toestaan, met 24 ingebouwde presets voor softwarebronnen en getypeerde eigen bronnen voor npm, PyPI, apt, apk, de Go-proxy, Nix, Cargo, OCI-registries en Git. Beleid wordt gevalideerd voordat de job start, is fail-closed en stuurt een melding bij een overtreding. Op GitLab is netwerkcontrole voor builds wat u zelf rond uw eigen runners inricht.

Herkomst

De API levert SBOM's, netwerktraces en herkomstgegevens. CRACI ondertekent herkomstgegevens niet en claimt geen SLSA-niveau.

Monitoren wat is geleverd

CRACI bundelt kwetsbaarheden over builds en repositories heen en blijft gemonitorde SBOM's opnieuw beoordelen wanneer nieuwe advisories verschijnen.

Wat past bij u

• Blijf bij GitLab als uw code en pipelines op GitLab staan en u één platform wilt, of als u SAST, DAST en detectie van secrets in hetzelfde product nodig hebt.
• Kies CRACI als uw code op GitHub staat en u GitHub Actions draait, en u bewijs nodig hebt van wat er in elke release is gegaan, controle over wat builds kunnen bereiken, en SBOM's die u in een audit kunt verdedigen.
• Gebruik beide als uw organisatie beide platforms draait. GitLab blijft zijn projecten en scanners dekken; CRACI draait de GitHub Actions-kant en legt die builds vast.

Voor de Cyber Resilience Act

Onder de EU Cyber Resilience Act moeten fabrikanten weten wat er in elke productrelease zit en de kwetsbaarheden daarin afhandelen. Meldplichten voor kwetsbaarheden gelden vanaf september 2026, en de verordening is volledig van toepassing vanaf december 2027. GitLab Ultimate helpt bij het vinden en beheren van kwetsbaarheden in uw projecten. CRACI legt vast waaruit elke release is gebouwd, blijft die monitoren en exporteert SBOM's als CycloneDX of SPDX. Het automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat bedrijven nodig hebben voor hun bredere CRA-nalevingsproces. Geen van beide tools maakt u op zichzelf compliant.

CRACI toevoegen

Voor een repository op GitHub installeert u de CRACI GitHub App in uw organisatie, voor alle repositories of een selectie, en wijzigt u het runnerlabel:

runs-on: craci

Workflows, actions en de GitHub-interface blijven hetzelfde. CRACI vervangt de runner, niet GitHub Actions. Lees meer over SBOM-generatie tijdens de build en CRA-bewijs, of bekijk de prijzen.