CI/CD-verktyg och plattformar i jämförelse

Vem den här sidan är för

Du väljer en CI/CD-plattform, eller ser över den du har, och en ny fråga står på listan. En kund, en revisor eller EU:s Cyber Resilience Act frågar vad som ingick i varje release. Varje plattform här kan köra dina byggen. Skillnaden är var de bevisen kommer ifrån och hur mycket av dem du får sätta ihop själv.

CRACI finns på den här sidan av det skälet, och det är ingen CI-plattform. Det är en runner för GitHub Actions: du behåller GitHub Actions och ändrar runs-on till craci. CRACI har i dag stöd för enbart GitHub Actions, med GitLab CI och Jenkins på roadmapen. Pipelines i GitLab CI, CircleCI och Buildkite körs inte på det. Vi bygger CRACI, så väg in det; de andra produkterna beskrivs utifrån sin egen dokumentation.

Var ska SBOM:en komma ifrån?

Det finns tre ställen en plattform kan hämta den från.

1. Repot. Plattformen tolkar manifest och lockfiler. GitHubs beroendegraf och GitLabs SBOM-baserade beroendeskanning fungerar på det sättet. Det är alltid på och billigt att köra, och det beskriver vad projektet deklarerar. Det ser inte installationsskript, nedladdade verktygskedjor eller paket som återställs från en cache, och GitHubs export speglar standardgrenen snarare än en fastlåst commit.
2. Ett verktyg du lägger till i pipelinen. Du kör en SBOM-generator som ett steg, via en CircleCI-orb eller på dina Buildkite-agenter. Det är flexibelt, och resultatet beror på verktyget och dess konfiguration: varje generator läser en annan uppsättning filer och löser dem på ett annat sätt, så två av dem som pekas mot samma rena utcheckning returnerar inte samma komponentlista. CRACI kan inte jämföras på de villkoren, eftersom det registrerar byggen i stället för att skanna en katalog.
3. Runnern som bevakade bygget. SBOM:en registreras från trafiken som jobbet genererade medan det kördes. Det är vad CRACI gör.

Proveniens följer samma uppdelning. GitHubs artefaktattesteringar, ett steg du lägger till i ett arbetsflöde, ger SLSA v1.0 Build Level 2, eller Level 3 med återanvändbara arbetsflöden. GitLab Runner kan generera ett SLSA 1.0-proveniensintyg i alla prisnivåer. Buildkite Package Registries kan publicera SLSA-proveniens som enligt Buildkite uppfyller Build Level 1, i Enterprise-planer. CRACI:s API returnerar proveniensdata från runnern som observerade jobbet, osignerade och utan SLSA-nivå.

I korthet

Kolumnen för GitHub Actions omfattar de GitHub-funktioner som team använder tillsammans med det: beroendegrafen, Dependabot, artefaktattesteringar och GitHub Advanced Security. Priserna gäller per september 2026.

Plattformarna

CRACI, en säker runner för GitHub Actions

CRACI ersätter runnern, inte GitHub Actions. Installera CRACI GitHub App och ändra runs-on; körningarna syns fortfarande i GitHubs gränssnitt. Medan varje jobb körs registrerar en paketmedveten proxy vad det hämtade, inklusive paket som återställs från CI-cachar, och tar fram en SBOM i CycloneDX eller SPDX med en fullständighetsstatus per jobb och per cache. Egress-policyer valideras innan jobbet startar och blockerar vid fel. Passar bäst för team på GitHub Actions som levererar programvara och behöver bevis för varje release. Tänk på att det i dag bara gäller GitHub Actions och Linux (GitLab CI, Jenkins, Windows och macOS finns på roadmapen), och att det saknar SAST och skanning efter hemligheter.

SBOM-generering under bygget

GitHub Actions

CI/CD inbyggt i GitHub, med hostade runners för Linux, Windows och macOS och självhostade runners för dina egna maskiner. Planerna omfattar 2 000 till 50 000 minuter i månaden, och en standardrunner för Linux med 2 kärnor kostar $0.006 per minut per september 2026. Runt det finns beroendegrafen, Dependabot-larm och säkerhetsuppdateringar, artefaktattesteringar och de betalda produkterna GitHub Secret Protection och GitHub Code Security. Passar bäst för kod som redan finns på GitHub. Tänk på att SBOM:en beskriver repot, inte bygget, om du inte själv lägger till en generator.

CRACI vs GitHub-hostade runners och CRACI och GitHub Advanced Security

GitLab CI

En del av en komplett DevSecOps-plattform: versionshantering, merge requests, planering och CI/CD i en produkt. Grundläggande SAST, upptäckt av hemligheter och containerskanning körs i alla prisnivåer; Ultimate lägger till beroendeskanning, kontinuerlig sårbarhetsskanning, DAST och sårbarhetsrapporten. Hostade runners täcker Linux på x86-64 och arm64, med Windows och macOS i beta. Per september 2026 omfattar Free 400 beräkningsminuter och Premium kostar $29 per användare och månad vid årsfakturering. Passar bäst för dig som vill ha en leverantör för hela livscykeln. Tänk på att beroenden upptäcks från lockfiler och att signerade SLSA Level 3-attesteringar listas av GitLab som ett experiment.

