CRACI vs Blacksmith CI

A resposta curta

O Blacksmith é um serviço de runners geridos para GitHub Actions, pensado para a velocidade e o custo: runners Linux, Windows e macOS em hardware bare-metal, uma cache de dependências junto aos runners, cache de camadas Docker em discos persistentes e observabilidade de CI. Se o seu único objetivo é um GitHub Actions mais rápido e mais barato, o Blacksmith é uma opção forte: o seu preço de tabela em x64 é o mesmo do CRACI, o seu preço em ARM é mais baixo e inclui 3.000 minutos x64 gratuitos por mês.

O CRACI é um CI que trata nativamente da segurança da cadeia de abastecimento. Também é um runner compatível com GitHub Actions, e mudar é o mesmo tipo de alteração de uma linha, mas a segurança faz parte do runner em vez de ser uma ferramenta acrescentada a ele. O CRACI regista todas as dependências externas que o build obteve, aplica uma política de egress à rede do build e transforma esse registo em SBOM, monitorização de vulnerabilidades e evidências para o CRA. Ambos os produtos disputam o mesmo orçamento de runners, pelo que terá de escolher um.

Visão geral

O que o Blacksmith faz bem

Foco no desempenho. O Blacksmith executa jobs em máquinas bare-metal com elevado desempenho por núcleo, afirma que os seus runners são duas vezes mais rápidos do que os runners alojados pelo GitHub e que a sua cache junto aos runners descarrega cerca de quatro vezes mais depressa. Para builds Docker, reporta que os clientes registaram melhorias de 2x a 40x com a cache de camadas. Estes valores são do Blacksmith; o seu próprio pipeline é o verdadeiro teste.

Cache sem alterações aos workflows. As actions oficiais de cache e de setup do GitHub comunicam com a cache do Blacksmith de forma transparente, com 25 GB de armazenamento gratuito por repositório por semana e remoção dos itens menos usados recentemente ao fim de sete dias. Os sticky disks e a cache de camadas Docker mantêm o estado entre execuções por $0.50 por GB por mês, e a documentação cobre também a cache de Bazel, de checkout de Git e de imagens de contentor.

Cobertura de plataformas. O Blacksmith oferece Ubuntu 22.04 e 24.04 em x64 e ARM de 2 a 32 vCPU, Windows Server 2025 em beta pública e macOS em Apple M4 nos tamanhos de 6 e 12 vCPU. Não impõe limites de execução simultânea. O CRACI é hoje apenas Linux, com Windows e macOS no roadmap, pelo que, para esses jobs, o Blacksmith cobre terreno que o CRACI ainda não cobre.

Depuração e análise. Acesso SSH a jobs em execução, histórico de execuções, pesquisa de logs, métricas, monitores, análise de testes e um dashboard de CI são todas funcionalidades documentadas. As Testboxes, que executam alterações locais dentro de um job real de GitHub Actions, estão em beta inicial.

Segurança e conformidade do serviço. Os jobs correm em microVM Firecracker efémeras, e cada job recebe um token just-in-time limitado a esse job que expira ao fim de uma hora. O Blacksmith afirma estar em conformidade com o SOC 2 Type 2 e o RGPD e ser submetido a testes de intrusão todos os trimestres.

Preço e dimensionamento

Em x64, os dois têm o mesmo preço de tabela, $0.004 por minuto com 2 vCPU. O preço do Blacksmith em ARM é claramente mais baixo, já que o CRACI cobra ARM64 à mesma tarifa que x86-64, e o Blacksmith inclui 3.000 minutos x64 gratuitos por mês. O CRACI mede ao segundo, com arredondamento ao segundo mais próximo, pelo que os jobs curtos são faturados pelos segundos que correm. As configurações também diferem: uma unidade de computação do CRACI é 1 vCPU com 3 GB de RAM, de 1 a 32 unidades, enquanto os runners x64 do Blacksmith têm 4 GB por vCPU e os seus runners ARM 3 GB. Escolha a memória de que os seus builds precisam antes de comparar preços. Consulte os preços do CRACI para as condições atuais.

