CRACI vs Ubicloud

A resposta curta

O Ubicloud é uma alternativa open source às grandes clouds, e os seus runners geridos de GitHub Actions estão entre os mais baratos que pode comprar: um runner de 2 vCPU custa $0.002 por minuto em hardware x64 premium e $0.00125 em x64 standard ou arm64, em setembro de 2026. Se o seu objetivo é reduzir a fatura do GitHub Actions para jobs Linux, o Ubicloud custa menos do que o CRACI, e também corre na Europa.

O CRACI é uma CI que trata nativamente da segurança da cadeia de abastecimento. É também um runner compatível com GitHub Actions, e a mudança é o mesmo tipo de alteração de uma linha, mas a segurança faz parte do runner em vez de ser uma ferramenta acrescentada. O CRACI regista todas as dependências externas que o build obteve, aplica uma política de egress na rede do build e transforma esse registo em SBOM, monitorização de vulnerabilidades e evidências. Ambos os produtos competem pelo mesmo orçamento de runners, pelo que tem de escolher um.

Visão geral

O que o Ubicloud faz bem

Preço. O Ubicloud corre em bare metal alugado e repercute a poupança. Afirma que os seus runners reduzem a fatura do GitHub Actions de quatro a sete vezes e oferecem sete vezes a relação preço-desempenho dos runners alojados no GitHub. Estes números são do Ubicloud, mas os preços de tabela confirmam a tendência: a $0.00125 a $0.002 por minuto com 2 vCPU, fica bem abaixo do GitHub e do CRACI.

Escolha de hardware. Os runners x64 standard usam processadores AMD EPYC, os runners premium usam chips AMD Ryzen 9 7950X3D otimizados para velocidade em thread único, e os runners arm64 usam Ampere Altra com um núcleo físico dedicado por vCPU. As novas contas recebem premium por defeito e passam para standard quando a capacidade premium está esgotada. Os tamanhos vão de 2 a 30 vCPU, com imagens construídas a partir dos próprios modelos runner-images do GitHub.

Cache sem alterar os workflows. A cache transparente do Ubicloud serve actions/cache, as setup actions e a cache de camadas Docker a partir de armazenamento próximo dos runners, o que o Ubicloud diz ser até quatro vezes mais rápido, com 30 GB por repositório por semana. O acesso SSH ajuda a depurar um workflow que falha.

Open source e isolamento. O código do Ubicloud é público sob AGPL-3.0, pelo que pode ler como funciona ou operá-lo por conta própria. Cada job recebe uma máquina virtual KVM limpa e efémera cujo armazenamento em bloco é depois eliminado, registada através da API just-in-time de runners do GitHub, e os runners estão alojados em centros de dados na Alemanha.

Preço e dimensionamento

O preço de tabela do Ubicloud é mais baixo em todos os tamanhos. Os $0.004 por minuto com 2 vCPU do CRACI são o dobro da tarifa x64 premium do Ubicloud e mais do triplo das suas tarifas standard e arm64. O CRACI mede ao segundo, arredondado ao segundo mais próximo, e o Ubicloud fatura ao minuto, pelo que os jobs curtos reduzem a diferença: um job de 30 segundos custa $0.002 no CRACI, o mesmo que um minuto faturado em x64 premium no Ubicloud. As configurações também diferem: os runners x64 do Ubicloud têm 4 GB de RAM por vCPU, os seus runners arm64 têm 3 GB, e uma unidade de computação do CRACI é 1 vCPU com 3 GB. Consulte os preços do CRACI para as condições atuais.

O preço não é o campo em que o CRACI compete. Ambos dizem que os seus runners são cerca de duas vezes mais rápidos do que os runners alojados no GitHub; o CRACI consegue-o com hardware mais rápido, tempos de fila mais curtos e cache. Não comparámos os dois em testes de desempenho.