CRACI vs GitLab CI

CircleCI

En mogen, flexibel hostad CI/CD-plattform som kopplas till GitHub, GitLab och Bitbucket. Den kör jobb på resursklasser för Docker, Linux, Arm, Windows, macOS och GPU, med självhostade runners för dina egna maskiner. Cachning av Docker-lager ingår i alla planer, och testuppdelning sprider testsviter över parallella exekutorer utifrån tidsdata. Dess vägledning för leveranskedjan handlar främst om att skydda inloggningsuppgifter med contexts och OIDC. Per september 2026 omfattar gratisplanen 30 000 krediter i månaden. Passar bäst för blandade plattformar och stora testsviter. Tänk på att SBOM:er och skanning kommer från de orbs och verktyg du kopplar in.

CRACI vs CircleCI

Buildkite

En hybridplattform: Buildkites SaaS-kontrollplan orkestrerar, och agenterna som kör jobben finns i din egen infrastruktur, så källkod och hemligheter stannar i din miljö. Hostade agenter finns också, för $0.004 per vCPU-minut på Linux per september 2026. Signerade pipelines låter agenter vägra jobb som ändrats efter uppladdning, och Test Engine hanterar instabila tester och testuppdelning. Passar bäst för byggen som måste köras på din egen hårdvara eller i ditt eget nätverk. Tänk på att du själv måste utforma byggsäkerheten: Buildkites egen vägledning säger att du ska upprätthålla strikta kontroller av nätverkstrafik ut från dina agenter.

CRACI vs Buildkite

Hur CRACI passar in

CRACI är ett tillägg till GitHub Actions, inte en ersättning för en CI-plattform. På GitHub är en vanlig uppsättning GitHub Advanced Security och Dependabot på varje pull request, och CRACI som runnern som registrerar varje bygge och upprätthåller egress-policyn. Bevakade SBOM:er omvärderas när nya sårbarheter dyker upp, och de exporteras i CycloneDX eller SPDX, inklusive sårbarheter. Det automatiserar en betydande del av den insyn i och de bevis om programvarans leveranskedja som företag behöver för sitt bredare arbete med efterlevnad av Cyber Resilience Act.

Om dina pipelines finns i GitLab CI, CircleCI eller Buildkite innebär CRACI att du flyttar de pipelinerna till GitHub Actions. GitLab CI och Jenkins finns på roadmapen. CRACI är inte rätt val när:

• Du vill ha en plattform för kod, planering, CI och skanning. GitLab är byggt för det.
• Byggen måste köras på din egen hårdvara eller i ditt eget nätverk. Buildkite och självhostade runners passar; CRACI är en hanterad tjänst i dag, med kundhostade runners på roadmapen för Enterprise.
• Du behöver byggen för Windows, macOS eller GPU. CRACI kör bara Linux i dag; Windows och macOS finns på roadmapen.
• Du behöver en dokumenterad SLSA-nivå i dag. GitHubs artefaktattesteringar ger en.

Se CRACI:s priser och CI/CD-integration.

CRACI jämfört med varje verktyg

• CRACI jämfört med GitHub-hostade runners Samma arbetsflöden, snabbare byggen, lägre kostnad.
• CRACI jämfört med GitLab CI Skannrar i en DevSecOps-plattform jämfört med en runner som registrerar.
• CRACI jämfört med CircleCI Hostad CI jämfört med underlag från bygget.
• CRACI jämfört med Buildkite Egenhostade agenter jämfört med runners som registrerar byggen.
• CRACI jämfört med Blacksmith Snabba runners jämfört med CI med inbyggd säkerhet i leveranskedjan.
• CRACI jämfört med Depot Byggacceleration jämfört med underlag från bygget.
• CRACI jämfört med Namespace Snabb CI-infrastruktur jämfört med runners som registrerar byggen.
• CRACI jämfört med WarpBuild Snabba runners och BYOC jämfört med runners med underlag.
• CRACI jämfört med RunsOn Runners i ditt AWS-konto jämfört med runners som registrerar byggen.
• CRACI jämfört med Ubicloud Billiga runners jämfört med CI med inbyggd säkerhet i leveranskedjan.
• CRACI jämfört med Avrea CI-observerbarhet jämfört med underlag från bygget.
• CRACI jämfört med Harness SBOM-skanningar i pipelinen jämfört med en runner som registrerar bygget.
• CRACI jämfört med Northflank En plattform för bygge och driftsättning jämfört med en runner som registrerar byggen.
• CRACI jämfört med Jenkins En CI-server du driver själv jämfört med hanterade runners som registrerar byggen.
• CRACI jämfört med Azure Pipelines Parallella jobb jämfört med minutdebiterade runners med underlag från bygget.

Sida vid sida

Flera verktyg på en sida, för när du väljer en kategori, inte en enskild produkt.

• GitHub Actions-runners jämförda GitHub-hostad, CRACI, Blacksmith, Depot, Namespace och WarpBuild sida vid sida.