CRACI vs Buildkite

Det korta svaret

Buildkite är en hybridplattform för CI/CD. Dess SaaS-kontrollplan sköter orkestreringen, och agenterna som kör dina jobb finns på din egen infrastruktur, i egen miljö eller i molnet. Buildkite uppger att källkod och hemligheter stannar i din miljö. Det erbjuder också helt hanterade, hostade agenter om du hellre vill slippa köra egna.

CRACI är en hanterad GitHub Actions-kompatibel runner byggd för säkerhet i leveranskedjan. Den registrerar varje externt beroende som ett bygge hämtar, upprätthåller en egress-policy för byggets nätverk och tar fram SBOM:er, proveniensdata och CRA-bevis från den registreringen. Enkelt uttryckt: Buildkite är traditionell CI med maximal kontroll över infrastrukturen; CRACI är säkerhetsmedveten CI där runnern är beviset.

CRACI har i dag stöd för enbart GitHub Actions, så det kör inte Buildkite-pipelines. Ett team på Buildkite skulle behöva flytta en pipeline till GitHub Actions för att använda CRACI-runners, eller vänta på andra CI-system, som finns på roadmapen.

Vad Buildkite gör bra

Kontroll över beräkningskapaciteten. Eftersom du hostar agenterna väljer du hårdvara, operativsystem, nätverk och region. Agenterna pollar Buildkites agent-API över HTTPS, så du behöver inte öppna inkommande portar i brandväggen. Den modellen passar stora monorepon, specialiserad hårdvara och organisationer vars policyer håller källkoden innanför den egna perimetern.

Pipelinens integritet. Med signerade pipelines signeras jobben vid uppladdning och agenterna verifierar signaturen innan de kör dem, så en agent kör inte ett jobb vars instruktioner har ändrats efter uppladdningen.

Verktyg runt bygget. Test Engine upptäcker och sätter instabila tester i karantän och delar upp tester över parallella jobb. Package Registries kan publicera artefakter med SLSA-proveniens, som enligt Buildkite uppfyller SLSA Build Level 1; den funktionen finns på Enterprise-planer.

Flexibel prissättning. Per september 2026 har Buildkite en Free-plan och en Pro-plan för $30 per aktiv användare och månad, med 10 egna agenter inkluderade i Pro och fler för $3.50 per agent och månad. Hostade Linux-agenter kostar $0.004 per vCPU-minut, mätt per sekund.

Där CRACI är annorlunda

Säkerhetsbevisen är en del av runnern

Med egna agenter är det du som ska säkra byggmiljön. Buildkites egen säkerhetsvägledning säger åt dig att installera minimala operativsystem, stänga av inkommande SSH och upprätthålla strikta kontroller av utgående nätverkstrafik. Det är en rimlig ansvarsfördelning, och den innebär att bevisen om leveranskedjan beror på vad ditt team bygger runt agenterna.

På CRACI följer det lagret med runnern. En paketmedveten proxy registrerar trafiken till paketkällorna medan varje jobb körs, för npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk och Git-källor, plus nedladdningsförinställningar. Beroendebevisen följer med CI-cachar. Varje jobb ger en SBOM i CycloneDX eller SPDX med en fullständighetsstatus per jobb och per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded.

Egress-policy utan att du bygger den själv

CRACI:s egress-policyer nekar eller tillåter som standard, med 24 inbyggda förinställningar för programvarukällor, typade egna källor för npm, PyPI, apt, apk, Go-proxyn, Nix, Cargo, OCI-register och Git, och uttryckliga regler för TLS, TCP, UDP och ICMP. Policyerna valideras innan jobbet startar, blockerar vid fel och skickar en varning vid en överträdelse.

Proveniens och bevakning

API:t returnerar SBOM:er, nätverksspårningar och proveniens. CRACI signerar inte proveniensen. Det sammanställer sårbarheter över byggen och repon och fortsätter att omvärdera bevakade SBOM:er.

Avvägningen

CRACI finns bara som hanterad tjänst. Jobben körs i isolerade virtuella maskiner på CRACI:s infrastruktur, och källkoden bearbetas i jobbets virtuella maskin under byggets gång och lagras inte. På Enterprise-planen erbjuder CRACI datalagring i EU med byggkörning på europeisk bare metal-infrastruktur. Om din policy kräver byggen på din egen hårdvara uppfyller Buildkites modell det kravet, och det gör inte CRACI:s.

Vilket som passar

• Buildkite om du behöver byggen på din egen hårdvara eller i ditt eget nätverk, kör byggen för Windows eller macOS, använder GitLab eller Bitbucket eller arbetar i en skala där det lönar sig att äga beräkningskapaciteten.
• CRACI om du använder GitHub Actions och vill ha bevis från bygget utan att själv bygga och driva lösningen: registrerade beroenden, egress-policy och CRA-bevis från en enda runner.
• Båda om din organisation är delad: Buildkite för pipelines som måste stanna på din hårdvara, CRACI för GitHub Actions-arbetsflöden på Linux. Tunga Linux-byggen, som Yocto-avbilder, kan köras på CRACI-runners med upp till 32 vCPU och 96 GB RAM, som beskrivs i CRACI:s guide för Yocto.

För Cyber Resilience Act

EU:s Cyber Resilience Act kräver att tillverkare vet vad som finns i varje release och hanterar dess sårbarheter, med rapporteringsskyldigheter från september 2026 och full tillämpning från december 2027. På Buildkite kommer de bevisen från de verktyg du kör på dina agenter. CRACI tar fram dem från byggregistreringen, fortsätter att bevaka det som levererats och exporterar SBOM:er i CycloneDX eller SPDX, sårbarheter inräknade. Det automatiserar en betydande del av den insyn i och de bevis om leveranskedjan för programvara som företag behöver i sitt bredare arbete med CRA-efterlevnad.

Att lägga till CRACI

För ett repository på GitHub med GitHub Actions-arbetsflöden installerar du CRACI GitHub App i din organisation och sätter runneretiketten:

runs-on: craci

Körningarna syns fortfarande i GitHubs gränssnitt. Läs mer om SBOM-generering under bygget och hur CRACI hanterar säkerhet, eller se priser.