CRACI vs Depot | GitHub Actions-runners och byggbevis

Det korta svaret

Depot är byggacceleration: GitHub Actions-runners, en fjärrtjänst för Docker-byggen med en beständig lagercache, en fjärrcache för verktyg som Bazel och Gradle, och en egen CI-motor. CRACI är en GitHub Actions-kompatibel runner byggd kring säkerhet i leveranskedjan. Varje jobb tar fram en SBOM över vad det faktiskt hämtade och körs under en egress-policy som du definierar.

Skillnaden på en rad: Depot optimerar hur snabbt ditt bygge körs, och CRACI registrerar och styr vad som går in i det. Båda ersätter den GitHub-hostade runnern, så du väljer en.

I korthet

Funktion	CRACI	Depot
Registrering av vad varje jobb hämtade	Paketmedveten proxy registrerar varje jobb
SBOM	Per jobb, med fullständighetsstatus	SPDX-skanning med Syft av depot build-avbilder
Egress-policy på runnern	Förinställningar för paketkällor, valideras före jobbet	Tillåt- och neka-regler, Linux-runners
Byggproveniens	Proveniensdata via API:t; inte signerade	BuildKit-attesteringar på avbilder
Bevakning av levererade SBOM:er	Löpande omvärdering av sårbarheter
CRA-bevis och rapporter	SBOM:er i CycloneDX eller SPDX, registreringar via API; ingen rapportexport
Accelererade byggen av Docker-avbilder	Lokala lagercachar, fjärrcachar och cachar via bind mount	Fjärr-BuildKit, beständig NVMe-cache
Runners för Windows och macOS	Bara Linux i dag	macOS från Startup-planen
Runners i ditt eget moln	Kundhostade runners, Enterprise	Ditt AWS-konto, Business-planen
Pris, Linux med 2 vCPU	$0.004 per minut (6 GB RAM). ARM64 till samma pris.	$0.006 per minut efter inkluderade minuter (8 GB RAM). Arm till samma pris.
Planer	$0.004 per minut med 2 vCPU, mätt per sekund. Ingen månadsavgift.	Developer $20 per månad (2 000 minuter), Startup $200 (20 000 minuter).

Ingår
Delvis
Ingår inte
På roadmapen

Vad Depot gör bra

Depot har byggt en bred, väldokumenterad runner- och byggplattform. Höjdpunkter från dess egen dokumentation:

Ett brett utbud av runners. Linux-runners på AMD EPYC (Intel-etiketter) och AWS Graviton4 (Arm) från 2 vCPU och 8 GB RAM upp till 64 vCPU och 256 GB, plus Windows Server 2022 och 2025, och macOS-runners på planerna Startup och Business.
Cachning. Runners är kopplade till Depots distribuerade cache, som enligt Depot når upp- och nedladdningshastigheter på upp till 1000 MiB/s. Depot beskriver sina runners som "up to 3x faster than a GitHub-hosted runner" med "10x faster caching".
Docker-byggen. depot build är en direkt ersättning för docker build som körs på en fjärrvärd för BuildKit med en beständig NVMe-lagercache som delas i hela ditt team, och bygger x86- och Arm-avbilder nativt utan QEMU-emulering. Depot säger att det är upp till 40 gånger snabbare än att bygga lokalt eller hos en CI-leverantör.
Isolering. Varje GitHub Actions-jobb körs på en ny, dedikerad EC2-instans (single-tenant) som aldrig återanvänds.
Egress-filtrering. Tillåt- och neka-regler för IP-adresser, CIDR-block och värdnamn, med en standardregel som du ställer in på tillåt eller neka. Den gäller för närvarande Linux-runners.
Enterprise-alternativ. På Business-planen driftsätter Depot Managed dataplanet i ditt eget AWS-konto, med AWS PrivateLink, statiska utgående IP-adresser och SSO. Depot listar en SOC 2 Type II-rapport.

Om byggtiden för Docker-avbilder är din största flaskhals i CI är Depot byggt för exakt det problemet.

Där CRACI skiljer sig

CRACI behandlar bygget som sanningskällan för vad du levererar. Runnern är där bevisen samlas in.

En registrering av vad bygget hämtade

Medan varje jobb körs registrerar en paketmedveten proxy trafik till paketkällor: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk och Git-källor, plus nedladdningsförinställningar. Beroendebevisen följer med CI-cachar, så ett paket som återställs från en cache räknas ändå. Varje jobbs SBOM, i CycloneDX eller SPDX, har en fullständighetsstatus per jobb och per cache, så att du vet när registreringen är komplett och när den inte är det.

