CRACI vs Jenkins

Het korte antwoord

Jenkins noemt zichzelf "the leading open source automation server", en niet zonder reden: het draait overal waar u het installeert, verdeelt werk over zoveel machines als u het geeft, en meer dan 2.300 community-plug-ins koppelen het aan bijna elke tool. Moeten builds volledig binnen uw eigen netwerk blijven, of zijn uw pipelines afhankelijk van plug-ins zonder equivalent elders, dan is Jenkins moeilijk te vervangen.

CRACI is een ander soort product. Het is een beheerde runner voor GitHub Actions: er is geen controller om te upgraden en geen agent om te patchen. Terwijl elke job draait, legt CRACI elke externe afhankelijkheid vast die de build binnenhaalt, dwingt het een egressbeleid af op het buildnetwerk en maakt het op basis van die vastlegging SBOM's, herkomstgegevens en monitoring van kwetsbaarheden. Jenkins kan daar delen van doen via plug-ins die u kiest, configureert en actueel houdt; CRACI maakt de runner zelf het beveiligingsdossier.

Eén praktisch punt vooraf. CRACI ondersteunt vandaag GitHub Actions, met Jenkins en GitLab CI op de roadmap, zonder datum. Om nu op CRACI te draaien, moet een Jenkins-pipeline eerst een GitHub Actions-workflow worden.

In één oogopslag

Waar Jenkins sterk in is

Draait waar u het nodig hebt. Jenkins draait op uw eigen servers, in uw eigen netwerk, zonder SaaS-controlplane. Agents kunnen Linux, Windows, macOS of elke andere machine zijn die u kunt koppelen, zodat één controller een backend, een desktopclient en firmware kan bouwen.

Plug-ins voor bijna alles. Het ecosysteem van plug-ins is de grootste kracht van Jenkins. Versiebeheer, buildtools, testrapporten, deploymentdoelen en beveiligingsscanners hebben allemaal plug-ins, en teams met ongebruikelijke toolchains merken vaak dat Jenkins de enige CI is die ze al ondersteunt.

Geen licentiekosten. Jenkins is gratis en open source. Uw kosten zijn de machines waarop het draait en de tijd die uw team eraan besteedt.

Waarin CRACI verschilt

Niets om te beheren

Een Jenkins-installatie is een systeem waarvoor uw team verantwoordelijk is: de controller, de agents, de plug-ins en de upgrades. Het Jenkins-project publiceert vaak security-advisories voor de kern en plug-ins, meerdere per maand in 2026 (bijvoorbeeld op 2 en 16 september en 5 augustus), en elk daarvan toepassen is uw werk. CRACI draait jobs op beheerde runners, in geïsoleerde virtuele machines met één VM per job, dus er is geen buildserver die u hoeft te patchen.

De SBOM komt uit de build

Op Jenkins komt een SBOM van een plug-in of scannerstap die u toevoegt, en die leest meestal achteraf manifests en lockfiles. Builds doen vaak meer dan die bestanden zeggen: installatiescripts downloaden code, buildscripts halen tijdens de build dingen op, en caches zetten pakketten terug die in geen enkele lockfile staan. CRACI ziet dat verkeer omdat het de runner is. Een proxy die pakketten herkent, legt vast wat elke job ophaalt uit pakketbronnen, voor npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk en Git-bronnen, en het bewijs van afhankelijkheden reist mee met CI-caches. Elke CycloneDX- of SPDX-SBOM vermeldt hoe volledig hij is, per job en per cache.

Een beleid op het buildnetwerk

Op Jenkins betekent controle over wat een build mag bereiken: firewallregels of proxy's rond uw agents, die u zelf ontwerpt en onderhoudt. Op CRACI bepaalt een egressbeleid op elke job welke hosts die mag bereiken: standaard weigeren of standaard toestaan, met 24 ingebouwde presets voor softwarebronnen en getypeerde eigen bronnen, gevalideerd voordat de job start. Beleid is fail-closed, en overtredingen sturen een melding.

Monitoren wat is geleverd

De API levert SBOM's, netwerktraces en herkomstgegevens. CRACI bundelt kwetsbaarheden over builds en repositories heen, blijft gemonitorde SBOM's opnieuw beoordelen wanneer advisories verschijnen, en toont welke eerdere builds een kwetsbare afhankelijkheid bevatten, zodat u weet in welke periode u was getroffen.

Prijs per buildminuut

Jenkins heeft geen licentiekosten, maar is niet gratis om te draaien: u betaalt voor de controller en agents, of ze nu stilstaan of werken, en voor de mensen die ze actueel houden. CRACI rekent alleen buildminuten: $0.002 per vCPU-minuut ($0.004 voor een standaardrunner met 2 vCPU), per seconde gemeten, zonder maandbedrag en zonder kosten per SBOM.

Wat past bij u

• Blijf bij Jenkins als builds volledig op uw eigen infrastructuur moeten draaien, als u afhankelijk bent van plug-ins zonder equivalent in GitHub Actions, als u Windows- of macOS-builds nodig hebt, of als u de mensen hebt om het te draaien en het werkt.
• Kies CRACI als uw code op GitHub staat, u pipelines naar GitHub Actions overzet of daar klaar voor bent, en u wilt stoppen met het draaien van buildservers en tegelijk een vastlegging wilt van wat er in elke release is gegaan.
• Gebruik beide tijdens een geleidelijke overstap: zet nieuwe projecten en Linux-pipelines over naar GitHub Actions op CRACI, en laat stabiele Jenkins-jobs staan waar ze staan.

Wees u bewust van wat u vandaag opgeeft als u CRACI kiest. Het draait alleen Linux-jobs, met Windows en macOS op de roadmap; door de klant gehoste runners staan op de roadmap voor Enterprise; en Jenkins-pipelines moeten GitHub Actions-workflows worden totdat ondersteuning voor Jenkins er is.

Voor gereguleerde producten

Kaders zoals de EU Cyber Resilience Act verwachten dat fabrikanten weten wat er in elke release zit en de kwetsbaarheden ervan afhandelen, met meldplichten vanaf september 2026. Op Jenkins komt dat bewijs van de plug-ins en scanners die u in elke pipeline inbouwt. CRACI maakt het op basis van de vastlegging van de build en exporteert SBOM's als CycloneDX of SPDX. Het automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat een bedrijf nodig heeft voor zijn bredere CRA-proces; geen van beide tools maakt een product op zichzelf compliant.

Een pipeline naar CRACI overzetten

De eigen GitHub Actions Importer van GitHub zet Jenkins-pipelines om in GitHub Actions-workflows. GitHub mikt erop dat 80% van elke workflow automatisch wordt omgezet en zegt dat elke omgezette workflow moet worden nagekeken voordat die in productie draait, dus reken op wat handwerk. Zodra een pipeline als GitHub Actions-workflow draait, draait hij met één regel op CRACI:

runs-on: craci

Runs verschijnen nog steeds in de GitHub-interface. Lees meer over SBOM-generatie tijdens de build, bekijk alternatieven voor Jenkins, vergelijk CI/CD-platforms of bekijk de prijzen.