CRACI vs RunsOn

Det korta svaret

RunsOn är egenhostade GitHub Actions-runners utan underhållet av en runnerflotta. En CloudFormation-stack eller Terraform-modul driftsätter det i ditt AWS-konto; varje jobb får sedan en ny EC2-instans av valfri typ, och AWS fakturerar beräkningskraften till självkostnadspris. Om du vill ha runners i ditt eget molnkonto och lägsta möjliga beräkningsnota, särskilt på spot-instanser, är RunsOn svårt att slå.

CRACI är CI som hanterar säkerhet i leveranskedjan från grunden. Det är en hanterad, GitHub Actions-kompatibel runner, och säkerheten är en del av runnern snarare än ett verktyg som läggs till: CRACI registrerar varje externt beroende som bygget hämtade, upprätthåller en egress-policy på byggets nätverk och gör den registreringen till SBOM:er, sårbarhetsbevakning och bevis. Båda produkterna ersätter runnern som dina jobb körs på, så du väljer en.

I korthet

Vad RunsOn gör bra

Ditt konto, dina data. Kontrollplanet, runnerns virtuella maskiner, S3-cachen och loggarna finns alla i ditt AWS-konto, och RunsOns egna dataflöden är begränsade till licensvalidering, telemetri och support. För team vars säkerhetsgranskning stannar vid "en tredje part kör vår kod och våra hemligheter" är det svaret RunsOn är byggt för att ge. CRACI-runners är hanterade i dag; kundhostade runners finns på roadmapen för Enterprise.

Valfri instans, en per jobb. Etiketten runs-on väljer maskinen, så ett jobb kan begära en stor beräkningsoptimerad instans, en GPU, lokal NVMe-lagring eller Windows. Varje jobb får en ny EC2-instans som förstörs när det är klart, och RunsOn säger att jobb oftast startar på omkring 30 sekunder, eller på under 6 med varma pooler.

Kostnad. RunsOn lägger inget påslag på AWS-beräkningskraft och tar en fast licens, från omkring $348 (€300) per år. Enligt RunsOn är resultatet 7 till 12 gånger billigare än GitHub-hostade runners. Spot-instanser med automatisk återgång till on-demand håller nere notan ytterligare. Det här är RunsOns siffror; din instansmix och region avgör den verkliga siffran.

Cachning och observerbarhet. En S3-baserad cache i din VPC ersätter GitHubs cache utan dess storleksgräns, cachning av Docker-lager är inbyggd, och EBS sticky disks och delade EFS-volymer behåller tillstånd mellan jobb. Mätvärden och kostnadsrapportering per jobb går till CloudWatch och OpenTelemetry.

Säkerhetstillägg. En integration med StepSecurity Harden-Runner lägger till bevakning och filtrering av utgående trafik samt upptäckt av manipulation av källkod under bygget, med en enterprise-licens från StepSecurity.

Pris och storlekar

Enbart för beräkningskraft kostar RunsOn på spot-instanser en bråkdel av CRACI:s $0.004 per minut med 2 vCPU. Jämförelsen gäller dock inte bara priset per minut. Med RunsOn betalar du också licensen och AWS-tjänsterna runt runnerna, till exempel NAT-gateways för statiska IP-adresser, och ditt team äger stacken: uppgraderingar, AWS-kvoter och incidenter. CRACI har ett enda pris per minut, mätt per sekund, utan månadsavgift, och CRACI driver infrastrukturen. Se CRACI:s priser för aktuella villkor och hanterade vs egenhostade runners för den bredare avvägningen.

När det gäller hastighet kör CRACI byggen ungefär dubbelt så snabbt som GitHub-hostade runners, tack vare snabbare hårdvara, kortare kötider och cachning. RunsOns hastighet beror på vilken instanstyp du väljer. Vi har inte benchmarkat de två mot varandra.

Där CRACI skiljer sig

En registrering av vad bygget hämtade

Medan varje jobb körs registrerar en paketmedveten proxy trafik till paketkällor: npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk och Git-källor, plus nedladdningsförinställningar. Beroendebevisen följer med CI-cachar, så paket som återställs från en cache räknas ändå. Det inkluderar de dolda beroenden som ingen lockfile listar, till exempel kod som laddas ner av installationshooks eller byggskript, och lager i basavbilder. Varje jobb tar fram en SBOM i CycloneDX eller SPDX med fullständighetsstatus per jobb och per cache.

