CRACI vs Avrea

A resposta curta

O Avrea é um serviço de runners alojados para GitHub Actions, de Helsínquia tal como o CRACI, pensado para a velocidade e para ver o interior do seu CI: runners Linux, Windows e macOS, cache automática de dependências, pesquisa de logs, métricas de runtime, deteção de testes instáveis e SSH para jobs em execução. Se o seu objetivo são pipelines mais rápidos e perceber porque são lentos, a observabilidade do Avrea vai mais longe do que a do CRACI, e cobre hoje Windows e macOS.

O CRACI é um CI que trata nativamente da segurança da cadeia de abastecimento. O Avrea também acrescentou funcionalidades de segurança: uma firewall de egress no seu plano Enterprise e, em preview, uma SBOM do repositório. A diferença está na origem das evidências. O CRACI regista todas as dependências externas que o build efetivamente obteve, aplica uma política de egress que falha em modo fechado e continua a monitorizar o que foi lançado quanto a novas vulnerabilidades. Ambos os produtos substituem o runner em que os seus jobs correm, pelo que terá de escolher um.

Visão geral

O que o Avrea faz bem

Observabilidade de CI. O Avrea recolhe métricas de CPU, memória e rede de cada job sem agente, pesquisa logs em todos os jobs e repositórios, distingue testes instáveis de falhas reais e mostra taxas de acerto da cache, workflows lentos e despesa ao longo do tempo. O SSH para um job em execução funciona a partir do terminal ou da consola web, com um período de tolerância após o fim do job. Tudo isto está incluído em todos os planos.

Velocidade e cache. Os runners do Avrea correm em hardware dedicado com frequências elevadas e armazenamento NVMe local, e as dependências ficam automaticamente em cache, perto dos runners, após o primeiro build. O Avrea afirma que os seus runners são três vezes mais rápidos, e ainda mais com a cache aquecida. Estes valores são do Avrea; o seu próprio pipeline é o verdadeiro teste.

Cobertura de plataformas. O Avrea oferece Ubuntu em x86-64 de 1 a 32 vCPU, Linux ARM64 e macOS 26 em hardware Apple M5 Max, e Windows 2025. O CRACI é hoje apenas Linux, com Windows e macOS no roadmap. O Avrea afirma suportar hoje GitHub Actions e planeia acrescentar outras plataformas, como o GitLab; no CRACI, GitLab CI e Jenkins estão no roadmap.

Segurança do serviço e uma firewall de egress. Os jobs correm em VM efémeras, as caches estão isoladas por repositório e cifradas, e o Avrea tem certificação ISO 27001:2022 e atestação SOC 2 Type 2. A sua firewall de egress, que consta do plano Enterprise, permite ou nega destinos por domínio, CIDR, protocolo e porta, é aplicada tanto ao nível de IP como de DNS e dá a cada execução um resumo dos destinos a que se ligou e do que foi bloqueado.

Preço e dimensionamento

Em x86-64, o preço de tabela é o mesmo, $0.004 por minuto com 2 vCPU e $0.064 com 32 vCPU, e os runners do Avrea têm mais memória: 4 GB por vCPU contra 3 GB no CRACI. Em ARM64 o cenário inverte-se. Os runners ARM64 do Avrea correm em hardware Apple M5 Max a $0.012 por minuto com 2 vCPU, o triplo da tarifa ARM64 do CRACI: o CRACI cobra os mesmos $0.004 que em x86-64. O CRACI mede ao segundo, com arredondamento ao segundo mais próximo, enquanto o Avrea mede ao minuto, pelo que os jobs curtos são faturados pelos segundos que correm no CRACI. Consulte os preços do CRACI para as condições atuais.

