Ceny GitHub Advanced Security a kam zapadá CRACI

Stručná odpověď

K září 2026 GitHub prodává GitHub Advanced Security jako dva doplňky. GitHub Secret Protection stojí $19 za aktivního committera měsíčně a pokrývá skenování tajných klíčů a push protection. GitHub Code Security stojí $30 za aktivního committera měsíčně a pokrývá skenování kódu pomocí CodeQL, Copilot Autofix, dependency review a prémiové funkce Dependabotu. Oba dohromady vyjdou na $49 za aktivního committera měsíčně. Oba vyžadují plán GitHub Team nebo Enterprise a platíte je navíc k licencím GitHubu.

Aktivním committerem je každý, jehož commit byl za posledních 90 dní pushnut do repozitáře se zapnutým produktem, a počítá se jednou v rámci celé organizace. Proto se účet odvíjí od toho, kdo pushuje kód, ne od počtu licencí.

Ceny GitHub Advanced Security v přehledu

Ceny jsou ceníkové ceny GitHubu a Azure ke stavu ze září 2026. Stránka s plány GitHubu uvádí funkce, které každý doplněk přidává v plánech Team a Enterprise; bezplatný sloupec se týká veřejných repozitářů na GitHub.com.

Jak se účet počítá

• Za aktivního committera a za produkt. Committer je aktivní, pokud byl některý z jeho commitů za posledních 90 dní pushnut do repozitáře se zapnutým produktem, bez ohledu na to, kdy byl vytvořen. Každý člověk využívá jednu licenci v rámci organizace nebo enterprise, bez ohledu na to, do kolika repozitářů zasahuje.
• Počítají se jen repozitáře se zapnutým produktem. Secret Protection a Code Security zapínáte nezávisle, takže Secret Protection můžete zapnout všude a Code Security jen tam, kde ji potřebujete.
• Měřená nebo objemová fakturace v Enterprise. Měřená fakturace, v GitHub Enterprise Cloud a v GitHub Enterprise Server 3.13 nebo novějším s GitHub Connect, účtuje měsíčně využité licence, bez předem stanoveného limitu a bez stavu překročení. Objemová nebo předplatitelská fakturace kupuje pevný počet licencí na určité období, obvykle nejméně na rok.
• Bezplatná posouzení rizik. Organizace na plánech Team a Enterprise Cloud mohou před nákupem spustit bezplatné posouzení rizik tajných klíčů a posouzení rizik bezpečnosti kódu až pro 20 aktivních repozitářů.

Příklad výpočtu

Tým 50 vývojářů, kteří všichni pushují do repozitářů s oběma zapnutými produkty, platí 50 × $19 = $950 za Secret Protection a 50 × $30 = $1,500 za Code Security: $2,450 měsíčně, tedy $29,400 ročně, za ceníkové ceny. To je navíc k licencím GitHub Team nebo Enterprise a minutám GitHub Actions. Počítá se každý, kdo má ve vaší organizaci licenci a pushuje do repozitáře se zapnutým produktem, včetně externistů, takže počítejte committery, ne zaměstnance.

Co získáte bez placení

Graf závislostí a upozornění Dependabot jsou součástí všech plánů GitHubu. Ve veřejných repozitářích jsou skenování kódu, skenování tajných klíčů, push protection a dependency review zdarma. Pokud je váš kód open source, velká část GitHub Advanced Security vás nestojí nic.

GitHub Advanced Security for Azure DevOps

Stejné dva produkty se prodávají pro Azure Repos, za $19 za committera měsíčně za Secret Protection a $30 za Code Security podle ceníkové stránky Azure. Poplatky se načítají denně a fakturují měsíčně na předplatné Azure propojené s organizací Azure DevOps a committeři se v rámci tohoto předplatného počítají jednou pro každý produkt.

V čem je GitHub Advanced Security dobrý

Skenování kódu pomocí CodeQL je sémantická statická analýza zabudovaná do pull requestů a Copilot Autofix navrhuje opravy pro upozornění, která vyvolá. Skenování tajných klíčů pokrývá historii gitu, pull requesty, issues a wiki a push protection zablokuje tajný klíč dřív, než se do repozitáře dostane. Kontroly platnosti vám řeknou, zda je uniklý přihlašovací údaj stále aktivní. CRACI nic z toho nedělá a nic na této stránce nenaznačuje, že by to mělo nahradit.

