CRACI vs Avrea

Krótka odpowiedź

Avrea to usługa hostowanych runnerów dla GitHub Actions, podobnie jak CRACI pochodząca z Helsinek, stworzona z myślą o szybkości i wglądzie w CI: runnery Linux, Windows i macOS, automatyczny cache zależności, wyszukiwanie logów, metryki runtime, wykrywanie niestabilnych testów i SSH do działających zadań. Jeśli celem są szybsze pipeline'y i zrozumienie, dlaczego są wolne, obserwowalność Avrea sięga dalej niż w CRACI, a Avrea obsługuje już dziś Windows i macOS.

CRACI to CI, które natywnie obsługuje bezpieczeństwo łańcucha dostaw. Avrea również dodała funkcje bezpieczeństwa: firewall ruchu wychodzącego w planie Enterprise oraz, w wersji preview, SBOM repozytorium. Różnica polega na tym, skąd pochodzą dowody. CRACI rejestruje każdą zewnętrzną zależność, którą build faktycznie pobrał, egzekwuje politykę ruchu wychodzącego, która w razie błędu blokuje ruch, i stale monitoruje wydane oprogramowanie pod kątem nowych podatności. Oba produkty zastępują runner, na którym działają zadania, więc wybiera się jeden z nich.

W skrócie

Co Avrea robi dobrze

Obserwowalność CI. Avrea zbiera metryki CPU, pamięci i sieci dla każdego zadania bez agenta, przeszukuje logi ze wszystkich zadań i repozytoriów, oddziela niestabilne testy od prawdziwych błędów oraz pokazuje wskaźniki trafień cache, wolne workflow i wydatki w czasie. SSH do działającego zadania działa z terminala lub konsoli webowej, z okresem karencji po zakończeniu zadania. Wszystko to jest dostępne w każdym planie.

Szybkość i cache. Runnery Avrea działają na dedykowanym sprzęcie z wysokim taktowaniem i lokalnymi dyskami NVMe, a zależności są automatycznie zapisywane w cache blisko runnerów po pierwszym buildzie. Avrea podaje, że jej runnery są trzy razy szybsze, a z rozgrzanym cache jeszcze szybsze. To dane Avrea; prawdziwym testem jest Państwa własny pipeline.

Obsługiwane platformy. Avrea oferuje Ubuntu na x86-64 od 1 do 32 vCPU, Linux ARM64 i macOS 26 na sprzęcie Apple M5 Max oraz Windows 2025. CRACI obsługuje dziś tylko Linux, a Windows i macOS są w planach rozwoju. Avrea podaje, że obsługuje dziś GitHub Actions i planuje dodać inne platformy, takie jak GitLab; w CRACI GitLab CI i Jenkins są w planach rozwoju.

Bezpieczeństwo usługi i firewall ruchu wychodzącego. Zadania działają w efemerycznych maszynach wirtualnych, cache jest izolowany dla każdego repozytorium i szyfrowany, a Avrea ma certyfikat ISO 27001:2022 i atestację SOC 2 Type 2. Jej firewall ruchu wychodzącego, dostępny w planie Enterprise, dopuszcza lub blokuje cele według domeny, CIDR, protokołu i portu, jest egzekwowany zarówno na poziomie IP, jak i DNS, i dla każdego uruchomienia podaje podsumowanie, z czym się łączyło i co zostało zablokowane.

Cena i rozmiary

Na x86-64 cena katalogowa jest taka sama, $0.004 za minutę 2 vCPU i $0.064 przy 32 vCPU, a runnery Avrea mają więcej pamięci: 4 GB na vCPU wobec 3 GB w CRACI. Na ARM64 sytuacja się odwraca. Runnery ARM64 Avrea działają na sprzęcie Apple M5 Max w cenie $0.012 za minutę 2 vCPU, trzy razy więcej niż stawka CRACI za ARM64: CRACI pobiera te same $0.004 co na x86-64. CRACI nalicza opłaty co sekundę, z zaokrągleniem do najbliższej sekundy, a Avrea co minutę, więc krótkie zadania w CRACI są rozliczane za sekundy, w których działają. Aktualne warunki podaje strona cennika CRACI.

Czym różni się CRACI

SBOM tego, co pobrał build, a nie tego, co deklaruje repozytorium

SBOM w Avrea odczytuje manifesty zależności i lockfile na gałęzi domyślnej, bez uruchamiania kodu, i wymienia zależności produkcyjne. To przydatny inwentarz tego, co deklaruje repozytorium. SBOM w CRACI pochodzi z samego buildu: w trakcie każdego zadania proxy rozpoznające pakiety rejestruje ruch do źródeł pakietów: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk i źródeł Git, a także presetów pobierania. Obejmuje pakiety przywrócone z cache i ukryte zależności, których nie wymienia żaden lockfile, takie jak kod pobierany przez hooki instalacyjne lub skrypty buildu, oraz warstwy obrazów bazowych. Każde zadanie tworzy SBOM w formacie CycloneDX lub SPDX ze stanem kompletności.

