CRACI vs. Blacksmith CI

Det korte svaret

Blacksmith er en tjeneste med administrerte runnere for GitHub Actions, bygget for fart og kostnad: Linux-, Windows- og macOS-runnere på bare metal-maskinvare, en cache for avhengigheter ved siden av runnerne, caching av Docker-lag på persistente disker og CI-observerbarhet. Er det eneste målet ditt raskere og billigere GitHub Actions, er Blacksmith et sterkt alternativ: x64-listeprisen er den samme som CRACIs, ARM-prisen er lavere, og tjenesten inkluderer 3 000 gratis x64-minutter i måneden.

CRACI er CI med innebygd sikkerhet for leverandørkjeden. Det er også en GitHub Actions-kompatibel runner, og byttet er den samme typen endring på én linje, men sikkerheten er en del av runneren i stedet for et verktøy lagt til den. CRACI registrerer hver ekstern avhengighet bygget hentet, håndhever en egress-policy på byggets nettverk og gjør den registreringen om til SBOM-er, sårbarhetsovervåking og CRA-dokumentasjon. Begge produktene konkurrerer om det samme runner-budsjettet, så du velger ett av dem.

Kort oppsummert

Hva Blacksmith gjør bra

Fokus på ytelse. Blacksmith kjører jobber på bare metal-maskiner med høy ytelse per kjerne, sier at runnerne er dobbelt så raske som GitHub-hostede runnere, og at cachen ved siden av runnerne laster ned omtrent fire ganger raskere. For Docker-bygg rapporterer selskapet at kunder har sett forbedringer på 2x til 40x fra caching av lag. Dette er Blacksmiths tall; din egen pipeline er den egentlige testen.

Caching uten endringer i workflowen. GitHubs offisielle cache- og setup-actions snakker transparent med Blacksmiths cache, med 25 GB gratis lagring per repositorium per uke og utkasting av minst nylig brukte data etter sju dager. Sticky disks og caching av Docker-lag bevarer tilstand mellom kjøringer for $0.50 per GB per måned, og dokumentasjonen dekker også caching av Bazel, Git-checkout og container-images.

Plattformdekning. Blacksmith tilbyr Ubuntu 22.04 og 24.04 på x64 og ARM fra 2 til 32 vCPU, Windows Server 2025 i offentlig beta og macOS på Apple M4 i størrelsene 6 og 12 vCPU. Tjenesten setter ingen grenser for samtidighet. CRACI er bare Linux i dag, med Windows og macOS på veikartet, så for slike jobber dekker Blacksmith et område CRACI ikke dekker ennå.

Feilsøking og analyse. SSH-tilgang til jobber som kjører, kjørehistorikk, loggsøk, målinger, monitorer, testanalyse og et CI-dashbord er alle dokumenterte funksjoner. Testboxes, som kjører lokale endringer i en ekte GitHub Actions-jobb, er i tidlig beta.

Sikkerhet og samsvar i tjenesten. Jobber kjører i kortlevde Firecracker-microVM-er, og hver jobb får et just-in-time-token som er avgrenset til den jobben og utløper etter én time. Blacksmith oppgir at selskapet oppfyller SOC 2 Type 2 og GDPR, og pentestes hvert kvartal.

Pris og størrelser

På x64 har de to samme listepris, $0.004 per minutt med 2 vCPU. Blacksmiths ARM-pris er klart lavere, siden CRACI tar samme pris for ARM64 som for x86-64, og Blacksmith inkluderer 3 000 gratis x64-minutter i måneden. CRACI måler per sekund, avrundet til nærmeste sekund, så korte jobber faktureres for sekundene de kjører. Maskinprofilene er også ulike: En CRACI compute unit er 1 vCPU med 3 GB RAM, fra 1 til 32 enheter, mens Blacksmiths x64-runnere har 4 GB per vCPU og ARM-runnerne 3 GB. Ta utgangspunkt i minnet byggene dine trenger, før du sammenligner priser. Se CRACIs priser for gjeldende vilkår.

Fart er ikke der de to skiller seg mest. Begge sier at runnerne deres er omtrent dobbelt så raske som GitHub-hostede runnere. CRACI kommer dit med raskere maskinvare, kortere køtider og caching. Vi har ikke benchmarket de to mot hverandre.

