CRACI vs Buildkite

A resposta curta

O Buildkite é uma plataforma de CI/CD híbrida. O seu plano de controlo SaaS trata da orquestração, e os agentes que executam os seus jobs estão na sua própria infraestrutura, on-premises ou na cloud. O Buildkite afirma que o código-fonte e os segredos ficam dentro do seu ambiente. Oferece também agentes alojados totalmente geridos, se preferir não gerir os seus.

O CRACI é um runner gerido compatível com GitHub Actions, criado para a segurança da cadeia de abastecimento. Regista todas as dependências externas que um build obtém, aplica uma política de egress à rede do build e produz SBOM, dados de proveniência e evidências para o CRA a partir desse registo. Em suma: o Buildkite é um CI tradicional com o máximo controlo sobre a infraestrutura; o CRACI é um CI consciente da segurança, em que o runner é a evidência.

O CRACI suporta hoje apenas GitHub Actions, pelo que não executa pipelines do Buildkite. Uma equipa no Buildkite teria de passar um pipeline para GitHub Actions para usar runners do CRACI, ou aguardar por outros sistemas de CI, que estão no roadmap.

O que o Buildkite faz bem

Controlo sobre a computação. Como é a sua empresa que aloja os agentes, escolhe o hardware, o sistema operativo, a rede e a região. Os agentes consultam a API de agentes do Buildkite por HTTPS, pelo que não precisa de abrir portas de entrada na firewall. Esse modelo adequa-se a grandes monorepos, a hardware especializado e a organizações cujas políticas mantêm o código-fonte dentro do seu próprio perímetro.

Integridade dos pipelines. Com pipelines assinados, os jobs são assinados no carregamento e os agentes verificam a assinatura antes de os executar, pelo que um agente não executa um job cujas instruções tenham sido modificadas após o carregamento.

Ferramentas à volta do build. O Test Engine deteta e coloca em quarentena testes instáveis e divide os testes por jobs paralelos. Os Package Registries podem publicar artefactos com proveniência SLSA, que o Buildkite afirma cumprir o SLSA Build Level 1; essa funcionalidade está disponível nos planos Enterprise.

Preços flexíveis. Em setembro de 2026, o Buildkite tinha um plano Free e um plano Pro a $30 por utilizador ativo por mês, com 10 agentes self-hosted incluídos no Pro e agentes adicionais a $3.50 por agente por mês. Os agentes Linux alojados custam $0.004 por vCPU-minuto, medidos ao segundo.

Onde o CRACI é diferente

As evidências de segurança fazem parte do runner

Com agentes self-hosted, a segurança do ambiente de build fica a seu cargo. As próprias orientações de segurança do Buildkite recomendam instalar sistemas operativos mínimos, desativar o SSH de entrada e aplicar controlos rigorosos de egress de rede. É uma divisão de responsabilidades justa, e significa que as evidências da cadeia de abastecimento dependem do que a sua equipa constrói à volta dos agentes.

No CRACI, essa camada vem com o runner. Um proxy que reconhece pacotes regista o tráfego para as fontes de pacotes durante a execução de cada job, em fontes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e Git, bem como predefinições de descarga. As evidências de dependências acompanham as caches de CI. Cada job produz uma SBOM CycloneDX ou SPDX com um estado de completude por job e por cache: Complete, Complete with connections, Incomplete, Unavailable ou Not recorded.

Política de egress sem ter de a construir

As políticas de egress do CRACI são de negação ou de permissão por defeito, com 24 predefinições integradas de fontes de software, fontes personalizadas tipadas para npm, PyPI, apt, apk, o proxy Go, Nix, Cargo, registos OCI e Git, e regras explícitas de TLS, TCP, UDP e ICMP. As políticas são validadas antes de o job arrancar, falham em modo fechado e enviam um alerta em caso de violação.

Proveniência e monitorização

A API devolve SBOM, traços de rede e proveniência. O CRACI não assina a proveniência. Agrega vulnerabilidades de todos os builds e repositórios e continua a reavaliar as SBOM monitorizadas.

A contrapartida

O CRACI é exclusivamente gerido. Os jobs correm em máquinas virtuais isoladas na infraestrutura do CRACI, e o código-fonte é processado na VM do job durante o build e não é guardado. No plano Enterprise, o CRACI oferece residência de dados na UE com execução dos builds em infraestrutura bare-metal europeia. Se a sua política exige builds no seu próprio hardware, o modelo do Buildkite cumpre esse requisito e o do CRACI não.

Qual escolher

• Buildkite se precisa de builds no seu próprio hardware ou rede, executa builds Windows ou macOS, usa GitLab ou Bitbucket, ou opera a uma escala em que ter computação própria compensa.
• CRACI se usa GitHub Actions e quer evidências de build sem ter de as construir e operar: dependências registadas, política de egress e evidências para o CRA a partir de um só runner.
• Ambos se a sua organização está dividida: o Buildkite para pipelines que têm de ficar no seu hardware, o CRACI para workflows de GitHub Actions em Linux. Builds Linux pesados, como imagens Yocto, podem correr em runners do CRACI de até 32 vCPU e 96 GB de RAM, como descrito no guia de Yocto do CRACI.

Para o Cyber Resilience Act

O Cyber Resilience Act da UE exige que os fabricantes saibam o que está em cada versão e tratem as suas vulnerabilidades, com obrigações de reporte a partir de setembro de 2026 e aplicação plena a partir de dezembro de 2027. No Buildkite, essas evidências vêm das ferramentas que executa nos seus agentes. O CRACI produ-las a partir do registo do build, continua a monitorizar o que foi lançado e exporta SBOM em CycloneDX ou SPDX, incluindo vulnerabilidades. Automatiza uma parte significativa da visibilidade e das evidências da cadeia de abastecimento de software de que as empresas precisam para o seu processo mais amplo de conformidade com o CRA.

Adicionar o CRACI

Para um repositório no GitHub com workflows de GitHub Actions, instale a GitHub App do CRACI na sua organização e defina a etiqueta do runner:

runs-on: craci

As execuções continuam a aparecer na interface do GitHub. Saiba mais sobre a geração de SBOM durante o build e como o CRACI trata a segurança, ou consulte os preços.