CRACI vs Blacksmith CI

Det korta svaret

Blacksmith är en tjänst med hanterade runners för GitHub Actions, byggd för hastighet och kostnad: runners för Linux, Windows och macOS på bare metal-hårdvara, en samlokaliserad cache för beroenden, cachning av Docker-lager på beständiga diskar och insyn i CI. Om ditt enda mål är snabbare och billigare GitHub Actions är Blacksmith ett starkt alternativ: dess listpris för x64 är detsamma som CRACI:s, dess ARM-pris är lägre och det inkluderar 3 000 gratisminuter på x64 i månaden.

CRACI är CI med inbyggd hantering av säkerheten i leveranskedjan. Det är också en GitHub Actions-kompatibel runner, och bytet är samma sorts ändring på en rad, men säkerheten är en del av runnern snarare än ett verktyg som lagts till på den. CRACI registrerar varje externt beroende som bygget hämtade, upprätthåller en egress-policy för byggets nätverk och gör om den registreringen till SBOM:er, sårbarhetsbevakning och CRA-bevis. Båda produkterna konkurrerar om samma runnerbudget, så du väljer en av dem.

I korthet

Vad Blacksmith gör bra

Fokus på prestanda. Blacksmith kör jobb på bare metal-maskiner med hög enkeltrådsprestanda och uppger att runnerna är dubbelt så snabba som GitHub-hostade runners och att den samlokaliserade cachen laddar ner ungefär fyra gånger snabbare. För Docker-byggen rapporterar företaget att kunder har sett förbättringar på 2 till 40 gånger med lagercachning. Det är Blacksmiths siffror; din egen pipeline är det verkliga testet.

Cachning utan ändringar i arbetsflödet. GitHubs officiella cache- och setup-actions kommunicerar med Blacksmiths cache transparent, med 25 GB gratis lagring per repository och vecka och borttagning av de minst nyligen använda posterna efter sju dagar. Sticky disks och cachning av Docker-lager bevarar tillstånd mellan körningar för $0.50 per GB och månad, och dokumentationen tar också upp cachning för Bazel, Git-utcheckning och containeravbilder.

Plattformstäckning. Blacksmith erbjuder Ubuntu 22.04 och 24.04 på x64 och ARM från 2 till 32 vCPU, Windows Server 2025 i öppen beta och macOS på Apple M4 i storlekarna 6 och 12 vCPU. Det sätter inga gränser för samtidighet. CRACI kör bara Linux i dag, med Windows och macOS på roadmapen, så för de jobben täcker Blacksmith ett område som CRACI ännu inte gör.

Felsökning och analys. SSH-åtkomst till jobb som körs, körhistorik, loggsökning, mätvärden, monitorer, testanalys och en CI-instrumentpanel är alla dokumenterade funktioner. Testboxes, som kör lokala ändringar i ett riktigt GitHub Actions-jobb, är i tidig beta.

Tjänstens säkerhet och efterlevnad. Jobben körs i tillfälliga Firecracker-microVM:ar, och varje jobb får en just-in-time-token som är begränsad till det jobbet och går ut efter en timme. Blacksmith uppger att det uppfyller SOC 2 Type 2 och GDPR och penetrationstestas varje kvartal.

Pris och storlekar

På x64 har de två samma listpris, $0.004 per minut med 2 vCPU. Blacksmiths ARM-pris är klart lägre, eftersom CRACI debiterar ARM64 till samma pris som x86-64, och Blacksmith inkluderar 3 000 gratisminuter på x64 i månaden. CRACI mäter per sekund, avrundat till närmaste sekund, så korta jobb debiteras för de sekunder de körs. Storlekarna skiljer sig också: en beräkningsenhet hos CRACI är 1 vCPU med 3 GB RAM, från 1 till 32 enheter, medan Blacksmiths x64-runners har 4 GB per vCPU och dess ARM-runners 3 GB. Matcha det minne som dina byggen behöver innan du jämför priser. Se CRACI:s priser för aktuella villkor.

Det är inte i hastighet som de två skiljer sig mest. Båda säger att deras runners är ungefär dubbelt så snabba som GitHub-hostade runners. CRACI når dit med snabbare hårdvara, kortare kötider och cachning. Vi har inte benchmarkat de två mot varandra.

