CRACI vs Depot

Det korte svaret

Depot er byggeakselerasjon: GitHub Actions-runnere, en ekstern tjeneste for Docker-bygg med en vedvarende lagcache, en ekstern cache for verktøy som Bazel og Gradle, og sin egen CI-motor. CRACI er en GitHub Actions-kompatibel runner bygget rundt leverandørkjedesikkerhet. Hver jobb lager en SBOM over det den faktisk hentet, og kjører under en egress-policy du definerer.

Forskjellen på én linje: Depot optimaliserer hvor raskt bygget ditt kjører, og CRACI registrerer og kontrollerer hva som går inn i det. Begge erstatter den GitHub-hostede runneren, så du velger én.

Kort oppsummert

Hva Depot gjør bra

Depot har bygget en bred, godt dokumentert runner- og byggeplattform. Høydepunkter fra dokumentasjonen:

• Et bredt runnerutvalg. Linux-runnere på AMD EPYC (Intel-etiketter) og AWS Graviton4 (Arm) fra 2 vCPU-er og 8 GB RAM opptil 64 vCPU-er og 256 GB, pluss Windows Server 2022 og 2025, og macOS-runnere på Startup- og Business-planene.
• Caching. Runnerne er koblet til Depots distribuerte cache, som ifølge Depot når opplastings- og nedlastingshastigheter på opptil 1000 MiB/s. Depot beskriver runnerne sine som opptil 3 ganger raskere enn en GitHub-hostet runner, med 10 ganger raskere caching.
• Docker-bygg. depot build er en direkte erstatning for docker build som kjører på en ekstern BuildKit-vert med en vedvarende NVMe-lagcache delt i teamet ditt, og bygger x86- og Arm-images direkte uten QEMU-emulering. Ifølge Depot er dette opptil 40 ganger raskere enn å bygge lokalt eller hos en CI-leverandør.
• Isolasjon. Hver GitHub Actions-jobb kjører på en ny EC2-instans med én leietaker som aldri brukes på nytt.
• Egress-filtrering. Allow- og deny-regler for IP-er, CIDR-er og vertsnavn, med en standardregel du setter til allow eller deny. Det gjelder foreløpig Linux-runnere.
• Enterprise-alternativer. På Business-planen ruller Depot Managed ut dataplanet i din egen AWS-konto, med AWS PrivateLink, statiske utgående IP-er og SSO. Depot oppgir en SOC 2 Type II-rapport.

Er byggetiden for Docker-images den største flaskehalsen i CI, er Depot laget for nettopp det problemet.

Der CRACI skiller seg ut

CRACI behandler bygget som sannhetskilden for det du leverer. Runneren er der dokumentasjonen samles inn.

En oversikt over hva bygget hentet

Mens hver jobb kjører, registrerer en pakkebevisst proxy trafikk til pakkekilder: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder, pluss nedlastingsforhåndsinnstillinger. Dokumentasjonen av avhengigheter følger med CI-cacher, så en pakke gjenopprettet fra en cache telles fortsatt med. SBOM-en til hver jobb, i CycloneDX eller SPDX, har en fullstendighetsstatus per jobb og per cache, så du vet når registreringen er fullstendig og når den ikke er det.

Depot kan også lage en SBOM: Legg til --sbom=true i depot build, så genererer det en SPDX-SBOM med Syft. Det er en skanning av imaget bygget lagde. Oversikten fra CRACI dekker hele jobben, inkludert byggeverktøy og pakker som aldri havner i et image, og jobber som ikke bygger images i det hele tatt.

