CRACI vs Namespace

Het korte antwoord

Namespace is ontwikkelaarsinfrastructuur: beheerde GitHub Actions-runners, remote Docker-builders, cache volumes, Bazel remote execution en cloud-ontwikkelomgevingen, alles op hardware die Namespace zelf beheert. CRACI is een met GitHub Actions compatibele runner die is gebouwd rond ketenbeveiliging. Elke job levert een SBOM op van wat die daadwerkelijk ophaalde en draait onder een egressbeleid.

Beide producten kunnen beperken wat een build op het netwerk bereikt, en het egressbeleid van Namespace is goed ontworpen. Het verschil zit in wat er verder op de runner gebeurt: Namespace richt zich op snelheid, platforms en caching, en CRACI legt de build vast en neemt die vastlegging mee naar monitoring van kwetsbaarheden en CRA-bewijs. Beide vervangen de door GitHub gehoste runner, dus u kiest er één.

In één oogopslag

Waar Namespace sterk in is

• Platforms. Linux op AMD64 (AMD EPYC) en ARM64 (AmpereOne, en Apple Silicon in early access), Windows op AMD EPYC, en macOS op Apple M5 Max of M4 Pro. Windows-runners zitten in het Team-plan en hoger.
• Runnerprofielen. U maakt in het dashboard een profiel met een besturingssysteem en een machinetype, en verwijst daarnaar in runs-on. Machinetypes gaan tot 64 vCPU's op Linux, en Namespace zegt dat support tot 512 GB RAM kan vrijgeven.
• Caching. Cache volumes bewaren gegevens op lokale opslag tussen runs, zodat jobs niet elke keer een cachearchief uploaden en downloaden. Namespace biedt ook Docker-buildcaching, Bazel remote cache en execution, en caches voor Turborepo en Gradle.
• Egressbeleid. Beleid draait in BLOCK-modus, die alles weigert wat niet is toegestaan, of in ADVISORY-modus, die dezelfde beslissingen vastlegt zonder te blokkeren, zodat u een allowlist kunt opbouwen uit echt verkeer. Regels matchen op domeinen, een beheerde github-actions-regelset houdt runners draaiende, en met deep packet inspection kan een beleid secrets in request-headers injecteren of verkeer via een proxy leiden. Een dashboard groepeert toegestane en geweigerde requests per domein, en elke instance heeft een eigen egressweergave.
• Vertrouwen. Namespace heeft SOC 2 Type II, met het rapport beschikbaar in zijn Trust Center, en biedt regio-exclusieve dataresidentie op enterprise-plannen.

Namespace publiceert klantresultaten zoals DuckDB dat zijn CI "10x faster" draait. Dat zijn de cijfers van Namespace voor die klanten.

Waarin CRACI verschilt

CRACI behandelt de build als de bron van waarheid voor wat u levert.

Een vastlegging van wat de build ophaalde

Terwijl elke job draait, legt een proxy die pakketten herkent het verkeer naar pakketbronnen vast: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk en Git-bronnen, plus downloadpresets. Het bewijs van afhankelijkheden reist mee met CI-caches, dus een pakket dat uit een cache wordt teruggezet, telt nog steeds mee. De SBOM van elke job, in CycloneDX of SPDX, heeft een volledigheidsstatus per job en per cache. De egresslogs van Namespace vertellen u welke domeinen een runner heeft benaderd. De vastlegging van CRACI vertelt u welke pakketten en versies de build daarvandaan heeft gehaald.

Egressbeleid, eerlijk vergeleken

Het beleid van CRACI is standaard weigeren of standaard toestaan, met 24 ingebouwde presets voor softwarebronnen, getypeerde eigen bronnen voor npm, PyPI, apt, apk, de Go-proxy, Nix, Cargo, OCI-registries en Git via HTTPS en SSH, en expliciete TLS-, TCP-, UDP- en ICMP-regels. Beleid wordt gevalideerd voordat de job start, is fail-closed, weigert onbekende velden en stuurt een melding bij een overtreding.