Onde o CRACI é diferente

Uma SBOM do que o build obteve, não do que o repositório declara

A SBOM do Avrea lê os manifestos de dependências e os lockfiles do branch predefinido, sem executar o código, e lista as dependências de produção. É um inventário útil do que o repositório declara. A do CRACI vem do próprio build: durante a execução de cada job, um proxy que reconhece pacotes regista o tráfego para as fontes de pacotes, fontes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e Git, bem como predefinições de descarga. Inclui pacotes restaurados de caches e as dependências ocultas que nenhum lockfile lista, como código descarregado por hooks de instalação ou scripts de build, e camadas de imagens base. Cada job produz uma SBOM CycloneDX ou SPDX com um estado de completude.

Isto importa porque os builds não são reprodutíveis por defeito: o mesmo commit compilado duas vezes pode descarregar pacotes diferentes. Só uma SBOM retirada do build que produziu a versão mostra o que está nela.

Política de egress, comparada com justiça

Ambos os produtos podem restringir um build a uma lista de permissões e negar tudo o resto. O Avrea está à frente em visibilidade: o seu resumo por execução indica os principais destinos, os bytes enviados e as consultas DNS que recusou. A política do CRACI tipifica as suas fontes por ecossistema de pacotes e protocolo, com 24 predefinições integradas de fontes de software e fontes personalizadas para npm, PyPI, apt, apk, o proxy Go, Nix, Cargo, registos OCI e Git sobre HTTPS e SSH, é validada antes de o job arrancar, falha em modo fechado e envia um alerta em caso de violação. E o mesmo job que corre sob a política produz também o registo dos pacotes que obteve.

Proveniência e monitorização

A API devolve SBOM, traços de rede e proveniência. O CRACI agrega vulnerabilidades de todos os builds e repositórios, continua a reavaliar as SBOM monitorizadas e mostra que builds anteriores continham uma dependência vulnerável.

Marque uma demo para ver a SBOM, o traço de rede e a proveniência de um dos seus próprios workflows.

Qual escolher

O Avrea é a melhor opção quando

• Os objetivos principais são pipelines mais rápidos e visibilidade sobre jobs lentos, testes instáveis e comportamento da cache.
• Precisa hoje de runners macOS ou Windows.
• Quer 3.000 minutos gratuitos por mês; em x86-64, ambos anunciam o mesmo preço por minuto.
• Precisa de SOC 2 do seu fornecedor de runners.

O CRACI é a melhor opção quando

• Lança software para o qual tem de mostrar o que entrou em cada versão, a partir do próprio build.
• Quer uma política de egress tipificada por fonte de pacotes, validada antes de o job arrancar e que falha em modo fechado.
• Precisa de monitorizar o que foi lançado quanto a novas vulnerabilidades.
• Os seus builds correm em ARM64, onde a tarifa do CRACI é um terço da do Avrea.

O que perde com o CRACI. As ferramentas de análise e depuração de CI do Avrea, os runners Windows e macOS, que estão no roadmap do CRACI, e 3.000 minutos gratuitos por mês. O que ganha é um registo de build que as equipas de segurança e de conformidade podem usar sem mais um scanner no pipeline.

Para o Cyber Resilience Act

O Cyber Resilience Act da UE espera que os fabricantes saibam o que está em cada versão e tratem as suas vulnerabilidades, com obrigações de reporte a partir de setembro de 2026 e aplicação plena a partir de dezembro de 2027. Um inventário de dependências a partir do repositório é um começo. O CRACI produz a SBOM a partir do build que gerou a versão, monitoriza-a quanto a novas vulnerabilidades e exporta-a em CycloneDX ou SPDX, incluindo vulnerabilidades. Automatiza uma parte significativa da visibilidade e das evidências da cadeia de abastecimento de software de que as empresas precisam para o seu processo mais amplo de conformidade com o CRA.

Migrar do Avrea

O CRACI substitui o runner, não o GitHub Actions. Os workflows e a interface do GitHub mantêm-se, e a etiqueta do job passa a ser runs-on: craci. Os jobs têm Docker Engine, Buildx e Compose v2, uma imagem Ubuntu 24.04 compatível com o GitHub e virtualização aninhada em x86-64. Saiba mais sobre a integração com CI/CD e a geração de SBOM durante o build. As startups podem candidatar-se ao programa para startups.