U závislostí graf závislostí parsuje manifesty a lockfily ve vašem repozitáři a Dependabot vás upozorní, když některá odpovídá bezpečnostnímu upozornění v GitHub Advisory Database. Security updates se snaží otevřít pull request pro každé otevřené upozornění, pro které existuje oprava, a dependency review (součást Code Security) ukazuje, co pull request mění, ještě před mergem. Automatic dependency submission může přidat data vyřešená při buildu pro Maven, Gradle a Python. Graf můžete exportovat jako SBOM ve formátu SPDX z rozhraní nebo přes REST API.

Artifact attestations používají Sigstore k podepisování původu buildu pro binární soubory a image kontejnerů a umí atestovat SBOM ve formátu SPDX nebo CycloneDX. GitHub uvádí, že samotné atestace poskytují SLSA v1.0 Build Level 2 a Level 3 s opakovaně použitelnými workflow.

Co cena nepokrývá

Každá funkce GitHub Advanced Security čte váš repozitář: jeho kód, tajné klíče a deklarované závislosti. Žádná z nich nezaznamenává, co se děje uvnitř buildu, který vytváří vaše vydání, ani neřídí, kam se tento build může v síti připojit. Právě tam zapadá CRACI.

Tabulka kombinuje GitHub Advanced Security s funkcemi platformy GitHub, na kterých staví (graf závislostí, Dependabot, artifact attestations a hostované runnery), protože tak je týmy vnímají.

Záznam buildu, ne repozitáře

Graf závislostí popisuje repozitář a aktualizuje se, když commit změní manifest nebo lockfile ve výchozí větvi. To je užitečné, ale není to totéž jako záznam jobu, který vytvořil vydání. CRACI pozoruje samotný build: proxy, která rozumí balíčkům, vidí provoz ke zdrojům balíčků, napříč zdroji npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk a Git. Důkazy putují spolu s cache CI a každý SBOM uvádí svou úplnost pro každý job a každou cache: Complete, Complete with connections, Incomplete, Unavailable nebo Not recorded.

Kontrola nad tím, kam se job může připojit

CRACI vynucuje egress policy pro každý job: výchozí zákaz nebo výchozí povolení, s 24 vestavěnými předvolbami softwarových zdrojů a typovanými vlastními zdroji pro registry a Git. Politiky se ověřují před startem jobu, při selhání vše zablokují (fail-closed) a CRACI vás upozorní na porušení politiky. Jde o kontrolu buildu za běhu, kterou skenování repozitáře poskytnout nemůže.

Původ

Artifact attestations od GitHubu jsou krok workflow, který přidáte. Podepisují původ buildu a GitHub pro ně uvádí SLSA v1.0 Build Level 2. CRACI původ nepodepisuje a nedeklaruje žádnou úroveň SLSA: API vrací SBOM, síťové záznamy a původ. Pokud potřebujete podepsaný původ nebo zdokumentovanou úroveň SLSA, poskytnou vám ho atestace GitHubu.

Monitorování toho, co bylo dodáno

CRACI agreguje zranitelnosti napříč buildy a repozitáři, průběžně znovu vyhodnocuje monitorované SBOM a umožňuje bezpečnostním týmům provádět triáž nálezů a předávat je týmům, které odpovídají za opravu. Jeho inventář přesně ukazuje, které verze softwaru jsou nasazeny ve kterých produktech, globálně. SBOM lze exportovat jako CycloneDX nebo SPDX, včetně zranitelností, a API vrací SBOM, síťové záznamy a původ.

Jiný cenový model

GitHub Advanced Security se účtuje za aktivního committera. CRACI se účtuje jen za minutu buildu, protože je runnerem: $0.002 za vCPU-minutu ($0.004 za výchozí runner se 2 vCPU), účtováno po sekundách, bez měsíčního poplatku. Tyto minuty spouštějí joby, které byste jinak spouštěli na runnerech hostovaných na GitHubu. Aktuální podmínky najdete v ceníku CRACI.

Jak do sebe zapadají

• GitHub Advanced Security u každého pull requestu: CodeQL, skenování tajných klíčů, push protection a dependency review.
• Dependabot udržuje deklarované závislosti opravené.
• CRACI jako runner: zaznamenává každý build, vynucuje egress policy a uchovává důkazy.

