CI/CD-verktøy og -plattformer sammenlignet

Hvem dette er for

Du velger en CI/CD-plattform, eller går gjennom den du har, og et nytt spørsmål står på listen. En kunde, en revisor eller EUs Cyber Resilience Act spør hva som gikk inn i hver utgivelse. Alle plattformene her kan kjøre byggene dine. Forskjellen er hvor den dokumentasjonen kommer fra, og hvor mye av den du må sette sammen selv.

CRACI er på denne siden av den grunnen, og det er ikke en CI-plattform. Det er en runner for GitHub Actions: Du beholder GitHub Actions og endrer runs-on til craci. CRACI støtter bare GitHub Actions i dag, med GitLab CI og Jenkins på veikartet. Pipelines for GitLab CI, CircleCI og Buildkite kjører ikke på det. Vi lager CRACI, så ta det med i vurderingen; de andre produktene er beskrevet ut fra sin egen dokumentasjon.

Hvor bør SBOM-en komme fra?

Det er tre steder en plattform kan få den fra.

1. Repositoriet. Plattformen parser manifester og lockfiler. GitHubs avhengighetsgraf og GitLabs SBOM-baserte avhengighetsskanning fungerer slik. Det er alltid på og billig å kjøre, og det beskriver det prosjektet deklarerer. Det ser ikke installasjonsskript, nedlastede verktøykjeder eller pakker gjenopprettet fra en cache, og GitHubs eksport gjenspeiler standardgrenen, ikke en festet commit.
2. Et verktøy du legger til i pipelinen. Du kjører en SBOM-generator som et steg, gjennom en CircleCI-orb eller på Buildkite-agentene dine. Dette er fleksibelt, og resultatet avhenger av verktøyet og konfigurasjonen: Hver generator leser et annet sett filer og løser dem opp ulikt, så to av dem som pekes mot den samme rene utsjekkingen, returnerer ikke den samme komponentlisten. CRACI kan ikke sammenlignes på de premissene, fordi det registrerer bygg i stedet for å skanne en mappe.
3. Runneren som observerte bygget. SBOM-en registreres fra trafikken jobben genererte mens den kjørte. Dette er det CRACI gjør.

Provenance følger samme skille. GitHubs artifact attestations, et steg du legger til i en workflow, gir SLSA v1.0 Build Level 2, eller Level 3 med gjenbrukbare workflows. GitLab Runner kan generere en SLSA 1.0-provenance-erklæring på alle nivåer. Buildkite Package Registries kan publisere SLSA-provenance som Buildkite sier oppfyller Build Level 1, på Enterprise-planer. API-et til CRACI returnerer provenance-data fra runneren som observerte jobben, usignert og uten SLSA-nivå.

Oversikt

Kolonnen for GitHub Actions inkluderer funksjonene i GitHub-plattformen som team bruker sammen med det: avhengighetsgrafen, Dependabot, artifact attestations og GitHub Advanced Security. Prisene er per september 2026.

Plattformene

CRACI, en sikker runner for GitHub Actions

CRACI erstatter runneren, ikke GitHub Actions. Installer CRACI GitHub App og endre runs-on; kjøringene vises fortsatt i GitHub-grensesnittet. Mens hver jobb kjører, registrerer en pakkebevisst proxy hva den hentet, inkludert pakker gjenopprettet fra CI-cacher, og lager en SBOM i CycloneDX eller SPDX med en fullstendighetsstatus per jobb og per cache. Egress-policyer valideres før jobben starter, og blokkerer ved feil (fail closed). Passer best for GitHub Actions-team som leverer programvare og trenger dokumentasjon på hver utgivelse. Vær obs på bare GitHub Actions og Linux i dag (GitLab CI, Jenkins, Windows og macOS står på veikartet), og ingen SAST eller skanning av hemmeligheter.

SBOM-generering under bygget

GitHub Actions

CI/CD innebygd i GitHub, med hostede runnere for Linux, Windows og macOS og selvhostede runnere for dine egne maskiner. Planene inkluderer 2 000 til 50 000 minutter i måneden, og en standard Linux-runner med 2 kjerner koster $0.006 per minutt per september 2026. Rundt det finner du avhengighetsgrafen, Dependabot-varsler og sikkerhetsoppdateringer, artifact attestations og de betalte produktene GitHub Secret Protection og GitHub Code Security. Passer best for kode som allerede ligger på GitHub. Vær obs på en SBOM som beskriver repositoriet, ikke bygget, med mindre du legger til en generator selv.

CRACI vs. GitHub-hostede runnere og CRACI og GitHub Advanced Security

GitLab CI

En del av en komplett DevSecOps-plattform: versjonskontroll, merge requests, planlegging og CI/CD i ett produkt. Grunnleggende SAST, oppdagelse av hemmeligheter og containerskanning kjører på alle nivåer; Ultimate legger til avhengighetsskanning, kontinuerlig sårbarhetsskanning, DAST og sårbarhetsrapporten. Hostede runnere dekker Linux på x86-64 og arm64, med Windows og macOS i beta. Per september 2026 inkluderer Free 400 beregningsminutter, og Premium koster $29 per bruker per måned ved årlig fakturering. Passer best for én leverandør for hele livssyklusen. Vær obs på oppdagelse av avhengigheter fra lockfiler, og signerte SLSA Level 3-attestasjoner som GitLab oppgir som et eksperiment.

