CRACI vs Jenkins

Det korta svaret

Jenkins kallar sig "the leading open source automation server", och det med rätta: det körs var du än installerar det, fördelar arbete över så många maskiner som du ger det, och fler än 2 300 plugins från communityn kopplar det till nästan vilket verktyg som helst. Om byggen måste stanna helt inom ditt eget nätverk, eller om dina pipelines är beroende av plugins utan motsvarighet på annat håll, är Jenkins svårt att ersätta.

CRACI är en annan sorts produkt. Det är en hanterad runner för GitHub Actions: det finns ingen controller att uppgradera och ingen agent att patcha. Medan varje jobb körs registrerar CRACI varje externt beroende som bygget drar in, upprätthåller en egress-policy för byggets nätverk och tar fram SBOM:er, proveniensdata och sårbarhetsbevakning från den registreringen. Jenkins kan göra delar av det med plugins du väljer, konfigurerar och håller aktuella; CRACI gör runnern själv till säkerhetsregistreringen.

En praktisk sak först. CRACI har i dag stöd för GitHub Actions, med Jenkins och GitLab CI på roadmapen och inget datum. För att köras på CRACI nu måste en Jenkins-pipeline först flyttas till ett GitHub Actions-arbetsflöde.

I korthet

Vad Jenkins gör bra

Körs där du behöver det. Jenkins körs på dina egna servrar, i ditt eget nätverk, utan något SaaS-kontrollplan. Agenter kan vara Linux, Windows, macOS eller vilken annan maskin du kan ansluta, så en controller kan bygga en backend, en skrivbordsklient och firmware.

Plugins för nästan allt. Plugin-ekosystemet är Jenkins största styrka. Versionshantering, byggverktyg, testrapporter, driftsättningsmål och säkerhetsskannrar har alla plugins, och team med ovanliga verktygskedjor upptäcker ofta att Jenkins är den enda CI som redan har stöd för dem.

Ingen licenskostnad. Jenkins är gratis och har öppen källkod. Dina kostnader är maskinerna det körs på och tiden ditt team lägger på att driva det.

Där CRACI skiljer sig

Inget att driva

En Jenkins-installation är ett system som ditt team äger: controllern, agenterna, pluginen och uppgraderingarna. Jenkins-projektet publicerar ofta säkerhetsmeddelanden för kärnan och plugins, flera i månaden under 2026 (till exempel den 2 och 16 september och den 5 augusti), och att tillämpa vart och ett är ditt jobb. CRACI kör jobb på hanterade runners, i isolerade virtuella maskiner med en VM per jobb, så det finns ingen byggserver för dig att patcha.

SBOM:en kommer från bygget

På Jenkins kommer en SBOM från ett plugin eller ett skannersteg du lägger till, som oftast läser manifest och lockfiler i efterhand. Byggen gör ofta mer än de filerna säger: installationsskript laddar ner kod, byggskript hämtar saker under bygget och cachar återställer paket som ingen lockfil nämner. CRACI ser den trafiken eftersom det är runnern. En paketmedveten proxy registrerar vad varje jobb hämtar från paketkällor, för npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk och Git-källor, och beroendebevisen följer med CI-cachar. Varje SBOM i CycloneDX eller SPDX anger hur komplett den är, per jobb och per cache.

En policy för byggets nätverk

På Jenkins innebär kontroll över vad ett bygge får nå brandväggsregler eller proxyer runt dina agenter, som du utformar och underhåller. På CRACI avgör en egress-policy på varje jobb vilka värdar det får nå: neka som standard eller tillåt som standard, med 24 inbyggda förinställningar för programvarukällor och typade egna källor, validerad innan jobbet startar. Policyer blockerar vid fel, och vid överträdelser skickas en varning.

Bevakning av det som levererats

API:t returnerar SBOM:er, nätverksspårningar och proveniens. CRACI sammanställer sårbarheter över byggen och repon, fortsätter att omvärdera bevakade SBOM:er när nya säkerhetsmeddelanden dyker upp och visar vilka tidigare byggen som innehöll ett sårbart beroende, så att du vet under vilken period du var berörd.

Prissättning per byggminut

Jenkins har ingen licensavgift, men det är inte gratis att driva: du betalar för controllern och agenterna, oavsett om de är lediga eller upptagna, och för personerna som håller dem aktuella. CRACI tar bara betalt för byggminuter: $0.002 per vCPU-minut ($0.004 för en standardrunner med 2 vCPU), mätt per sekund, utan månadsavgift och utan avgift per SBOM.

Vilken som passar

• Stanna kvar på Jenkins om byggen måste köras helt på din egen infrastruktur, om du är beroende av plugins utan motsvarighet i GitHub Actions, om du behöver byggen för Windows eller macOS, eller om du har personerna som krävs för att driva det och det fungerar.
• Välj CRACI om din kod finns på GitHub, du flyttar eller är redo att flytta pipelines till GitHub Actions och du vill sluta driva byggservrar och samtidigt få en registrering av vad som ingick i varje release.
• Använd båda under en gradvis flytt: flytta nya projekt och Linux-pipelines till GitHub Actions på CRACI och låt stabila Jenkins-jobb stanna där de är.

Var tydlig med vad du avstår från när du väljer CRACI i dag. Det kör bara Linux-jobb, med Windows och macOS på roadmapen; kundhostade runners finns på roadmapen för Enterprise; och Jenkins-pipelines måste bli GitHub Actions-arbetsflöden tills stödet för Jenkins kommer.

För reglerade produkter

Ramverk som EU:s Cyber Resilience Act förväntar sig att tillverkare vet vad som finns i varje release och hanterar dess sårbarheter, med rapporteringsskyldigheter från september 2026. På Jenkins kommer de bevisen från de plugins och skannrar du kopplar in i varje pipeline. CRACI tar fram dem från registreringen av bygget och exporterar SBOM:er som CycloneDX eller SPDX. Det automatiserar en betydande del av den insyn i och de bevis om programvarans leveranskedja som ett företag behöver för sitt bredare CRA-arbete; inget av verktygen gör en produkt regelefterlevande på egen hand.

Flytta en pipeline till CRACI

GitHubs egen GitHub Actions Importer konverterar Jenkins-pipelines till GitHub Actions-arbetsflöden. GitHub siktar på att 80 % av varje arbetsflöde ska konverteras automatiskt och säger att varje konverterat arbetsflöde bör granskas innan det körs i produktion, så räkna med en del manuellt arbete. När en pipeline väl körs som ett GitHub Actions-arbetsflöde körs den på CRACI med en enda rad:

runs-on: craci

Körningarna syns fortfarande i GitHubs gränssnitt. Läs mer om SBOM-generering under bygget, se alternativ till Jenkins, jämför CI/CD-plattformar eller se priser.