Bezplatné minuty CI: co pokrývají a co ne

Co bezplatné minuty pokrývají

GitHub ke každému účtu zahrnuje měsíční kvótu minut Actions pro použití v soukromých repozitářích. K září 2026 uvádí dokumentace GitHubu k fakturaci:

• GitHub Free: 2 000 minut měsíčně
• GitHub Pro a GitHub Team: 3 000 minut měsíčně
• GitHub Enterprise Cloud: 50 000 minut měsíčně

Standardní runnery hostované na GitHubu jsou ve veřejných repozitářích zdarma. Zahrnuté minuty se obnovují na začátku každého fakturačního období. Jak daleko vystačí, ovlivňuje několik detailů:

• GitHub zaokrouhluje minuty, které každý job spotřebuje, nahoru na nejbližší celou minutu.
• V plánech Team a Enterprise Cloud čerpají větší runnery ze stejného zahrnutého objemu, a to svou vyšší sazbou.
• Nad rámec kvóty stojí standardní 2jádrový linuxový runner $0.006 za minutu (Windows a macOS stojí za minutu více).

Pro výpočetní výkon je to velkorysá nabídka. Pro mnoho týmů je to také ta správná, jak uvádíme níže.

Jak daleko vystačí 2 000 minut

1. GitHub zaokrouhlí každý job o délce 2 minuty 20 sekund nahoru na 3 minuty, takže jeden běh se účtuje jako 4 × 3 = 12 minut.
2. 2 000 ÷ 12 = 166,7, takže kvóta Free pokryje 166 celých běhů měsíčně.
3. 166 ÷ 21 je zhruba 7,9 běhu za pracovní den pro celý tým.
4. Každý běh nad rámec kvóty stojí 12 × $0.006 = $0.072.

Chcete-li si tento výpočet udělat s vlastními čísly, se zahrnutým objemem každého plánu a pravidly pro větší runnery, použijte kalkulačku cen GitHub Actions.

Pro srovnání: stejný běh se na CRACI účtuje po sekundách: 4 × 140 sekund = 560 sekund, tedy zhruba 9,33 minuty. Na runneru se 2 vCPU za $0.004 za minutu stojí jeden běh zhruba $0.037 a 166 běhů, které pokryje kvóta GitHub Free, stojí zhruba $6.20. CRACI nemá bezplatný tarif ani měsíční poplatek: platíte za minutu buildu. Aktuální čísla najdete na stránce s ceníkem.

Bezplatné minuty mohou nestát nic, CRACI ne. Lepší otázka je, co vám každá z možností dává kromě výpočetního výkonu.

Co bezplatné minuty nepokrývají

Za minuty si kupujete čas na stroji. Nikdy neměly odpovídat na otázky, které vyvstanou, když dodáváte software zákazníkům:

• Které balíčky tento build skutečně stáhl a odkud?
• Mohla se kompromitovaná závislost během buildu spojit s neočekávaným hostitelem?
• Je artefakt, který jsme dodali, ten, který tento build vytvořil?
• Když se zveřejní nová zranitelnost, která z našich vydaných buildů ji obsahují?
• Jaké důkazy můžeme předat zákazníkovi nebo auditorovi?

Bezpečnost

GitHub nabízí bezplatné funkce pro dodavatelský řetězec, které fungují vedle Actions, a vyplatí se je zapnout. Upozornění Dependabot skenují výchozí větev vašeho repozitáře a upozorní vás, když do GitHub Advisory Database přibude nová zranitelnost. Aktuální stav grafu závislostí repozitáře můžete také exportovat jako SBOM ve formátu SPDX.

Tyto funkce popisují repozitář. CRACI zaznamenává build. Jeho runnery během jobu sledují provoz ke zdrojům balíčků, takže SBOM uvádí, co job skutečně stáhl, včetně balíčků obnovených z cache CI, a uvádí, zda je záznam pro každý job a cache úplný. Politiky odchozího provozu mohou zakázat vše kromě zdrojů softwaru, které povolíte. Podrobnosti najdete na stránce Generování SBOM.

Odolnost

Když přijde nové CVE, užitečná odpověď nezní, zda váš repozitář dnes balíček deklaruje, ale které dodané buildy ho obsahují. CRACI agreguje zranitelnosti napříč buildy a repozitáři a průběžně znovu vyhodnocuje monitorované SBOM, takže najdete buildy, které sdílejí zranitelnou závislost. Viz sledování zranitelností.

Důkazy o souladu

Zákazníci a regulátoři stále častěji žádají SBOM a doklad o tom, jak byl software sestaven. API CRACI vrací SBOM, síťové záznamy a původ a SBOM se exportují jako CycloneDX nebo SPDX. CRACI automatizuje významnou část přehledu o softwarovém dodavatelském řetězci a důkazů, které firmy potřebují pro svůj širší proces souladu s CRA. Sám o sobě ale firmu do souladu nedostane.

Kdy bezplatné minuty opravdu stačí

Zůstaňte u bezplatných minut a zapněte bezplatné bezpečnostní funkce GitHubu, pokud platí většina z následujícího:

• Váš kód je open source ve veřejných repozitářích, kde jsou standardní hostované runnery zdarma.
• Prototypujete a nic z toho, co sestavujete, se zatím nedostalo k zákazníkům.
• Vaše buildy se pohodlně vejdou do měsíční kvóty.
• Žádný zákazník, auditor ani regulátor po vás nežádá SBOM ani důkazy z buildu.
• Neprodáváte produkty s digitálními prvky na trhu EU.

V takové situaci byste za CRACI platili za důkazy, které zatím nikdo nepotřebuje. Vraťte se, až se to změní.

Známky, že je čas podívat se dál než na bezplatné minuty

• Bezpečnostní dotazník zákazníka žádá SBOM vydání, které jste dodali.
• Prodáváte v EU. Povinnosti Cyber Resilience Act týkající se hlášení zranitelností platí od září 2026, plně se použije od prosince 2027. Základy shrnuje náš přehled CRA.
• Po incidentu se ptáte, které buildy stáhly určitý balíček, a nikdo nedokáže rychle odpovědět.
• Každý měsíc překročíte bezplatnou kvótu a už za minuty platíte.

Střední cesta pro startupy

Způsobilé startupy získají v programu pro startupy nejméně 100 tisíc bezplatných minut buildu a praktickou pomoc s onboardingem od našeho týmu. Je to způsob, jak si na vlastní pipeline prohlédnout důkazy z doby buildu dřív, než za ně zaplatíte.