CRACI vs RunsOn

Het korte antwoord

RunsOn biedt self-hosted GitHub Actions-runners zonder het onderhoud van een runnervloot. Eén CloudFormation-stack of Terraform-module rolt het uit in uw AWS-account; elke job krijgt daarna een nieuwe EC2-instance van elk type dat u kiest, en AWS factureert de rekenkracht tegen kostprijs. Wilt u runners binnen uw eigen cloudaccount en de laagst mogelijke rekening voor rekenkracht, vooral op spot-instances, dan is RunsOn moeilijk te verslaan.

CRACI is CI die ketenbeveiliging van nature afhandelt. Het is een beheerde, met GitHub Actions compatibele runner, en de beveiliging is onderdeel van de runner in plaats van een tool die eraan is toegevoegd: CRACI legt elke externe afhankelijkheid vast die de build heeft opgehaald, dwingt een egressbeleid af op het buildnetwerk en maakt van die vastlegging SBOM's, monitoring van kwetsbaarheden en bewijs. Beide producten vervangen de runner waarop uw jobs draaien, dus u kiest er één.

In één oogopslag

Waar RunsOn sterk in is

Uw account, uw gegevens. Het control plane, de runner-VM's, de S3-cache en de logs staan allemaal in uw AWS-account, en de eigen gegevensstromen van RunsOn zijn beperkt tot licentievalidatie, telemetrie en support. Voor teams bij wie de beveiligingsreview stokt op "een derde partij draait onze code en secrets", is dat het antwoord waarvoor RunsOn is gebouwd. CRACI-runners zijn vandaag beheerd; door de klant gehoste runners staan op de roadmap voor Enterprise.

Elk instancetype, één per job. Het label runs-on kiest de machine, dus een job kan een grote rekengeoptimaliseerde instance, een GPU, lokale NVMe-opslag of Windows vragen. Elke job krijgt een nieuwe EC2-instance die wordt vernietigd wanneer hij klaar is, en RunsOn zegt dat jobs doorgaans in ongeveer 30 seconden starten, of onder de 6 met warm pools.

Kosten. RunsOn rekent geen toeslag op AWS-rekenkracht en vraagt een vaste licentie, vanaf ongeveer $348 (€300) per jaar. Het zegt dat het resultaat 7 tot 12 keer goedkoper is dan door GitHub gehoste runners. Spot-instances met automatische terugval op on-demand drukken de rekening verder. Dit zijn de cijfers van RunsOn; uw instancemix en regio bepalen het echte getal.

Caching en observability. Een op S3 gebaseerde cache in uw VPC vervangt de cache van GitHub zonder de groottelimiet ervan, caching van Docker-lagen is ingebouwd, en EBS sticky disks en gedeelde EFS-volumes bewaren de status tussen jobs. Metrics en kostenrapportage per job gaan naar CloudWatch en OpenTelemetry.

Beveiligingsuitbreidingen. Een integratie met StepSecurity Harden-Runner voegt monitoring en filtering van egress toe en detectie van manipulatie van broncode tijdens de build, met een enterprise-licentie van StepSecurity.

Prijs en formaten

Op rekenkracht alleen kost RunsOn op spot-instances een fractie van CRACI's $0.004 per minuut voor 2 vCPU. De vergelijking gaat echter niet alleen om de prijs per minuut. Bij RunsOn betaalt u ook de licentie en de AWS-diensten rond de runners, zoals NAT-gateways voor statische IP-adressen, en uw team is eigenaar van de stack: upgrades, AWS-quota en incidenten. CRACI hanteert één prijs per minuut, per seconde gemeten, zonder maandbedrag, en CRACI beheert de infrastructuur. Zie de prijzen van CRACI voor de actuele voorwaarden en beheerde vs self-hosted runners voor de bredere afweging.

Qua snelheid draait CRACI builds ongeveer twee keer zo snel als door GitHub gehoste runners, dankzij snellere hardware, kortere wachtrijen en caching. De snelheid van RunsOn hangt af van het instancetype dat u kiest. We hebben de twee niet tegen elkaar gebenchmarkt.