CRACI vs. GitLab CI

CircleCI

En moden, fleksibel hostet CI/CD-plattform som kobles til GitHub, GitLab og Bitbucket. Den kjører jobber på ressursklasser for Docker, Linux, Arm, Windows, macOS og GPU, med selvhostede runnere for dine egne maskiner. Docker-lagcaching er tilgjengelig på alle planer, og testdeling fordeler testpakker på parallelle executorer etter tidsdata. Veiledningen om leverandørkjeden handler først og fremst om å beskytte påloggingsinformasjon med contexts og OIDC. Per september 2026 inkluderer Free-planen 30 000 kreditter i måneden. Passer best for blandede plattformer og store testpakker. Vær obs på SBOM-er og skanning som kommer fra orbene og verktøyene du kobler til.

CRACI vs. CircleCI

Buildkite

En hybrid plattform: SaaS-kontrollplanet til Buildkite orkestrerer, og agentene som kjører jobbene, ligger på din egen infrastruktur, så kildekode og hemmeligheter blir i ditt eget miljø. Hostede agenter finnes også, til $0.004 per vCPU-minutt på Linux per september 2026. Signerte pipelines lar agenter nekte jobber som er endret etter opplasting, og Test Engine håndterer ustabile tester og testdeling. Passer best for bygg som må kjøre på din egen maskinvare eller ditt eget nettverk. Vær obs på byggesikkerhet som du selv må utforme: Buildkites egen veiledning ber deg håndheve strenge kontroller av utgående nettverkstrafikk på agentene dine.

CRACI vs. Buildkite

Hvor CRACI passer inn

CRACI er et tillegg til GitHub Actions, ikke en erstatning for en CI-plattform. På GitHub er et vanlig oppsett GitHub Advanced Security og Dependabot på hver pull request, og CRACI som runneren som registrerer hvert bygg og håndhever egress-policy. Overvåkede SBOM-er vurderes på nytt etter hvert som nye sårbarheter dukker opp, og de eksporteres som CycloneDX eller SPDX, sårbarheter inkludert. Det automatiserer en betydelig del av innsynet i programvareleverandørkjeden og dokumentasjonen som bedrifter trenger for sin bredere samsvarsprosess for Cyber Resilience Act.

Hvis pipelinene dine er på GitLab CI, CircleCI eller Buildkite, betyr bruk av CRACI at du må flytte dem til GitHub Actions. GitLab CI og Jenkins står på veikartet. CRACI er ikke det riktige valget når:

• Du vil ha én plattform for kode, planlegging, CI og skanning. GitLab er bygget for det.
• Bygg må kjøre på din egen maskinvare eller ditt eget nettverk. Buildkite og selvhostede runnere passer; CRACI er administrert i dag, med kundehostede runnere på veikartet for Enterprise.
• Du trenger Windows-, macOS- eller GPU-bygg. CRACI er bare Linux i dag; Windows og macOS står på veikartet.
• Du trenger et dokumentert SLSA-nivå i dag. GitHubs artifact attestations gir det.

Se CRACI-priser og CI/CD-integrasjon.

CRACI sammenlignet med hvert verktøy

• CRACI mot GitHub-hosted runnere Samme workflows, raskere bygg, lavere kostnad.
• CRACI mot GitLab CI Skannere i en DevSecOps-plattform mot en runner som registrerer.
• CRACI mot CircleCI Hostet CI mot dokumentasjon fra bygget.
• CRACI mot Buildkite Selvhostede agenter mot runnere som registrerer byggene.
• CRACI mot Blacksmith Raske runnere mot CI med innebygd leverandørkjedesikkerhet.
• CRACI mot Depot Raskere bygg mot dokumentasjon av bygget.
• CRACI mot Namespace Rask CI-infrastruktur mot runnere som registrerer byggene.
• CRACI mot WarpBuild Raske runnere og BYOC mot runnere med dokumentasjon.
• CRACI mot RunsOn Runnere i AWS-kontoen din mot runnere som registrerer byggene.
• CRACI mot Ubicloud Rimelige runnere mot CI med innebygd leverandørkjedesikkerhet.
• CRACI mot Avrea Observerbarhet i CI mot dokumentasjon fra bygget.
• CRACI mot Harness SBOM-skanninger i pipelinen mot en runner som registrerer bygget.
• CRACI mot Northflank En plattform for bygg og utrulling mot en runner som registrerer byggene.
• CRACI mot Jenkins En CI-server du drifter selv mot administrerte runnere som registrerer byggene.
• CRACI mot Azure Pipelines Parallelle jobber mot minuttprisede runnere med dokumentasjon fra bygget.

Side om side

Flere verktøy på én side, for når du velger en kategori, ikke ett produkt.

• GitHub Actions-runnere sammenlignet GitHub-hosted, CRACI, Blacksmith, Depot, Namespace og WarpBuild side om side.