Der CRACI er annerledes

En registrering av hva bygget hentet

Mens hver jobb kjører, registrerer en pakkebevisst proxy trafikken til pakkekildene: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder, i tillegg til forhåndsinnstillinger for nedlastinger. Dokumentasjonen for avhengighetene følger med CI-cacher, så pakker gjenopprettet fra en cache telles fortsatt med. Hver jobb lager en SBOM i CycloneDX eller SPDX med en fullstendighetsstatus per jobb og per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded.

Kontroll over hva bygget kan nå

Blacksmiths statiske IP-er gir runnerne dine en fast adresse for å nå tjenester bak brannmur. CRACI tilbyr også et stabilt IP-område for utgående trafikk, og legger til egress-policyer: default deny eller default allow, 24 innebygde forhåndsinnstillinger for programvarekilder, typede egendefinerte kilder og eksplisitte regler for TLS, TCP, UDP og ICMP. Policyer valideres før jobben starter, blokkerer ved feil (fail closed) og sender et varsel ved brudd.

Provenance og overvåking

API-et returnerer SBOM-er, nettverksspor og provenance. CRACI samler sårbarheter på tvers av bygg og repositorier og vurderer overvåkede SBOM-er fortløpende på nytt.

To ulike sikkerhetsspørsmål

Blacksmiths sikkerhetsarbeid svarer på «er runner-tjenesten trygg å overlate jobbene mine til?»: isolerte microVM-er, kortlevde tokens, krypterte cacher og en SOC 2-rapport. CRACI svarer også på det spørsmålet, med isolerte virtuelle maskiner og ingen lagret kildekode, og deretter på et annet: «hva hentet dette bygget inn, og hvor koblet det seg til?» Det andre svaret er det en revisor, en kunde eller Cyber Resilience Act ber deg om.

Book en demo for å se SBOM-en, nettverkssporet og provenance fra en av dine egne workflows.

Hvilken som passer

Blacksmith passer bedre når

• Byggefart og lavest mulig minuttpris på ARM er hovedmålene, eller de gratis månedlige minuttene betyr noe.
• Du trenger macOS- eller Windows-runnere i dag.
• Du er avhengig av sticky disks, Blacksmiths observerbarhetskonsoll eller SSH-feilsøking.

CRACI passer bedre når

• Du leverer programvare der du må vise hva som gikk inn i hver utgivelse, ut fra selve bygget.
• Du vil begrense hva bygg kan nå, med en policy som blokkerer ved feil (fail closed).
• Du trenger overvåking av det som er levert, uten å legge til verktøy i hver workflow.
• Du trenger datalagring i EU, tilgjengelig på CRACIs Enterprise-plan.

Hva du gir avkall på med CRACI. Windows- og macOS-jobber, som står på veikartet, den laveste ARM-prisen og Blacksmiths verktøy for feilsøking og analyse. Det du får, er en byggeregistrering som sikkerhet og compliance kan bruke uten enda en skanner i pipelinen.

For Cyber Resilience Act

EUs Cyber Resilience Act forventer at produsenter vet hva som er i hver utgivelse, og håndterer sårbarhetene i den, med rapporteringsplikter fra september 2026 og full anvendelse fra desember 2027. En rask runner lager ikke den dokumentasjonen alene; du må selv legge til SBOM- og skanneverktøy i workflowene dine. CRACI lager den ut fra byggeregistreringen og eksporterer SBOM-er som CycloneDX eller SPDX, sårbarheter inkludert. Det automatiserer en betydelig del av innsikten i og dokumentasjonen for programvareleverandørkjeden som selskaper trenger i sin bredere CRA-samsvarsprosess.

Bytte fra Blacksmith

CRACI erstatter runneren, ikke GitHub Actions. Workflows og GitHub-grensesnittet forblir de samme, og jobbetiketten blir runs-on: craci. Jobber får Docker Engine, Buildx og Compose v2, et GitHub-kompatibelt Ubuntu 24.04-image og nestet virtualisering på x86-64. Les mer om CI/CD-integrasjon og SBOM-generering under bygget. Oppstartsselskaper kan søke om startup-programmet.