Där CRACI är annorlunda

En registrering av vad bygget hämtade

Medan varje jobb körs registrerar en paketmedveten proxy trafiken till paketkällorna: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk och Git-källor, plus nedladdningsförinställningar. Beroendebevisen följer med CI-cachar, så paket som återställs från en cache räknas ändå. Varje jobb ger en SBOM i CycloneDX eller SPDX med en fullständighetsstatus per jobb och per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded.

Kontroll över vad bygget kan nå

Blacksmiths statiska IP-adresser ger dina runners en fast adress för att nå tjänster bakom brandväggar. CRACI erbjuder också ett stabilt IP-intervall för utgående trafik och lägger till egress-policyer: neka som standard eller tillåt som standard, 24 inbyggda förinställningar för programvarukällor, typade egna källor och uttryckliga regler för TLS, TCP, UDP och ICMP. Policyerna valideras innan jobbet startar, blockerar vid fel och skickar en varning vid en överträdelse.

Proveniens och bevakning

API:t returnerar SBOM:er, nätverksspårningar och proveniens. CRACI sammanställer sårbarheter över byggen och repon och fortsätter att omvärdera bevakade SBOM:er.

Två olika säkerhetsfrågor

Blacksmiths säkerhetsarbete besvarar frågan "är runnertjänsten säker att anförtro mina jobb?": isolerade microVM:ar, kortlivade tokens, krypterade cachar och en SOC 2-rapport. CRACI besvarar också den frågan, med isolerade virtuella maskiner och ingen lagrad källkod, och sedan en till: "vad drog det här bygget in, och vart anslöt det?" Det andra svaret är det som en revisor, en kund eller Cyber Resilience Act begär av dig.

Boka en demo för att se SBOM:en, nätverksspårningen och proveniensen från ett av dina egna arbetsflöden.

Vilket som passar

Blacksmith passar bättre när

• Bygghastighet och lägsta kostnad per minut på ARM är huvudmålen, eller när gratisminuterna varje månad spelar roll.
• Du behöver macOS- eller Windows-runners i dag.
• Du förlitar dig på sticky disks, Blacksmiths konsol för insyn eller felsökning via SSH.

CRACI passar bättre när

• Du levererar programvara där du måste visa vad som ingick i varje release, utifrån själva bygget.
• Du vill begränsa vad byggen kan nå, med en policy som blockerar vid fel.
• Du behöver bevakning av det som levererats, utan att lägga till verktyg i varje arbetsflöde.
• Du behöver datalagring i EU, som finns på CRACI:s Enterprise-plan.

Vad du avstår från med CRACI. Jobb på Windows och macOS, som finns på roadmapen, det lägsta ARM-priset och Blacksmiths verktyg för felsökning och analys. Det du vinner är en byggregistrering som säkerhets- och efterlevnadsteamen kan använda utan ytterligare en skanner i pipelinen.

För Cyber Resilience Act

EU:s Cyber Resilience Act förväntar sig att tillverkare vet vad som finns i varje release och hanterar dess sårbarheter, med rapporteringsskyldigheter från september 2026 och full tillämpning från december 2027. En snabb runner tar inte fram de bevisen av sig själv; du skulle behöva lägga till SBOM- och skanningsverktyg i dina arbetsflöden. CRACI tar fram dem från byggregistreringen och exporterar SBOM:er i CycloneDX eller SPDX, sårbarheter inräknade. Det automatiserar en betydande del av den insyn i och de bevis om leveranskedjan för programvara som företag behöver i sitt bredare arbete med CRA-efterlevnad.

Att byta från Blacksmith

CRACI ersätter runnern, inte GitHub Actions. Arbetsflödena och GitHubs gränssnitt förblir desamma, och jobbets etikett blir runs-on: craci. Jobben får Docker Engine, Buildx och Compose v2, en GitHub-kompatibel Ubuntu 24.04-avbild och nästlad virtualisering på x86-64. Läs mer om CI/CD-integration och SBOM-generering under bygget. Startups kan ansöka till startupprogrammet.

