CRACI vs CircleCI | Hostad CI mot bevis från bygget

Det korta svaret

CircleCI är en mogen, flexibel CI/CD-plattform. Den kopplas till GitHub, GitLab och Bitbucket, kör jobb på ett brett urval av maskiner från Docker-containrar till macOS och GPU:er och låter dig paketera återanvändbar konfiguration som orbs. När det gäller säkerhet skyddar CircleCI inloggningsuppgifter och överlåter skanningen åt orbs och verktyg från tredje part.

CRACI går den andra vägen: runnern är säkerhetsregistreringen. Den kör GitHub Actions-jobb, observerar varje externt beroende som varje bygge hämtar, upprätthåller en egress-policy för byggets nätverk och tar fram SBOM:er, proveniensdata och CRA-bevis från det den såg. Det är skillnaden mellan traditionell CI och säkerhetsmedveten CI.

CRACI har i dag stöd för enbart GitHub Actions, med GitLab CI och Jenkins på roadmapen. CircleCI stöds ännu inte. Team på CircleCI skulle behöva flytta en pipeline till GitHub Actions för att använda CRACI-runners, eller vänta på andra CI-system, som finns på roadmapen.

Funktion	CRACI	CircleCI
SBOM från bygget utifrån observerade beroenden	Varje jobb, med fullständighetsstatus, cachade paket inräknade	Beroendeskanning via orbs som du lägger till
Egress-policy för byggets nätverk	Neka eller tillåt som standard, blockerar vid fel	IP-intervall ger jobben kända källadresser (planerna Performance och Scale).
Sårbarhetsbevakning	Bevakade SBOM:er omvärderas	Via skanner-orbs från tredje part
Leverantörer av versionshantering	Bara GitHub Actions i dag	GitHub, GitLab och Bitbucket
Körmiljöer	Linux-VM:ar på x86-64 och ARM64	Docker, Linux, Arm, Windows, macOS, GPU
Självhostade runners	Kundhostade runners, Enterprise	Linux, Windows, macOS och Kubernetes
Testuppdelning efter tidsdata		Fördelas över parallella exekutorer efter tid
Cachning av Docker-lager	Lokala, fjärr- och bind mount-lagercachar	Alla planer, 200 krediter per jobbkörning
Pris, 2 vCPU Linux	$0.004 per minut ($0.002 per vCPU-minut), mätt per sekund.	Linux VM medium (2 CPU, 7,5 GB) kostar 10 krediter per minut, cirka $0.006 vid $15 per 25 000 krediter.
Planer	Betala per byggminut: $0.004 per minut för 2 vCPU, mätt per sekund. Ingen månadsavgift och ingen avgift per SBOM.	Gratis med 30 000 krediter i månaden; Performance från $15 i månaden; Scale med anpassade priser (per september 2026).

Ingår
Delvis
Ingår inte
På roadmapen

Vad CircleCI gör bra

Bredd i beräkningskapacitet. CircleCI erbjuder resursklasser för Docker, Linux-VM, Arm, Windows, macOS och GPU, så en plattform kan bygga en backend, en Windows-klient och en iOS-app. Självhostade runners utökar det till dina egna Linux-, Windows- och macOS-maskiner och till Kubernetes, och jobbtid på runners förbrukar inga krediter.

Funktioner för snabbhet. Cachning av Docker-lager finns i alla planer. Testuppdelning sprider en testsvit över parallella exekutorer efter namn, filstorlek eller historiska tidsdata, vilket kortar den verkliga körtiden för stora testsviter.

Återanvändbar konfiguration. Orbs paketerar jobb, kommandon och exekutorer så att team kan återanvända dem i flera projekt, och de gör det enkelt att koppla in verktyg från tredje part, även säkerhetsskannrar.

Hygien kring inloggningsuppgifter. CircleCI:s vägledning för leveranskedjan handlar främst om att skydda hemligheter: dela upp dem i contexts, lägg driftsättnings- och signeringsnycklar i begränsade contexts som styrs av dina VCS-grupper och använd OIDC-tokens så att jobb når molntjänster utan långlivade inloggningsuppgifter lagrade i CircleCI.

Där CRACI skiljer sig

Bygget är sanningskällan

På en traditionell CI-plattform tas en SBOM fram av ett verktyg du lägger till i pipelinen, som oftast läser manifest och lockfiler. CRACI observerar bygget i stället. En paketmedveten proxy registrerar trafiken till paketkällor medan jobbet körs, för npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk och Git-källor, plus nedladdningsförinställningar. Beroendebevisen följer med CI-cachar, så ett paket som återställs från en cache räknas ändå.

Du vet hur komplett SBOM:en är

Varje jobb tar fram en SBOM i CycloneDX eller SPDX med en fullständighetsstatus per jobb och per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded.

Byggets nätverk har en policy

CircleCI:s funktion för IP-intervall leder jobb via kända CircleCI-adresser så att dina egna system kan tillåtelselista dem. Det löser inkommande åtkomst. CRACI lägger till kontroll i andra riktningen: egress-policyer för varje jobb, neka som standard eller tillåt som standard, med 24 inbyggda förinställningar för programvarukällor, typade egna källor och uttryckliga regler för TLS, TCP, UDP och ICMP. Policyer valideras innan jobbet startar och blockerar vid fel. CRACI erbjuder också ett stabilt IP-intervall för utgående trafik.

Proveniens och bevakning från samma registrering

API:t returnerar SBOM:er, nätverksspårningar och proveniens. CRACI sammanställer sårbarheter över byggen och repon och fortsätter att omvärdera bevakade SBOM:er.

Vilken som passar

Stanna kvar på CircleCI om din kod finns på GitLab eller Bitbucket, om du är beroende av byggen för Windows, macOS eller GPU, eller om du kör jobb på din egen hårdvara.
Överväg CRACI om din kod finns på GitHub och du väger GitHub Actions mot CircleCI, och du levererar programvara där du måste visa vad som ingick i varje release.
Använd båda under en gradvis flytt: behåll pipelines för macOS och Windows på CircleCI och kör Linux-arbetsflöden i GitHub Actions på CRACI där bevisen från bygget betyder mest.

För Cyber Resilience Act

EU:s Cyber Resilience Act förväntar sig att tillverkare vet vad som finns i varje release och hanterar dess sårbarheter, med rapporteringsskyldigheter från september 2026 och full tillämpning från december 2027. På CircleCI kommer de bevisen från de skannrar och orbs du kopplar in i dina pipelines. CRACI tar fram dem från byggets registrering och exporterar SBOM:er i CycloneDX eller SPDX, inklusive sårbarheter. Det automatiserar en betydande del av den insyn i och de bevis om programvarans leveranskedja som företag behöver för sitt bredare arbete med CRA-efterlevnad.

Flytta en pipeline till CRACI

CRACI kör GitHub Actions-arbetsflöden, så en CircleCI-pipeline behöver först en motsvarighet i GitHub Actions. När den har en installerar du CRACI GitHub App i din organisation och anger runneretiketten:

runs-on: craci

Körningarna syns fortfarande i GitHubs gränssnitt. Jobben får Docker Engine, Buildx och Compose v2, runnerstorlekar från 1 till 32 vCPU med 3 GB RAM per vCPU och stöd för GitHub Actions-cachen. Läs mer om SBOM-generering under bygget, eller se priser och startupprogrammet.