Blacksmith vs. CRACI: vanlige spørsmål

Priser, fart, plattformer og sikkerhet, besvart ut fra hver leverandørs publiserte informasjon

Hva er Blacksmith CI?

Blacksmith er en tjeneste med administrerte runnere for GitHub Actions. Du beholder workflowene dine og endrer runner-etiketten, så kjører jobbene dine på Blacksmiths bare metal-maskiner i Firecracker-microVM-er i stedet for på GitHub-hostede runnere. Tjenesten selges på fart og pris: raskere maskinvare, en cache for avhengigheter ved siden av runnerne, caching av Docker-lag og CI-observerbarhet.

Hva koster Blacksmith?

Per september 2026 oppgir Blacksmith Ubuntu x64 med 2 vCPU til $0.004 per minutt, Ubuntu ARM til $0.0025, Windows til $0.008 og macOS M4 (6 vCPU) til $0.08. Hver organisasjon får 3 000 gratis x64-minutter med 2 vCPU i måneden. Caching av Docker-lag og sticky disks koster $0.50 per GB per måned, og statiske IP-er $100 per IP per måned.

Er Blacksmith billigere enn CRACI?

På ARM, ja; på x64 er listeprisen den samme. CRACI tar $0.004 per minutt for 2 vCPU på både x86-64 og ARM64, mot Blacksmiths $0.004 på x64 og $0.0025 på ARM, og Blacksmith inkluderer 3 000 gratis x64-minutter i måneden. CRACI måler per sekund, så korte jobber faktureres for sekundene de kjører. Det CRACI legger til på runneren, er byggeregistreringen: en SBOM for hver jobb, en egress-policy, provenance-data via API-et og sårbarhetsovervåking, noe som ellers ville krevd separate verktøy.

Er Blacksmith raskere enn CRACI?

Begge sier at runnerne deres er omtrent dobbelt så raske som GitHub-hostede runnere. CRACI kommer dit med raskere maskinvare, kortere køtider og caching. Vi har ikke benchmarket de to mot hverandre, så kjør samme workflow på begge og sammenlign.

Genererer Blacksmith SBOM-er eller provenance for bygg?

Ikke blant de dokumenterte funksjonene. Blacksmith fokuserer på beregningskraft, caching og observerbarhet. CRACI registrerer pakkene hver jobb henter, også pakker gjenopprettet fra cacher, og lager en SBOM i CycloneDX eller SPDX med en fullstendighetsstatus. API-et returnerer SBOM-er, nettverksspor og provenance.

Kan Blacksmith begrense hva et bygg kan nå på nettverket?

Blacksmith tilbyr statiske IP-er, så jobbene dine kan nå tjenester bak brannmur fra en fast adresse. En policy for hva selve jobben kan koble seg til, er ikke blant de dokumenterte funksjonene. CRACI håndhever en egress-policy i runneren: default deny eller allow, 24 innebygde forhåndsinnstillinger for programvarekilder, validert før jobben starter, og som blokkerer ved feil (fail closed).

Støtter CRACI Windows- eller macOS-runnere?

Ikke ennå. CRACI kjører Linux på x86-64 og ARM64 i dag, med Windows og macOS på veikartet. Blacksmith tilbyr macOS på Apple M4 og Windows Server 2025 i offentlig beta.

Hvor kjører jobbene, og kan dataene bli i EU?

Blacksmith kjører jobber på bare metal-maskiner i US East, US West, Amsterdam og Frankfurt, med kontrollplanet på AWS. CRACI kjører bygg på europeisk bare metal-infrastruktur, med datalagring i EU på Enterprise-planen. CRACI lagrer ikke kildekoden din; den behandles i jobbens VM så lenge bygget varer.

Oppfyller Blacksmith SOC 2?

Blacksmith oppgir at selskapet oppfyller SOC 2 Type 2 og GDPR og pentestes hvert kvartal. CRACI dokumenterer sine sikkerhetskontroller i Trust Center.

Må jeg skrive om GitHub Actions-workflowene mine for å bytte?

Nei. Begge produktene erstatter runneren, ikke GitHub Actions. Workflows, triggere og GitHub-grensesnittet forblir de samme; på CRACI blir jobbetiketten runs-on: craci.