Kontroll över vad bygget kan nå

Säkerhetsgrupper avgör vilka nätverk en RunsOn-runner kan nå; de vet inte vilket paketregister ett jobb ska använda. Det gör CRACI:s egress-policy: neka eller tillåt som standard, 24 inbyggda förinställningar för programvarukällor, typade anpassade källor för npm, PyPI, apt, apk, Go-proxyn, Nix, Cargo, OCI-register och Git över HTTPS och SSH, och explicita regler för TLS, TCP, UDP och ICMP. Policyer valideras innan jobbet startar, blockerar vid fel och skickar en varning vid en överträdelse. Eftersom policyn bara tillåter det bygget behöver blockerar den exfiltrering till värdar som bygget inte behöver, även vid en attack som ingen har sett tidigare.

Harden-Runner på RunsOn går längre på en punkt: det håller också utkik efter källfiler som ändras under bygget, vilket CRACI inte gör.

Proveniens och bevakning

API:t returnerar SBOM:er, nätverksspårningar och proveniens. CRACI signerar inte proveniens och gör inte anspråk på någon SLSA-nivå. Det sammanställer sårbarheter över byggen och repon och fortsätter att omvärdera bevakade SBOM:er.

Två olika säkerhetsfrågor

RunsOn svarar på "vem har min kod, mina hemligheter och mitt runnertillstånd?" genom att behålla allt i ditt AWS-konto. CRACI svarar på en annan fråga: "vad drog det här bygget in, och vart anslöt det?" CRACI kör varje jobb i en egen isolerad virtuell maskin, lagrar inte din källkod och är ISO 27001-certifierat. Det andra svaret är vad en revisor, en kund eller Cyber Resilience Act frågar dig efter.

Boka en demo för att se SBOM, nätverksspårning och proveniens från ett av dina egna arbetsflöden.

Vilken som passar

RunsOn passar bättre när

• Runners måste köras i ditt eget AWS-konto, bredvid dina VPC-resurser.
• Lägsta beräkningskostnad är viktigast, och du känner dig trygg med att driva en stack i AWS.
• Du behöver Windows-runners, GPU-instanser eller specifika EC2-instanstyper i dag.
• Dina projekt är icke-kommersiella, vilket RunsOn täcker gratis.

CRACI passar bättre när

• Du levererar programvara där du måste visa vad som ingick i varje release, från själva bygget.
• Du vill begränsa vad byggen kan nå, med en policy som blockerar vid fel och inte kräver någon extra licens.
• Du behöver bevakning av det som levererats, utan att lägga till verktyg i varje arbetsflöde.
• Du vill helst inte driva CI-infrastruktur, och vill ha byggen på europeisk infrastruktur.

Vad du avstår från med CRACI. Runners i ditt eget AWS-konto, som finns på roadmapen för Enterprise, Windows-runners, som också finns på roadmapen, och den lägsta beräkningsnotan. Det du får är en registrering av bygget som säkerhet och efterlevnad kan använda utan ännu en skanner i pipelinen, på infrastruktur du inte behöver driva.

För Cyber Resilience Act

EU:s Cyber Resilience Act förväntar sig att tillverkare vet vad som finns i varje release och hanterar dess sårbarheter, med rapporteringsskyldigheter från september 2026 och full tillämpning från december 2027. En egenhostad runner tar inte fram de bevisen av sig själv; du skulle behöva lägga till SBOM- och skanningsverktyg i dina arbetsflöden. CRACI tar fram dem från registreringen av bygget och exporterar SBOM:er som CycloneDX eller SPDX. Det automatiserar en betydande del av den insyn i och de bevis om programvarans leveranskedja som företag behöver för sitt bredare arbete med CRA-efterlevnad.