Waarin CRACI verschilt

Een vastlegging van wat de build ophaalde

Terwijl elke job draait, legt een proxy die pakketten herkent het verkeer naar pakketbronnen vast: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk en Git-bronnen, plus downloadpresets. Het bewijs van afhankelijkheden reist mee met CI-caches, dus pakketten die uit een cache worden teruggezet, tellen nog steeds mee. Dat omvat de verborgen afhankelijkheden die in geen enkele lockfile staan, zoals code die door install hooks of buildscripts wordt gedownload, en lagen van base images. Elke job levert een CycloneDX- of SPDX-SBOM op met een volledigheidsstatus per job en per cache.

Controle over wat de build kan bereiken

Security groups bepalen welke netwerken een RunsOn-runner kan bereiken; ze weten niet welke pakketregistry een job hoort te gebruiken. Het egressbeleid van CRACI wel: standaard weigeren of standaard toestaan, 24 ingebouwde presets voor softwarebronnen, getypeerde eigen bronnen voor npm, PyPI, apt, apk, de Go-proxy, Nix, Cargo, OCI-registries en Git via HTTPS en SSH, en expliciete TLS-, TCP-, UDP- en ICMP-regels. Beleid wordt gevalideerd voordat de job start, is fail-closed en stuurt een melding bij een overtreding. Omdat het beleid alleen toestaat wat de build nodig heeft, blokkeert het exfiltratie naar hosts die de build niet nodig heeft, zelfs bij een aanval die nog niemand heeft gezien.

Harden-Runner op RunsOn gaat op één punt verder: het let ook op bronbestanden die tijdens de build worden gewijzigd, wat CRACI niet doet.

Herkomst en monitoring

De API levert SBOM's, netwerktraces en herkomstgegevens. CRACI ondertekent herkomstgegevens niet en claimt geen SLSA-niveau. Het bundelt kwetsbaarheden over builds en repositories heen en blijft gemonitorde SBOM's opnieuw beoordelen.

Twee verschillende beveiligingsvragen

RunsOn beantwoordt "wie beheert mijn code, secrets en runnerstatus?" door alles in uw AWS-account te houden. CRACI beantwoordt een andere vraag: "wat heeft deze build binnengehaald, en waarmee heeft hij verbinding gemaakt?" CRACI draait elke job in een eigen geïsoleerde VM, slaat uw broncode niet op en is ISO 27001-gecertificeerd. Het tweede antwoord is waar een auditor, een klant of de Cyber Resilience Act u om vraagt.

Boek een demo om de SBOM, netwerktrace en herkomstgegevens van een van uw eigen workflows te zien.

Wat past bij u

RunsOn past beter als

• Runners binnen uw eigen AWS-account moeten draaien, naast uw VPC-resources.
• De laagste kosten voor rekenkracht het belangrijkst zijn, en u er geen moeite mee hebt een stack in AWS te beheren.
• U vandaag Windows-runners, GPU-instances of specifieke EC2-instancetypen nodig hebt.
• Uw projecten niet-commercieel zijn, wat RunsOn gratis dekt.

CRACI past beter als

• U software levert waarbij u moet laten zien wat er in elke release is gegaan, uit de build zelf.
• U wilt beperken wat builds kunnen bereiken, met een beleid dat fail-closed is en geen extra licentie nodig heeft.
• U monitoring nodig hebt van wat is geleverd, zonder tools aan elke workflow toe te voegen.
• U liever geen CI-infrastructuur beheert en builds op Europese infrastructuur wilt.

Wat u opgeeft met CRACI. Runners in uw eigen AWS-account, die op de roadmap voor Enterprise staan, Windows-runners, die ook op de roadmap staan, en de laagste rekening voor rekenkracht. Wat u wint, is een vastlegging van de build die security en compliance kunnen gebruiken zonder nog een scanner in de pipeline, op infrastructuur die u niet zelf hoeft te beheren.

Voor de Cyber Resilience Act

De EU Cyber Resilience Act verwacht dat fabrikanten weten wat er in elke release zit en de kwetsbaarheden daarin afhandelen, met meldingsplichten vanaf september 2026 en volledige toepassing vanaf december 2027. Een self-hosted runner levert dat bewijs niet vanzelf; u zou SBOM- en scantools aan uw workflows moeten toevoegen. CRACI levert het uit de vastlegging van de build en exporteert SBOM's als CycloneDX of SPDX. Het automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat bedrijven nodig hebben voor hun bredere CRA-nalevingsproces.