Onde o CRACI é diferente

Um registo do que o build obteve

Enquanto cada job corre, um proxy que reconhece pacotes regista o tráfego para fontes de pacotes: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e Git, além de predefinições de descarga. A evidência das dependências acompanha as caches de CI, pelo que os pacotes restaurados de uma cache continuam a ser contabilizados. Isto inclui as dependências ocultas que nenhum lockfile lista, como código transferido por hooks de instalação ou scripts de build, e as camadas da imagem base. Cada job produz uma SBOM CycloneDX ou SPDX com um estado de completude por job e por cache: Complete, Complete with connections, Incomplete, Unavailable ou Not recorded.

Controlo sobre o que o build pode alcançar

Uma VM limpa por job impede que um job envenene o seguinte. Não impede que uma dependência comprometida envie os seus segredos para algum lado durante o job. A política de egress do CRACI impede: negação ou permissão por defeito, 24 predefinições integradas de fontes de software, fontes personalizadas tipadas e regras explícitas de TLS, TCP, UDP e ICMP. As políticas são validadas antes de o job arrancar, falham em modo fechado e enviam um alerta em caso de violação. Como a política permite apenas aquilo de que o build precisa, bloqueia a exfiltração para hosts de que o build não precisa, mesmo num ataque que ninguém viu antes.

Proveniência e monitorização

A API devolve SBOM, traços de rede e proveniência. O CRACI não assina a proveniência. Agrega vulnerabilidades de todos os builds e repositórios e continua a reavaliar as SBOM monitorizadas.

Duas perguntas de segurança diferentes

O trabalho de segurança do Ubicloud responde a "posso confiar os meus jobs a este runner?": máquinas virtuais isoladas, registo just-in-time, encriptação e código-fonte publicado. O CRACI responde também a essa pergunta, com máquinas virtuais isoladas, sem guardar código-fonte e com certificação ISO 27001, e depois a uma segunda: "o que trouxe este build e a que se ligou?" Essa segunda resposta é a que um auditor, um cliente ou o Cyber Resilience Act lhe pede.

Marque uma demo para ver a SBOM, o traço de rede e a proveniência de um dos seus próprios workflows.

Qual se adequa melhor

O Ubicloud é a melhor opção quando

• O preço por minuto mais baixo para jobs Linux é o objetivo principal.
• Quer uma plataforma open source que também possa operar por conta própria.
• Já usa o Ubicloud para computação ou PostgreSQL e quer a CI na mesma fatura.

O CRACI é a melhor opção quando

• Distribui software em que tem de mostrar o que entrou em cada versão, a partir do próprio build.
• Quer restringir o que os builds podem alcançar, com uma política que falha em modo fechado.
• Precisa de monitorizar o que foi distribuído, sem acrescentar ferramentas a cada workflow.
• Precisa de residência de dados na UE como condição contratual, disponível no plano Enterprise do CRACI.

O que abdica com o CRACI. O preço do Ubicloud, mais baixo em todos os tamanhos, e o seu código open source. O que ganha é um registo do build que as equipas de segurança e conformidade podem usar sem outro scanner no pipeline.

Para o Cyber Resilience Act

O Cyber Resilience Act da UE espera que os fabricantes saibam o que está em cada versão e tratem as respetivas vulnerabilidades, com obrigações de reporte a partir de setembro de 2026 e aplicação plena a partir de dezembro de 2027. Um runner de baixo custo não produz essas evidências por si só; teria de acrescentar ferramentas de SBOM e de análise aos seus workflows. O CRACI produz essas evidências a partir do registo do build e exporta SBOM em CycloneDX ou SPDX. Automatiza uma parte significativa da visibilidade da cadeia de abastecimento de software e das evidências de que as empresas precisam para o seu processo mais amplo de conformidade com o CRA.

Migrar do Ubicloud

O CRACI substitui o runner, não o GitHub Actions. Os workflows e a interface do GitHub ficam iguais, e a etiqueta do job passa a ser runs-on: craci. Os jobs têm Docker Engine, Buildx e Compose v2, uma imagem Ubuntu 24.04 compatível com o GitHub e virtualização aninhada em x86-64. Saiba mais sobre a integração de CI/CD e a geração de SBOM durante o build. As startups podem candidatar-se ao programa para startups.