Běhy na CRACI se dál zobrazují v rozhraní GitHubu a vaše workflow si ponechávají své kroky; job se na CRACI přesune změnou labelu runs-on. Pro joby na Windows a macOS zůstaňte u runnerů hostovaných na GitHubu: CRACI dnes podporuje jen Linux, na x86-64 a ARM64, a Windows a macOS jsou v plánu vývoje.

Srovnáváte raději skenery kódu? Viz alternativy ke GitHub Advanced Security i s jejich cenami.

Pro Cyber Resilience Act

Nástroje GitHubu vám pomáhají najít a opravit zranitelnosti před vydáním, což výrobce dělat musí. CRACI automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firmy potřebují pro svůj širší proces zajištění souladu s CRA: co se dostalo do každého vydání, SBOM, síťové záznamy a původ, které vrací API, a průběžné sledování zranitelností. Ani jeden z nich sám o sobě produkt do souladu nepřivede. Viz co je CRA a důkazy pro CRA.

Přečtěte si více o integraci CI/CD a generování SBOM z doby buildu, nebo si rezervujte demo a podívejte se na záznam buildu z CRACI vedle svého grafu závislostí.

Co CRACI nahrazuje a co ne, najdete na stránce co CRACI nahrazuje.

Otázky k cenám GitHub Advanced Security

Kolik stojí GitHub Advanced Security?

K září 2026 GitHub prodává Advanced Security jako dva doplňky: GitHub Secret Protection za $19 a GitHub Code Security za $30 za aktivního committera měsíčně, tedy $49 za aktivního committera za oba. Kupují se navíc k plánu GitHub Team nebo Enterprise.

Kdo se počítá jako aktivní committer?

Člověk s licencí GitHub Team nebo Enterprise ve vaší organizaci, jehož commit byl za posledních 90 dní pushnut do repozitáře, kde je zapnutá Secret Protection nebo Code Security, bez ohledu na to, kdy byl commit vytvořen. Každý člověk využívá jednu licenci pro celou organizaci nebo enterprise, bez ohledu na to, do kolika repozitářů přispívá.

Je GitHub Advanced Security pro veřejné repozitáře zdarma?

Částečně. Ve veřejných repozitářích GitHub ve výchozím nastavení zapíná skenování kódu, skenování tajných klíčů a push protection a zdarma je i dependency review. Soukromé repozitáře potřebují placené doplňky. Graf závislostí a upozornění Dependabot jsou součástí každého plánu GitHubu.

Mohu si GitHub Advanced Security koupit k plánu GitHub Free nebo Pro?

Ne. GitHub Secret Protection a GitHub Code Security vyžadují plán GitHub Team nebo GitHub Enterprise. Organizace na plánech Team a Enterprise Cloud mohou nejprve také spustit bezplatné posouzení rizik tajných klíčů a posouzení rizik bezpečnosti kódu.

Jak se GitHub Advanced Security fakturuje v Enterprise?

Dvěma způsoby. Měřená fakturace, v GitHub Enterprise Cloud a v GitHub Enterprise Server 3.13 nebo novějším s GitHub Connect, účtuje měsíčně licence, které aktivní committeři využili, bez předem stanoveného limitu. Objemová nebo předplatitelská fakturace kupuje pevný počet licencí na stanovené období, obvykle nejméně na rok.

Kolik stojí GitHub Advanced Security v Azure DevOps?

GitHub Advanced Security for Azure DevOps funguje s Azure Repos. Azure uvádí Secret Protection za $19 a Code Security za $30 za committera měsíčně, účtováno denně a fakturováno měsíčně na předplatné Azure propojené s organizací Azure DevOps. Committeři se v rámci tohoto předplatného počítají jednou pro každý produkt.

Obsahuje GitHub Advanced Security SBOM?

GitHub umí exportovat graf závislostí repozitáře jako SBOM ve formátu SPDX a graf závislostí je součástí každého plánu. Tento SBOM popisuje manifesty a lockfily ve výchozí větvi, ne konkrétní build. CRACI zaznamenává balíčky, které každý build skutečně stáhl, a pro každý build exportuje CycloneDX a SPDX.

Nahrazuje CRACI GitHub Advanced Security?

Ne. CRACI neprovádí skenování kódu ani skenování tajných klíčů. CRACI nahrazuje runner, na kterém běží vaše joby GitHub Actions, a zaznamenává a řídí, co každý build dělá. Týmy na GitHubu si obvykle ponechávají Secret Protection a Code Security pro své repozitáře a CRACI přidávají kvůli důkazům z buildu.