A velocidade não é onde os dois mais diferem. Ambos afirmam que os seus runners são cerca de duas vezes mais rápidos do que os runners alojados pelo GitHub. O CRACI consegue-o com hardware mais rápido, tempos de fila mais curtos e cache. Não fizemos um benchmark entre os dois.

Onde o CRACI é diferente

Um registo do que o build obteve

Durante a execução de cada job, um proxy que reconhece pacotes regista o tráfego para as fontes de pacotes: fontes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e Git, bem como predefinições de descarga. As evidências de dependências acompanham as caches de CI, pelo que os pacotes restaurados de uma cache continuam a ser contabilizados. Cada job produz uma SBOM CycloneDX ou SPDX com um estado de completude por job e por cache: Complete, Complete with connections, Incomplete, Unavailable ou Not recorded.

Controlo sobre o que o build pode alcançar

Os IP estáticos do Blacksmith dão aos seus runners um endereço fixo para chegar a serviços protegidos por firewall. O CRACI também oferece um intervalo estável de IP de egress e acrescenta políticas de egress: negação ou permissão por defeito, 24 predefinições integradas de fontes de software, fontes personalizadas tipadas e regras explícitas de TLS, TCP, UDP e ICMP. As políticas são validadas antes de o job arrancar, falham em modo fechado e enviam um alerta em caso de violação.

Proveniência e monitorização

A API devolve SBOM, traços de rede e proveniência. O CRACI agrega vulnerabilidades de todos os builds e repositórios e continua a reavaliar as SBOM monitorizadas.

Duas perguntas de segurança diferentes

O trabalho de segurança do Blacksmith responde a "posso confiar os meus jobs a este serviço de runners?": microVM isoladas, tokens de curta duração, caches cifradas e um relatório SOC 2. O CRACI também responde a essa pergunta, com máquinas virtuais isoladas e sem guardar código-fonte, e depois a uma segunda: "o que é que este build descarregou, e a que se ligou?" Essa segunda resposta é o que um auditor, um cliente ou o Cyber Resilience Act lhe pedem.

Marque uma demo para ver a SBOM, o traço de rede e a proveniência de um dos seus próprios workflows.

Qual escolher

O Blacksmith é a melhor opção quando

• A velocidade de build e o custo por minuto mais baixo em ARM são os objetivos principais, ou os minutos mensais gratuitos importam.
• Precisa hoje de runners macOS ou Windows.
• Depende de sticky disks, da consola de observabilidade do Blacksmith ou da depuração por SSH.

O CRACI é a melhor opção quando

• Lança software para o qual tem de mostrar o que entrou em cada versão, a partir do próprio build.
• Quer restringir o que os builds podem alcançar, com uma política que falha em modo fechado.
• Precisa de monitorizar o que foi lançado, sem acrescentar ferramentas a cada workflow.
• Precisa de residência de dados na UE, disponível no plano Enterprise do CRACI.

O que perde com o CRACI. Os jobs Windows e macOS, que estão no roadmap, o preço mais baixo em ARM e as ferramentas de depuração e análise do Blacksmith. O que ganha é um registo de build que as equipas de segurança e de conformidade podem usar sem mais um scanner no pipeline.

Para o Cyber Resilience Act

O Cyber Resilience Act da UE espera que os fabricantes saibam o que está em cada versão e tratem as suas vulnerabilidades, com obrigações de reporte a partir de setembro de 2026 e aplicação plena a partir de dezembro de 2027. Um runner rápido não produz essas evidências por si só; teria de acrescentar ferramentas de SBOM e de análise aos seus workflows. O CRACI produ-las a partir do registo do build e exporta SBOM em CycloneDX ou SPDX, incluindo vulnerabilidades. Automatiza uma parte significativa da visibilidade e das evidências da cadeia de abastecimento de software de que as empresas precisam para o seu processo mais amplo de conformidade com o CRA.

Migrar do Blacksmith

O CRACI substitui o runner, não o GitHub Actions. Os workflows e a interface do GitHub mantêm-se, e a etiqueta do job passa a ser runs-on: craci. Os jobs têm Docker Engine, Buildx e Compose v2, uma imagem Ubuntu 24.04 compatível com o GitHub e virtualização aninhada em x86-64. Saiba mais sobre a integração com CI/CD e a geração de SBOM durante o build. As startups podem candidatar-se ao programa para startups.