Ubicloud vs CRACI: perguntas frequentes

Preços, velocidade, alojamento e segurança, com base na informação publicada por cada fornecedor

O que é o Ubicloud?

O Ubicloud é uma cloud open source: computação, PostgreSQL gerido, Kubernetes e runners de GitHub Actions, construída sobre fornecedores bare-metal como Hetzner, Leaseweb e AWS Bare Metal. Pode usar o seu serviço gerido ou operá-lo por conta própria. Os seus runners de GitHub Actions ativam-se com uma etiqueta, e cada job recebe uma máquina virtual limpa e efémera. O Ubicloud fez parte do grupo W24 da Y Combinator e angariou $16M em financiamento seed.

Quanto custam os runners do Ubicloud?

Em setembro de 2026, um runner x64 de 2 vCPU custa $0.00125 por minuto em hardware standard e $0.002 em hardware premium, que as novas contas recebem por defeito. Um runner arm64 de 2 vCPU custa $0.00125. A faturação é ao minuto, e cada conta recebe um crédito mensal de $2.50, cerca de 1.250 minutos. A página de marketing do Ubicloud indica também runners standard a partir de $0.0010 por minuto; os valores aqui apresentados vêm da sua documentação de preços.

O Ubicloud é mais barato do que o CRACI?

Sim. O CRACI cobra $0.004 por minuto com 2 vCPU, tanto em x86-64 como em ARM64. Os runners de 2 vCPU do Ubicloud custam $0.002 em x64 premium e $0.00125 em x64 standard e em arm64. O CRACI mede ao segundo e o Ubicloud ao minuto, o que reduz a diferença em jobs curtos: um job de 30 segundos custa $0.002 no CRACI, o mesmo que um minuto faturado em x64 premium no Ubicloud. O que o CRACI acrescenta no runner é o registo do build: uma SBOM para cada job, uma política de egress, dados de proveniência e monitorização de vulnerabilidades.

O Ubicloud é mais rápido do que o CRACI?

O Ubicloud afirma que os seus runners são duas vezes mais rápidos do que os runners alojados no GitHub, e o CRACI executa builds cerca de duas vezes mais depressa do que os runners alojados no GitHub, graças a hardware mais rápido, tempos de fila mais curtos e cache. Não comparámos os dois em testes de desempenho, por isso execute o mesmo workflow em ambos e compare.

O Ubicloud gera SBOM ou proveniência de build?

Não consta das suas funcionalidades documentadas. Os runners do Ubicloud concentram-se em preço, desempenho e isolamento dos jobs. O CRACI regista os pacotes que cada job obtém, incluindo os restaurados de caches, e produz uma SBOM CycloneDX ou SPDX com um estado de completude. A API devolve SBOM, traços de rede e proveniência.

O Ubicloud pode restringir o que um build alcança na rede?

Uma política de egress para jobs de runner não consta das funcionalidades da documentação de GitHub Actions do Ubicloud, que cobre máquinas virtuais isoladas, registo de runners just-in-time e retenção de registos de metadados. O CRACI aplica uma política de egress no runner: negação ou permissão por defeito, 24 predefinições integradas de fontes de software, validada antes de o job arrancar e com falha em modo fechado.

Onde correm os jobs, e os dados podem ficar na UE?

O Ubicloud distribui os seus runners de GitHub Actions por centros de dados na Alemanha. O CRACI executa builds em infraestrutura bare-metal europeia, com residência de dados na UE no plano Enterprise. O CRACI não guarda o seu código-fonte; este é processado na VM do job durante o build.

Tenho de reescrever os meus workflows de GitHub Actions para mudar?

Não. Ambos os produtos substituem o runner, não o GitHub Actions. Os workflows, os triggers e a interface do GitHub ficam iguais; no CRACI, a etiqueta do job passa a ser runs-on: craci.