Blacksmith vs CRACI: vanliga frågor

Priser, hastighet, plattformar och säkerhet, besvarade utifrån varje leverantörs publicerade information

Vad är Blacksmith CI?

Blacksmith är en tjänst med hanterade runners för GitHub Actions. Du behåller dina arbetsflöden och ändrar runneretiketten, och dina jobb körs på Blacksmiths bare metal-maskiner i Firecracker-microVM:ar i stället för på GitHub-hostade runners. Tjänsten säljs på hastighet och pris: snabbare hårdvara, en samlokaliserad cache för beroenden, cachning av Docker-lager och insyn i CI.

Vad kostar Blacksmith?

Per september 2026 listar Blacksmith Ubuntu x64 med 2 vCPU till $0.004 per minut, Ubuntu ARM till $0.0025, Windows till $0.008 och macOS M4 (6 vCPU) till $0.08. Varje organisation får 3 000 gratisminuter med 2 vCPU x64 i månaden. Cachning av Docker-lager och sticky disks kostar $0.50 per GB och månad, och statiska IP-adresser $100 per IP och månad.

Är Blacksmith billigare än CRACI?

På ARM, ja; på x64 är listpriset detsamma. CRACI tar $0.004 per minut för 2 vCPU på både x86-64 och ARM64, mot Blacksmiths $0.004 på x64 och $0.0025 på ARM, och Blacksmith inkluderar 3 000 gratisminuter på x64 i månaden. CRACI mäter per sekund, så korta jobb debiteras för de sekunder de körs. Det CRACI lägger till i runnern är byggregistreringen: en SBOM för varje jobb, en egress-policy, proveniensdata via API:t och sårbarhetsbevakning, som annars skulle kräva separata verktyg.

Är Blacksmith snabbare än CRACI?

Båda säger att deras runners är ungefär dubbelt så snabba som GitHub-hostade runners. CRACI når dit med snabbare hårdvara, kortare kötider och cachning. Vi har inte benchmarkat de två mot varandra, så kör samma arbetsflöde på båda och jämför.

Genererar Blacksmith SBOM:er eller byggproveniens?

Det finns inte bland de dokumenterade funktionerna. Blacksmith fokuserar på beräkningskapacitet, cachning och insyn. CRACI registrerar paketen som varje jobb hämtar, även paket som återställs från cachar, och tar fram en SBOM i CycloneDX eller SPDX med en fullständighetsstatus. API:t returnerar SBOM:er, nätverksspårningar och proveniens.

Kan Blacksmith begränsa vad ett bygge kan nå i nätverket?

Blacksmith erbjuder statiska IP-adresser så att dina jobb kan nå tjänster bakom brandväggar från en fast adress. En policy för vad jobbet självt får ansluta till finns inte bland de dokumenterade funktionerna. CRACI upprätthåller en egress-policy i runnern: neka eller tillåt som standard, 24 inbyggda förinställningar för programvarukällor, validerad innan jobbet startar och som blockerar vid fel.

Har CRACI stöd för Windows- eller macOS-runners?

Inte ännu. CRACI kör Linux på x86-64 och ARM64 i dag, med Windows och macOS på roadmapen. Blacksmith erbjuder macOS på Apple M4 och Windows Server 2025 i öppen beta.

Var körs jobben, och kan data stanna i EU?

Blacksmith kör jobb på bare metal-maskiner i US East, US West, Amsterdam och Frankfurt, med sitt kontrollplan på AWS. CRACI kör byggen på europeisk bare metal-infrastruktur, med datalagring i EU på Enterprise-planen. CRACI lagrar inte din källkod; den bearbetas i jobbets virtuella maskin under byggets gång.

Uppfyller Blacksmith SOC 2?

Blacksmith uppger att det uppfyller SOC 2 Type 2 och GDPR och penetrationstestas varje kvartal. CRACI dokumenterar sina säkerhetskontroller i sitt Trust Center.

Måste jag skriva om mina GitHub Actions-arbetsflöden för att byta?

Nej. Båda produkterna ersätter runnern, inte GitHub Actions. Arbetsflöden, triggers och GitHubs gränssnitt förblir desamma; på CRACI blir jobbets etikett runs-on: craci.