Flytta från RunsOn

CRACI ersätter runnern, inte GitHub Actions. Arbetsflöden och GitHubs gränssnitt förblir desamma, och jobbets etikett blir runs-on: craci. Jobb får Docker Engine, Buildx och Compose v2, en GitHub-kompatibel Ubuntu 24.04-avbild och nästlad virtualisering på x86-64. Läs mer om CI/CD-integration och SBOM-generering under bygget. Startups kan ansöka till startupprogrammet.

RunsOn vs CRACI: vanliga frågor

Priser, hosting, plattformar och säkerhet, besvarade utifrån varje leverantörs publicerade information

Vad är RunsOn?

RunsOn är egenhostade GitHub Actions-runners i produktform. Du driftsätter en CloudFormation-stack eller Terraform-modul i ditt eget AWS-konto, och RunsOn startar en ny EC2-instans för varje jobb och avslutar den när jobbet är klart. Runners, cachar, loggar och inloggningsuppgifter stannar i ditt AWS-konto. Det grundades 2023 av Cyril Rohr, som är baserad i Rennes i Frankrike.

Vad kostar RunsOn?

Per september 2026 tar RunsOn en fast årslicens per juridisk person: från omkring $348 (€300) per år på Starter, omkring $1,044 (€900) på Growth, omkring $2,088 (€1,800) på Scale och omkring $4,176 (€3,600) på Enterprise, beroende på hur många runners du startar per månad. AWS fakturerar beräkningskraften direkt, per sekund, utan påslag från RunsOn. RunsOn listar en spot-instans med 2 vCPU på x64 i us-east-1 till omkring $0.0009 per minut. Det är gratis för icke-kommersiell användning och har 15 dagars provperiod.

Är RunsOn billigare än CRACI?

För beräkningskraft, ja, och med stor marginal på spot-instanser. CRACI tar $0.004 per minut med 2 vCPU, medan en spot-instans med 2 vCPU via RunsOn kostar omkring $0.0009 per minut i us-east-1, plus licensen. Totalkostnaden omfattar också ditt AWS-nätverk och din lagring, och tiden det tar att driva stacken. Det CRACI lägger till på runnern är registreringen av bygget: en SBOM för varje jobb, en egress-policy, proveniensdata och sårbarhetsbevakning.

Genererar RunsOn SBOM:er eller byggproveniens?

Inte bland de dokumenterade funktionerna. RunsOn fokuserar på beräkningskraft, cachning, kostnad och observerbarhet i ditt AWS-konto. CRACI registrerar paketen som varje jobb hämtar, inklusive paket som återställs från cachar, och tar fram en SBOM i CycloneDX eller SPDX med fullständighetsstatus. API:t returnerar SBOM:er, nätverksspårningar och proveniens.

Kan RunsOn begränsa vad ett bygge kan nå på nätverket?

RunsOn-runners finns i din VPC, så AWS-säkerhetsgrupper och routing gäller, och statiska utgående IP-adresser kommer från NAT-gateways. För egress-filtrering inne i jobbet integrerar RunsOn StepSecurity Harden-Runner, som bygger en baslinje över varje jobbs utgående trafik och kan tillämpa den som en tillåtelselista; på RunsOn kräver det en enterprise-licens från StepSecurity. CRACI upprätthåller en egress-policy på själva runnern: neka eller tillåt som standard, 24 inbyggda förinställningar för programvarukällor, validering innan jobbet startar och blockering vid fel.

Kan jag köra CRACI i mitt eget AWS-konto?

Inte i dag. CRACI-runners är hanterade, på europeisk infrastruktur, och kundhostade runners finns på roadmapen för Enterprise-planen. Om runners i ditt eget AWS-konto är ett absolut krav är RunsOn byggt för just det.

Har CRACI stöd för Windows- eller macOS-runners?

CRACI kör i dag Linux på x86-64 och ARM64, med Windows och macOS på roadmapen. RunsOn erbjuder Windows Server 2022 och 2025 och GPU-instanser; macOS-jobb stannar på GitHub-hostade runners även med RunsOn.

Måste jag skriva om mina GitHub Actions-arbetsflöden för att byta?

Nej. Båda produkterna ersätter runnern, inte GitHub Actions. Arbetsflöden, triggers och GitHubs gränssnitt förblir desamma; på CRACI blir jobbets etikett runs-on: craci.