Ma to znaczenie, ponieważ buildy domyślnie nie są odtwarzalne: ten sam commit zbudowany dwa razy może pobrać różne pakiety. Tylko SBOM uzyskany z buildu, który wytworzył wydanie, pokazuje, co się w nim znajduje.

Polityka ruchu wychodzącego w uczciwym porównaniu

Oba produkty mogą ograniczyć build do listy dozwolonych celów i blokować wszystko inne. Avrea ma przewagę w widoczności: jej podsumowanie każdego uruchomienia wymienia najczęstsze cele, wysłane bajty i odrzucone zapytania DNS. Polityka CRACI klasyfikuje źródła według ekosystemu pakietów i protokołu, z 24 wbudowanymi presetami źródeł oprogramowania i źródłami niestandardowymi dla npm, PyPI, apt, apk, proxy Go, Nix, Cargo, rejestrów OCI i Git przez HTTPS i SSH, jest weryfikowana przed startem zadania, w razie błędu blokuje ruch i wysyła alert przy naruszeniu. A to samo zadanie, które działa w ramach polityki, tworzy też zapis pobranych pakietów.

Pochodzenie i monitorowanie

API zwraca SBOM-y, ślady sieciowe i dane o pochodzeniu. CRACI agreguje podatności z wielu buildów i repozytoriów, stale ponownie ocenia monitorowane SBOM-y i pokazuje, które wcześniejsze buildy zawierały podatną zależność.

Proszę umówić demo, aby zobaczyć SBOM, ślad sieciowy i dane o pochodzeniu z jednego z Państwa workflow.

Które rozwiązanie wybrać

Avrea sprawdzi się lepiej, gdy

• Głównym celem są szybsze pipeline'y i wgląd w wolne zadania, niestabilne testy i działanie cache.
• Potrzebują Państwo runnerów macOS lub Windows już dziś.
• Chcą Państwo 3000 bezpłatnych minut miesięcznie; na x86-64 obie firmy podają tę samą cenę za minutę.
• Potrzebują Państwo SOC 2 od dostawcy runnerów.

CRACI sprawdzi się lepiej, gdy

• Dostarczają Państwo oprogramowanie, w którym trzeba wykazać, co trafiło do każdego wydania, na podstawie samego buildu.
• Chcą Państwo polityki ruchu wychodzącego rozróżniającej typy źródeł pakietów, weryfikowanej przed startem zadania i blokującej ruch w razie błędu.
• Potrzebują Państwo monitorowania wydanego oprogramowania pod kątem nowych podatności.
• Państwa buildy działają na ARM64, gdzie stawka CRACI to jedna trzecia stawki Avrea.

Z czego rezygnują Państwo, wybierając CRACI. Z analityki CI i narzędzi do debugowania Avrea, runnerów Windows i macOS, które są w planach rozwoju CRACI, oraz z 3000 bezpłatnych minut miesięcznie. Zyskują Państwo zapis buildu, z którego zespoły bezpieczeństwa i compliance mogą korzystać bez kolejnego skanera w pipeline.

Cyber Resilience Act

Unijny Cyber Resilience Act oczekuje, że producenci będą wiedzieć, co znajduje się w każdym wydaniu, i obsługiwać jego podatności, z obowiązkami zgłoszeniowymi od września 2026 i pełnym stosowaniem od grudnia 2027. Inwentarz zależności z repozytorium to dobry początek. CRACI tworzy SBOM z buildu, który wytworzył wydanie, monitoruje go pod kątem nowych podatności i eksportuje w formacie CycloneDX lub SPDX, łącznie z podatnościami. Automatyzuje znaczną część widoczności łańcucha dostaw oprogramowania i dowodów, których firmy potrzebują w szerszym procesie zgodności z CRA.

Przejście z Avrea

CRACI zastępuje runner, a nie GitHub Actions. Workflow i interfejs GitHub pozostają bez zmian, a etykieta zadania zmienia się na runs-on: craci. Zadania otrzymują Docker Engine, Buildx i Compose v2, obraz Ubuntu 24.04 zgodny z GitHub oraz zagnieżdżoną wirtualizację na x86-64. Więcej o integracji CI/CD i generowaniu SBOM w czasie buildu. Startupy mogą zgłosić się do programu dla startupów.