Blacksmith vs CRACI: perguntas frequentes

Preços, velocidade, plataformas e segurança, com base na informação publicada por cada fornecedor

O que é o Blacksmith CI?

O Blacksmith é um serviço de runners geridos para GitHub Actions. Basta manter os seus workflows e alterar a etiqueta do runner, e os seus jobs passam a correr nas máquinas bare-metal do Blacksmith, em microVM Firecracker, em vez de em runners alojados pelo GitHub. Aposta na velocidade e no preço: hardware mais rápido, uma cache de dependências junto aos runners, cache de camadas Docker e observabilidade de CI.

Quanto custa o Blacksmith?

Em setembro de 2026, o Blacksmith anunciava Ubuntu x64 com 2 vCPU a $0.004 por minuto, Ubuntu ARM a $0.0025, Windows a $0.008 e macOS M4 (6 vCPU) a $0.08. Cada organização recebe 3.000 minutos x64 gratuitos com 2 vCPU por mês. A cache de camadas Docker e os sticky disks custam $0.50 por GB por mês, e os IP estáticos $100 por IP por mês.

O Blacksmith é mais barato do que o CRACI?

Em ARM, sim; em x64, o preço de tabela é o mesmo. O CRACI cobra $0.004 por minuto com 2 vCPU tanto em x86-64 como em ARM64, contra os $0.004 do Blacksmith em x64 e $0.0025 em ARM, e o Blacksmith inclui 3.000 minutos x64 gratuitos por mês. O CRACI mede ao segundo, pelo que os jobs curtos são faturados pelos segundos que correm. O que o CRACI acrescenta no runner é o registo do build: uma SBOM para cada job, uma política de egress, dados de proveniência através da API e monitorização de vulnerabilidades, que de outro modo exigiriam ferramentas separadas.

O Blacksmith é mais rápido do que o CRACI?

Ambos afirmam que os seus runners são cerca de duas vezes mais rápidos do que os runners alojados pelo GitHub. O CRACI consegue-o com hardware mais rápido, tempos de fila mais curtos e cache. Não fizemos um benchmark entre os dois, por isso execute o mesmo workflow em ambos e compare.

O Blacksmith gera SBOM ou proveniência de build?

Não consta das funcionalidades documentadas. O Blacksmith foca-se em computação, cache e observabilidade. O CRACI regista os pacotes que cada job obtém, incluindo pacotes restaurados de caches, e produz uma SBOM CycloneDX ou SPDX com um estado de completude. A API devolve SBOM, traços de rede e proveniência.

O Blacksmith pode restringir o que um build alcança na rede?

O Blacksmith oferece IP estáticos para que os seus jobs possam chegar a serviços protegidos por firewall a partir de um endereço fixo. Uma política sobre aquilo a que o próprio job se pode ligar não consta das funcionalidades documentadas. O CRACI aplica uma política de egress no runner: negação ou permissão por defeito, 24 predefinições integradas de fontes de software, validada antes de o job arrancar e com falha em modo fechado.

O CRACI suporta runners Windows ou macOS?

Ainda não. O CRACI executa hoje Linux em x86-64 e ARM64, com Windows e macOS no roadmap. O Blacksmith oferece macOS em Apple M4 e Windows Server 2025 em beta pública.

Onde correm os jobs, e os dados podem ficar na UE?

O Blacksmith executa jobs em máquinas bare-metal em US East, US West, Amesterdão e Frankfurt, com o seu plano de controlo na AWS. O CRACI executa builds em infraestrutura bare-metal europeia, com residência de dados na UE no plano Enterprise. O CRACI não guarda o seu código-fonte; este é processado na VM do job durante o build.

O Blacksmith está em conformidade com o SOC 2?

O Blacksmith afirma estar em conformidade com o SOC 2 Type 2 e o RGPD e ser submetido a testes de intrusão todos os trimestres. O CRACI documenta os seus controlos de segurança no seu Trust Center.

Tenho de reescrever os meus workflows de GitHub Actions para mudar?

Não. Ambos os produtos substituem o runner, não o GitHub Actions. Os workflows, os triggers e a interface do GitHub mantêm-se; no CRACI, a etiqueta do job passa a ser runs-on: craci.