Namespace loopt op twee punten voor. Met de adviserende modus kunt u een beleid observeren voordat u het afdwingt, en de monitormodus van CRACI staat nog op de roadmap. Voor de secretinjectie en proxyregels heeft CRACI geen equivalent. Het verschil met CRACI is dat de bronnen op pakketecosysteem en protocol zijn getypeerd in plaats van als domeinen opgesomd, en dat dezelfde job die onder het beleid draait ook de vastlegging oplevert van de pakketten die hij heeft opgehaald.

Herkomst en monitoring

• Herkomstgegevens. De API levert SBOM's, netwerktraces en herkomstgegevens. CRACI ondertekent herkomstgegevens niet en claimt geen SLSA-niveau.
• Monitoring van wat is geleverd. Gemonitorde SBOM's worden continu opnieuw beoordeeld op nieuwe kwetsbaarheden, en bevindingen worden gebundeld over builds en repositories heen.

Prijs en formaten

Namespace factureert in unit minutes, waarbij één unit gelijkstaat aan 1 vCPU en 2 GB RAM gedurende één minuut op Linux. Per september 2026 kost een Linux-runner met 2 vCPU en 4 GB $0.002 per minuut binnen de planminuten en $0.003 per minuut bij overschrijding. Het Team-plan kost $100 per maand met 100.000 unit minutes, en Business kost $250 per maand met 250.000. Windows verbruikt minuten tegen twee keer het Linux-tarief en macOS tegen tien keer. Gebruik heeft een minimum van één minuut per job en wordt daarna per minuut afgerond; in het voorbeeld van Namespace worden 150 seconden gefactureerd als 3 minuten.

CRACI rekent $0.002 per vCPU-minuut, dus een runner met 2 vCPU en 6 GB RAM kost $0.004 per minuut, met ARM64 tegen hetzelfde tarief, per seconde gemeten, zonder maandbedrag. De catalogusprijs per minuut van Namespace is lager, met een minimum van één minuut per job. De standaardtypes hebben 2 GB RAM per vCPU en die van CRACI 3 GB, dus kies eerst het machinetype dat uw builds nodig hebben en vergelijk dan. Zie de prijzen van CRACI voor de actuele voorwaarden.

Wat past bij u

Namespace past beter als

• U macOS- of Windows-runners nodig hebt. CRACI ondersteunt vandaag alleen Linux; Windows en macOS staan op de roadmap.
• U een egressbeleid in adviserende modus wilt uitproberen voordat u het afdwingt.
• U afhankelijk bent van Bazel remote execution of cache volumes.
• U ook Buildkite-agents of cloud-ontwikkelomgevingen draait en één leverancier wilt.

CRACI past beter als

• U moet laten zien wat er in een release is gegaan, met een volledigheidsstatus, uit de build zelf.
• U monitoring van geleverde SBOM's op één plek wilt.
• U bewijs nodig hebt voor de Cyber Resilience Act.
• U dataresidentie in de EU nodig hebt, beschikbaar in het Enterprise-plan van CRACI.

Voor de Cyber Resilience Act

De Cyber Resilience Act vraagt fabrikanten de componenten in hun producten te kennen, de kwetsbaarheden daarin af te handelen en bewijs te bewaren. Het product van Namespace is snelle CI en ontwikkelinfrastructuur. CRACI automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat bedrijven nodig hebben voor hun bredere CRA-nalevingsproces: SBOM's uit de build, geëxporteerd als CycloneDX of SPDX, het volgen van kwetsbaarheden en herkomstgegevens via de API. Zie CRA-bewijs.

Overstappen van Namespace naar CRACI

Installeer de CRACI GitHub App in uw organisatie, met toegang tot alle repositories of een selectie, en wijzig daarna het runnerlabel van een job:

runs-on: craci

Zet één job tegelijk over, controleer de SBOM en netwerktrace, en lees meer over CI/CD-integratie en SBOM-generatie tijdens de build.