Egress-policy laget for programvarekilder

Begge produktene lar deg blokkere uventet utgående trafikk fra en runner. CRACI-policyer er default deny eller default allow, med 24 innebygde forhåndsinnstillinger for programvarekilder, typede egendefinerte kilder for npm, PyPI, apt, apk, Go-proxyen, Nix, Cargo, OCI-registre og Git over HTTPS og SSH, og eksplisitte regler for TLS, TCP, UDP og ICMP. Policyer valideres før jobben starter, blokkerer ved feil (fail closed) og sender et varsel ved brudd. Depots regler virker på nivået for IP-er, CIDR-er og vertsnavn, noe som er enklere å forholde seg til hvis det er alt du trenger.

Provenance og overvåking

• Provenance-data. API-et returnerer SBOM-er, nettverksspor og provenance. CRACI signerer ikke provenance. Depots image-bygg kan legge ved BuildKit-provenance-attesteringer, satt med flagget --provenance.
• Overvåking av det som er levert. Overvåkede SBOM-er vurderes kontinuerlig på nytt mot nye sårbarheter, og funn samles på tvers av bygg og repositorier.

Pris og størrelser

Per september 2026 tar Depot $0.006 per minutt for Linux-runneren med 2 vCPU og 8 GB utover minuttene som er inkludert i planen din, og større størrelser skalerer lineært: 32 vCPU-er koster $0.096 per minutt. Developer-planen koster $20 per måned med 2 000 GitHub Actions-minutter, og Startup-planen koster $200 per måned med 20 000. Depot måler bruken per sekund uten minimum på ett minutt per kjøring, og tilbyr en gratis prøveperiode på 7 dager.

CRACI fakturerer $0.002 per vCPU-minutt, så 2 vCPU-er koster $0.004 per minutt og 32 vCPU-er koster $0.064 per minutt, med ARM64 til samme pris. Målingen skjer per sekund, og det er ingen månedsavgift. Utover Depots planminutter er det omtrent 33 % mindre per minutt i alle størrelser. Sammenlign minne før du sammenligner pris: En CRACI-beregningsenhet har 3 GB RAM per vCPU, mens Depots runnere har 4 GB per vCPU. Se priser for CRACI for gjeldende vilkår.

Hva som passer

Depot passer best når

• Docker-image-bygg dominerer CI-tiden din.
• Du trenger Windows- eller macOS-runnere. CRACI er bare Linux i dag; Windows og macOS står på veikartet.
• Du trenger runnere i din egen AWS-konto. CRACI tilbyr ennå ikke kundehostede runnere; de står på veikartet for Enterprise.
• Du er avhengig av ekstern caching for Bazel, Gradle, Turborepo eller sccache.

CRACI passer best når

• Du må vise hva som gikk inn i en utgivelse, fra selve bygget, med en fullstendighetsstatus.
• Du vil ha egress fra bygg kontrollert etter pakkekilde, validert før hver jobb.
• Du vil ha overvåking av leverte SBOM-er på ett sted.
• Du trenger datalagring i EU, tilgjengelig på CRACIs Enterprise-plan.

For Cyber Resilience Act

Cyber Resilience Act ber produsenter om å kjenne komponentene i produktene sine, håndtere sårbarheter i dem og ta vare på dokumentasjon. Depots produkt er byggeinfrastruktur, og dokumentasjonen legger vekten på hastighet, caching og isolasjon. CRACI automatiserer en betydelig del av innsynet i programvareleverandørkjeden og dokumentasjonen selskaper trenger for sin bredere CRA-samsvarsprosess: SBOM-er fra bygget, sårbarhetssporing, provenance og SBOM-eksport som CycloneDX eller SPDX.

Slik bytter du fra Depot til CRACI

Installer CRACI GitHub App på organisasjonen din, med tilgang til alle repositorier eller et utvalg, og endre deretter runner-etiketten på en jobb:

runs-on: craci

Workflowene dine og GitHub-grensesnittet forblir de samme. Flytt én jobb om gangen, og begynn med en jobb som bygger noe du leverer. Se på SBOM-en og nettverkssporet, og skriv deretter en egress-policy som tillater kildene jobben trenger. Les mer om CI/CD-integrasjon og SBOM-generering under bygget.