Vad CRACI kan nå, och vad det sparar

Varför frågan förtjänar ett rakt svar

En CI-runner ser mer än de flesta verktyg i din stack. Den checkar ut din källkod, installerar dina beroenden och har hemligheterna som dina arbetsflöden använder för att publicera paket och driftsätta. När GitHub Action tj-actions/changed-files komprometterades i mars 2025 rapporterade CISA att den skadliga koden exponerade hemligheter som åtkomstnycklar, personliga åtkomsttokens för GitHub, npm-tokens och privata RSA-nycklar. Runnern är där dessa hemligheter finns medan ett jobb körs.

Så innan du pekar ett arbetsflöde mot CRACI bör du veta exakt vad det kan nå. Svaren finns nedan, och CRACI Trust Center och docs.craci.com har detaljerna.

Vad GitHub-appen är till för

CRACI ersätter runnern, inte GitHub Actions. Du behåller dina arbetsflöden, ändrar runs-on till craci för de jobb du väljer, och körningarna syns fortfarande i GitHubs gränssnitt. För att det ska fungera installerar din organisation CRACI:s GitHub-app.

När du installerar den ger du appen åtkomst till antingen alla repon eller ett urval. Bara de repon du ger åtkomst till kan köra arbetsflöden på CRACI.

De exakta behörigheter som appen begär står på installationsskärmen i GitHub, och du kan granska dem i efterhand i din organisations inställningar. Kort sagt kan appen läsa din kod och dina Actions-körningar, och den hanterar de runners den registrerar för din organisation.

Var din kod körs

Jobb körs i isolerade virtuella maskiner. Byggen körs på europeisk bare metal-infrastruktur. Din källkod behandlas inne i jobbets virtuella maskin under byggets gång.

Varje jobb körs på en av tre avbilder: CRACI Slim, CRACI Slim ARM64 eller en GitHub-kompatibel Ubuntu 24.04-avbild. Runners finns bara för Linux i dag; Windows och macOS finns på roadmapen.

Hur jobb isoleras, och vad som händer med ett jobbs virtuella maskin när jobbet är slut, beskrivs på docs.craci.com och i Trust Center.

Vad CRACI lagrar, och hur länge

CRACI behandlar din källkod i jobbets virtuella maskin medan bygget körs och lagrar den inte. Det som sparas är underlaget som CRACI registrerar om varje bygge, plus cacharna som dina arbetsflöden sparar:

• Byggmetadata
• Paketdata, det vill säga beroendena som varje jobb hämtade
• Nätverksspårningar från jobbet
• SBOM:er
• Proveniensposter
• Cachar
• Granskningsposter

En cache innehåller det som ditt arbetsflöde lägger i den, så behandla cacheinnehåll som du behandlar andra byggresultat.

Standardlagringstiden är 180 dagar. Enterprise-planer kan ställa in en anpassad lagringstid. Radering av data och kryptering beskrivs i Trust Center.

Hosting och datalagringsplats

CRACI hostas i Europa och erbjuder datalagring i EU, med byggen som körs på europeisk bare metal-infrastruktur. Plattformen körs hos Hetzner, en tysk leverantör, i ett datacenter i Tuusula i Finland. Se datalagringsplats för vilka data CRACI hanterar.

Kontroller du får över själva bygget

En runner som ser dina hemligheter bör också låta dig begränsa vart de kan ta vägen. CRACI:s egress-policyer sätter neka eller tillåt som standard för varje jobb, med 24 inbyggda förinställningar för vanliga programvarukällor och typade anpassade källor för register som npm, PyPI, Cargo, Go proxy och OCI. Du kan också skriva uttryckliga TLS-, TCP-, UDP- och ICMP-regler. Policyer valideras innan jobbet startar, blockerar vid fel och avvisar okända fält. Larm flaggar policyöverträdelser.

Jobb går ut från ett stabilt IP-intervall för utgående trafik, så du kan släppa igenom CRACI-runners i dina egna brandväggar efter adress.

Åtkomst i din organisation

• Enterprise-planer har stöd för SAML single sign-on, med Google Workspace som identitetsleverantör.
• En granskningslogg för administratörer registrerar administrativa åtgärder. Den finns i gränssnittet och går ännu inte att exportera.
• API-tokens skapas av administratörer, kan återkallas när som helst och går ut efter 90 dagar.

Så håller du omfattningen liten

Du behöver inte ge CRACI hela din organisation för att utvärdera det.

1. Installera på utvalda repon. Välj ”Only select repositories” när du installerar appen och plocka ut ett eller två. Du kan utöka eller minska urvalet senare från din organisations Settings, under GitHub Apps, CRACI, Configure. Ändringen gäller omedelbart.
2. Flytta ett jobb i taget. Bara jobb med runs-on: craci körs på CRACI. Allt annat stannar på den runner det använder i dag.
3. Börja med ett jobb som har få hemligheter. Ett test- eller lint-jobb visar dig SBOM:en och nätverksunderlaget utan att du lägger inloggningsuppgifter för publicering eller driftsättning på en ny runner.
4. Slå på en egress-policy som nekar som standard. Tillåt paketkällorna som jobbet behöver och inget annat.
5. Ha koll på hur du lämnar. I GitHub kan du stänga av appen tillfälligt, vilket blockerar dess åtkomst men behåller installationen, eller avinstallera den, vilket tar bort dess åtkomst till din organisation.

Vår säkerhetshållning

Vår säkerhetssida förklarar hur vi ser på det: dokumenterat, inte påstått. Trust Center samlar policyerna, kontrollerna och dokumentationen bakom plattformen, och det är där du kan begära material för en leverantörsbedömning.

Den här sidan gör inga anspråk på certifieringar. För aktuell status för vårt säkerhetsprogram och eventuellt revisionsarbete, se Trust Center.