Avrea vs CRACI: najczęściej zadawane pytania

Ceny, szybkość, SBOM-y i kontrola ruchu wychodzącego na podstawie informacji opublikowanych przez każdego dostawcę

Czym jest Avrea?

Avrea to usługa hostowanych runnerów dla GitHub Actions, stworzona w Helsinkach przez Hannu Valtonena, współzałożyciela Aiven, i Juhę Valvanne, współzałożyciela Nosto. Wystarczy zmienić etykietę runnera, a zadania działają na efemerycznych maszynach wirtualnych Avrea z automatycznym cache, wyszukiwaniem logów, metrykami runtime i debugowaniem przez SSH. Avrea wystartowała w maju 2026 z finansowaniem pre-seed w wysokości $4.7 mln, w rundzie prowadzonej przez Earlybird.

Ile kosztuje Avrea?

Według stanu na wrzesień 2026 Avrea rozlicza minuty runnera bez opłaty miesięcznej: $0.004 za minutę dla runnera 2 vCPU x86-64, $0.012 dla 2 vCPU ARM64 na Apple M5 Max, $0.008 dla 2 vCPU Windows i $0.08 dla 8 vCPU macOS. Każda organizacja otrzymuje 3000 bezpłatnych minut 2 vCPU miesięcznie. Stałe adresy IP kosztują $100 za IP miesięcznie, a firewall ruchu wychodzącego jest dostępny w planie Enterprise.

Czy Avrea jest tańsza niż CRACI?

To zależy od architektury. Na 2 vCPU x86-64 obie firmy podają $0.004 za minutę, a runner Avrea ma więcej pamięci. Na 2 vCPU ARM64 tańszy jest CRACI: te same $0.004 wobec $0.012 w Avrea, czyli jedna trzecia ceny. CRACI nalicza opłaty co sekundę, a Avrea co minutę, więc krótkie zadania kosztują w CRACI relatywnie mniej. Avrea oferuje też 3000 bezpłatnych minut miesięcznie; CRACI nie ma darmowego planu, ale prowadzi program dla startupów.

Czy Avrea jest szybsza niż CRACI?

Avrea podaje, że jej runnery są trzy razy szybsze, a z jej cache jeszcze szybsze. CRACI uruchamia buildy mniej więcej dwa razy szybciej niż runnery hostowane przez GitHub dzięki szybszemu sprzętowi, krótszym kolejkom i cache. Nie porównywaliśmy obu rozwiązań w benchmarku, dlatego warto uruchomić ten sam workflow na obu i porównać wyniki.

Avrea ma teraz SBOM-y. Czym różni się SBOM z CRACI?

Avrea generuje SBOM repozytorium przez statyczną analizę manifestów zależności i lockfile na gałęzi domyślnej, wyłącznie z zależnościami produkcyjnymi, w formatach CycloneDX i SPDX. Opisuje on to, co deklaruje repozytorium. CRACI rejestruje, co build faktycznie pobrał w trakcie działania, w tym pakiety przywrócone z cache i ukryte zależności, których nie wymienia żaden lockfile, takie jak kod pobierany przez hooki instalacyjne lub skrypty buildu oraz warstwy obrazów bazowych. Każdy SBOM z CRACI ma stan kompletności, a monitorowane SBOM-y są ponownie oceniane w miarę pojawiania się nowych podatności.

Oba mają firewall ruchu wychodzącego. Na czym polega różnica?

Oba pozwalają buildowi łączyć się tylko z dozwolonymi celami i oba mogą domyślnie odmawiać. Reguły Avrea dopasowują domeny, CIDR, protokoły i porty, są egzekwowane zarówno na poziomie IP, jak i DNS, i obejmują podsumowanie każdego uruchomienia pokazujące, z czym łączył się build; funkcja jest dostępna w planie Enterprise. Polityka CRACI klasyfikuje źródła według ekosystemu pakietów, ma 24 wbudowane presety źródeł oprogramowania, jest weryfikowana przed startem zadania, a w razie błędu blokuje ruch. CRACI rejestruje też, które pakiety i wersje przeszły przez te połączenia.

Czy CRACI obsługuje runnery Windows lub macOS?

Jeszcze nie. CRACI obsługuje dziś Linux na x86-64 i ARM64, a Windows i macOS są w planach rozwoju. Avrea oferuje Windows 2025 i macOS 26 na Apple M5 Max.

Czy przy zmianie trzeba przepisać workflow GitHub Actions?

Nie. Oba produkty zastępują runner, a nie GitHub Actions. Workflow, wyzwalacze i interfejs GitHub pozostają bez zmian; w CRACI etykieta zadania zmienia się na runs-on: craci.