Overstappen van RunsOn

CRACI vervangt de runner, niet GitHub Actions. Workflows en de GitHub-interface blijven hetzelfde, en het joblabel wordt runs-on: craci. Jobs krijgen Docker Engine, Buildx en Compose v2, een met GitHub compatibel Ubuntu 24.04-image, en geneste virtualisatie op x86-64. Lees meer over CI/CD-integratie en SBOM-generatie tijdens de build. Startups kunnen zich aanmelden voor het startupprogramma.

RunsOn vs CRACI: veelgestelde vragen

Prijzen, hosting, platforms en beveiliging, beantwoord op basis van de gepubliceerde informatie van elke leverancier

Wat is RunsOn?

RunsOn biedt self-hosted GitHub Actions-runners als product. U rolt één CloudFormation-stack of Terraform-module uit in uw eigen AWS-account, en RunsOn start voor elke job een nieuwe EC2-instance en beëindigt die wanneer de job klaar is. Runners, caches, logs en inloggegevens blijven in uw AWS-account. Het is in 2023 opgericht door Cyril Rohr, die in Rennes, Frankrijk, is gevestigd.

Wat kost RunsOn?

Per september 2026 rekent RunsOn een vaste jaarlicentie per juridische entiteit: vanaf ongeveer $348 (€300) per jaar op Starter, ongeveer $1,044 (€900) op Growth, ongeveer $2,088 (€1,800) op Scale en ongeveer $4,176 (€3,600) op Enterprise, afhankelijk van hoeveel runners u per maand start. AWS factureert de rekenkracht rechtstreeks, per seconde, zonder toeslag van RunsOn. RunsOn vermeldt een spot-instance met 2 vCPU op x64 in us-east-1 tegen ongeveer $0.0009 per minuut. Het is gratis voor niet-commercieel gebruik en heeft een proefperiode van 15 dagen.

Is RunsOn goedkoper dan CRACI?

Voor rekenkracht wel, en met spot-instances met ruime marge. CRACI rekent $0.004 per minuut voor 2 vCPU, terwijl een spot-instance met 2 vCPU via RunsOn ongeveer $0.0009 per minuut kost in us-east-1, plus de licentie. Het totaal omvat ook uw AWS-netwerk en -opslag en de tijd om de stack te beheren. Wat CRACI op de runner toevoegt, is de vastlegging van de build: een SBOM voor elke job, een egressbeleid, herkomstgegevens en monitoring van kwetsbaarheden.

Genereert RunsOn SBOM's of build provenance?

Niet onder de gedocumenteerde functies. RunsOn richt zich op rekenkracht, caching, kosten en observability in uw AWS-account. CRACI legt de pakketten vast die elke job ophaalt, inclusief pakketten die uit caches zijn teruggezet, en maakt een CycloneDX- of SPDX-SBOM met een volledigheidsstatus. De API levert SBOM's, netwerktraces en herkomstgegevens.

Kan RunsOn beperken wat een build op het netwerk kan bereiken?

RunsOn-runners staan in uw VPC, dus AWS-security groups en routing zijn van toepassing, en statische egress-IP's komen van NAT-gateways. Voor egressfiltering binnen de job integreert RunsOn StepSecurity Harden-Runner, dat een basislijn opbouwt van het uitgaande verkeer van elke job en die als allowlist kan afdwingen; op RunsOn is daarvoor een enterprise-licentie van StepSecurity nodig. CRACI dwingt een egressbeleid af op de runner zelf: standaard weigeren of toestaan, 24 ingebouwde presets voor softwarebronnen, gevalideerd voordat de job start en fail-closed.

Kan ik CRACI in mijn eigen AWS-account draaien?

Vandaag niet. CRACI-runners zijn beheerd, op Europese infrastructuur, en door de klant gehoste runners staan op de roadmap voor het Enterprise-plan. Zijn runners binnen uw eigen AWS-account een harde eis, dan is RunsOn precies daarvoor gebouwd.

Ondersteunt CRACI Windows- of macOS-runners?

CRACI draait vandaag Linux op x86-64 en ARM64, met Windows en macOS op de roadmap. RunsOn biedt Windows Server 2022 en 2025 en GPU-instances; macOS-jobs blijven ook bij RunsOn op door GitHub gehoste runners.

Moet ik mijn GitHub Actions-workflows herschrijven om over te stappen?

Nee. Beide producten vervangen de runner, niet GitHub Actions. Workflows, triggers en de GitHub-interface blijven hetzelfde; op CRACI wordt het joblabel runs-on: craci.