Depot kan också ta fram en SBOM: lägg till --sbom=true i depot build så genererar det en SBOM i SPDX med Syft. Det är en skanning av avbilden som bygget producerade. CRACI:s registrering täcker hela jobbet, inklusive byggverktyg och paket som aldrig hamnar i en avbild, och jobb som inte bygger avbilder alls.

Egress-policy byggd för programvarukällor

Båda produkterna låter dig blockera oväntad utgående trafik från en runner. CRACI:s policyer nekar eller tillåter som standard, med 24 inbyggda förinställningar för programvarukällor, typade anpassade källor för npm, PyPI, apt, apk, Go-proxyn, Nix, Cargo, OCI-register och Git över HTTPS och SSH, och explicita regler för TLS, TCP, UDP och ICMP. Policyer valideras innan jobbet startar, blockerar vid fel och skickar en varning vid en överträdelse. Depots regler fungerar på nivån IP-adresser, CIDR-block och värdnamn, vilket är enklare att resonera kring om det är allt du behöver.

Proveniens och bevakning

Proveniensdata. API:t returnerar SBOM:er, nätverksspårningar och proveniens. CRACI signerar inte proveniens. Depots avbildsbyggen kan bifoga BuildKit-attesteringar för proveniens, som anges med flaggan --provenance.
Bevakning av det som levererats. Bevakade SBOM:er omvärderas löpande mot nya sårbarheter, och fynd samlas över byggen och repon.

Pris och storlekar

Per september 2026 tar Depot $0.006 per minut för sin Linux-runner med 2 vCPU och 8 GB utöver minuterna som ingår i din plan, och större storlekar skalar linjärt: 32 vCPU kostar $0.096 per minut. Developer-planen kostar $20 per månad med 2 000 GitHub Actions-minuter, och Startup-planen $200 per månad med 20 000. Depot mäter användningen per sekund utan minimum på en minut per körning, och erbjuder en gratis provperiod på 7 dagar.

CRACI debiterar $0.002 per vCPU-minut, så 2 vCPU kostar $0.004 per minut och 32 vCPU kostar $0.064 per minut, med ARM64 till samma pris. Mätningen sker per sekund, och det finns ingen månadsavgift. Utöver Depots planminuter är det omkring 33 % mindre per minut i varje storlek. Matcha minnet innan du jämför: en beräkningsenhet hos CRACI har 3 GB RAM per vCPU, medan Depots runners har 4 GB per vCPU. Se CRACI:s priser för aktuella villkor.

Vilken som passar

Depot passar bättre när

Byggen av Docker-avbilder dominerar din CI-tid.
Du behöver runners för Windows eller macOS. CRACI körs bara på Linux i dag; Windows och macOS finns på roadmapen.
Du behöver runners i ditt eget AWS-konto. CRACI erbjuder ännu inte kundhostade runners; de finns på roadmapen för Enterprise.
Du förlitar dig på fjärrcachning för Bazel, Gradle, Turborepo eller sccache.

CRACI passar bättre när

Du behöver visa vad som ingick i en release, från själva bygget, med fullständighetsstatus.
Du vill styra byggets egress per paketkälla, validerat före varje jobb.
Du vill ha bevakning av levererade SBOM:er på ett ställe.
Du behöver datalagring i EU, som finns på CRACI:s Enterprise-plan.

För Cyber Resilience Act

Cyber Resilience Act kräver att tillverkare känner till komponenterna i sina produkter, hanterar sårbarheter i dem och sparar bevis. Depots produkt är bygginfrastruktur, och dess dokumentation fokuserar på hastighet, cachning och isolering. CRACI automatiserar en betydande del av den insyn i och de bevis om programvarans leveranskedja som företag behöver för sitt bredare arbete med CRA-efterlevnad: SBOM:er från bygget, sårbarhetsspårning, proveniens och SBOM-export som CycloneDX eller SPDX.

Flytta från Depot till CRACI

Installera CRACI:s GitHub App i din organisation, med åtkomst till alla repon eller ett urval, och ändra sedan runneretiketten på ett jobb:

runs-on: craci

Dina arbetsflöden och GitHubs gränssnitt förblir desamma. Flytta ett jobb i taget, och börja med ett jobb som bygger något du levererar. Titta på dess SBOM och nätverksspårning, och skriv sedan en egress-policy som tillåter källorna det behöver. Läs mer om CI/CD-integration och SBOM-generering under bygget.