Avrea vs CRACI: perguntas frequentes

Preços, velocidade, SBOM e controlo de egress, com base na informação publicada por cada fornecedor

O que é o Avrea?

O Avrea é um serviço de runners alojados para GitHub Actions, criado em Helsínquia por Hannu Valtonen, cofundador da Aiven, e Juha Valvanne, cofundador da Nosto. Basta alterar a etiqueta do runner e os seus jobs passam a correr nas VM efémeras do Avrea, com cache automática, pesquisa de logs, métricas de runtime e depuração por SSH. O Avrea foi lançado em maio de 2026 com 4,7 milhões de dólares de financiamento pre-seed, liderado pela Earlybird.

Quanto custa o Avrea?

Em setembro de 2026, o Avrea cobrava por minuto de runner, sem mensalidade: $0.004 por minuto para um runner x86-64 com 2 vCPU, $0.012 para ARM64 com 2 vCPU em Apple M5 Max, $0.008 para Windows com 2 vCPU e $0.08 para macOS com 8 vCPU. Cada organização recebe 3.000 minutos gratuitos com 2 vCPU por mês. Os IP estáticos custam $100 por IP por mês, e a firewall de egress consta do plano Enterprise.

O Avrea é mais barato do que o CRACI?

Depende da arquitetura. Em x86-64 com 2 vCPU, ambos anunciam $0.004 por minuto, e o runner do Avrea tem mais memória. Em ARM64 com 2 vCPU, o CRACI é mais barato: os mesmos $0.004 contra os $0.012 do Avrea, um terço do preço. O CRACI mede ao segundo e o Avrea ao minuto, pelo que os jobs curtos custam relativamente menos no CRACI. O Avrea inclui também 3.000 minutos gratuitos por mês; o CRACI não tem plano gratuito, mas tem um programa para startups.

O Avrea é mais rápido do que o CRACI?

O Avrea afirma que os seus runners são três vezes mais rápidos, e ainda mais com a sua cache. O CRACI executa builds cerca de duas vezes mais depressa do que os runners alojados pelo GitHub, graças a hardware mais rápido, tempos de fila mais curtos e cache. Não fizemos um benchmark entre os dois, por isso execute o mesmo workflow em ambos e compare.

O Avrea já tem SBOM. Em que é que a do CRACI é diferente?

O Avrea gera uma SBOM do repositório através da análise estática dos manifestos de dependências e dos lockfiles do branch predefinido, apenas com dependências de produção, em CycloneDX e SPDX. Descreve o que o repositório declara. O CRACI regista o que o build efetivamente obteve durante a execução, incluindo pacotes restaurados de caches e dependências ocultas que nenhum lockfile lista, como código descarregado por hooks de instalação ou scripts de build e camadas de imagens base. Cada SBOM do CRACI tem um estado de completude, e as SBOM monitorizadas são reavaliadas à medida que surgem novas vulnerabilidades.

Ambos têm uma firewall de egress. Qual é a diferença?

Ambos deixam um build alcançar apenas os destinos que permite, e ambos podem negar por defeito. As regras do Avrea correspondem a domínios, CIDR, protocolos e portas, são aplicadas tanto ao nível de IP como de DNS e vêm acompanhadas de um resumo por execução dos destinos a que cada build se ligou; esta firewall consta do plano Enterprise. A política do CRACI tipifica as suas fontes por ecossistema de pacotes, com 24 predefinições integradas de fontes de software, é validada antes de o job arrancar e falha em modo fechado. O CRACI regista também que pacotes e versões chegaram através dessas ligações.

O CRACI suporta runners Windows ou macOS?

Ainda não. O CRACI executa hoje Linux em x86-64 e ARM64, com Windows e macOS no roadmap. O Avrea oferece Windows 2025 e macOS 26 em Apple M5 Max.

Tenho de reescrever os meus workflows de GitHub Actions para mudar?

Não. Ambos os produtos substituem o runner, não o GitHub Actions. Os workflows, os triggers e a interface do GitHub mantêm-se; no CRACI, a etiqueta do job passa a ser runs-on: craci.