Srovnání cen bezpečnosti softwarového dodavatelského řetězce

Ve zkratce

• Většina nástrojů účtuje za vývojáře. Při 25 vývojářích stojí zveřejněné licence od $16 do $70 na vývojáře měsíčně. Enterprise SCA od Black Duck, Sonatype a Endor Labs se prodává na základě individuální nabídky.
• Export SBOM často vyžaduje vyšší plán. Snyk exportuje SBOM jen v plánu Enterprise a Socket od plánu Business; GitHub exportuje graf závislostí jako SPDX zdarma.
• CRACI nyní neúčtuje žádný licenční poplatek. Účtuje jen minuty buildu, $0.002 za vCPU-minutu, a za tyto minuty získáte i runner. Na standardních runnerech x64 to vychází levněji než samotné minuty runnerů hostovaných na GitHubu.
• Rozsah není stejný. Několik nástrojů přidává SAST, detekci tajných klíčů nebo malwaru. CRACI zaznamenává, co každý build skutečně stáhl, a řídí, kam se může připojit.

Kdo je ve srovnání

CRACI spouští joby GitHub Actions, zaznamenává každý balíček, který každý job stáhl, jako SBOM, monitoruje tyto SBOM kvůli novým zranitelnostem a vynucuje na jobu egress policy. Tato stránka uvádí ceny produktů, které dělají část této práce pro software, který vyvíjíte:

• SCA s exportem SBOM: Snyk, GitHub Code Security, Aikido, Socket, Semgrep Supply Chain, JFrog Xray a Kusari Inspector.
• Správa SBOM: FOSSA a Docker Scout pro image kontejnerů.
• Zabezpečení buildu: StepSecurity, který přidává kontrolu odchozího provozu k runnerům, které si ponecháte.

Vynechány jsou: CI runnery, které mají vlastní srovnání cen; nástroje jen pro SAST; analýza firmwaru a binárek; a zpevněné image, jako je Chainguard, které zabezpečují vstupy, místo aby zaznamenávaly build.

Kolik stojí licence na vývojáře

Každý produkt v nejlevnějším plánu, který zahrnuje export SBOM. Paušální a stupňované plány jsou rozpočítány na tým, takže FOSSA, JFrog a Aikido jsou na vývojáře levnější, čím víc tým zaplní daný stupeň. Najeďte myší na sloupec a uvidíte, co plán pokrývá.

Vývojáři: 5Vývojáři: 10Vývojáři: 25Vývojáři: 50Vývojáři: 100Vývojáři: 200

Zobrazit tabulku

Licence na vývojáře měsíčně, velikost týmu: 25, od nejnižší

CRACI zde stojí $0: nemá licenci ani poplatek za vývojáře. Platíte $0.002 za vCPU-minutu buildu, za kterou získáte i runner; započítává ho další graf.

Celkem: minuty runneru plus bezpečnost

CRACI nahrazuje runner, takže férové srovnání započítá runner na všech stranách. S jakýmkoli jiným nástrojem dál platíte za minuty runnerů hostovaných na GitHubu a k tomu licenci. S CRACI platíte minuty buildu a nic dalšího. Zadejte velikost týmu a kolik minut buildu měsíčně každý vývojář spotřebuje; výchozí hodnota 1 000 je ilustrativní.

VývojářiMinuty buildu na vývojáře měsíčně

x64ARM64

Velikost runneru2 vCPU4 vCPU8 vCPU16 vCPU32 vCPU

Minuty buildu CRACIMinuty runnerů hostovaných na GitHubuBezpečnostní licence

Zobrazit tabulku

Započítat $18 využití zahrnutého v GitHub TeamZapočítat rychlost CRACI (zhruba 2krát rychlejší než GitHub-hosted)

Měsíční náklady, vývojáři: 25, minuty buildu: 25,000, 2 vCPU x64, od nejnižších

CRACI $100 měsíčně oproti $132 za samotné runnery hostované na GitHubu: SBOM, monitorování zranitelností a egress policy vyjdou levněji, než dnes stojí samotné minuty runneru.

Roční náklady s růstem týmu, stejné minuty buildu na vývojáře

• CRACI
• GitHub-hosted, Dependabot zdarma
• + GitHub Code Security
• + Snyk
• + Aikido
• + Socket
• + Semgrep Supply Chain
• + FOSSA
• + JFrog Xray
• + Docker Scout
• + Kusari Inspector
• + StepSecurity

Podle ceníkových cen stojí minuty buildu CRACI na standardním runneru x64 se 2 vCPU zhruba o 33 % méně než minuty hostované na GitHubu a každý produkt na této stránce k těmto minutám přidává licenci. Na velkých runnerech ARM64 se poměr mění: 32jádrový runner arm64 od GitHubu má ceníkovou cenu $0.050 za minutu oproti $0.064 u CRACI, takže tam CRACI stojí za minutu zhruba o 28 % víc. CRACI také spouští buildy zhruba dvakrát rychleji než runnery hostované na GitHubu, díky rychlejšímu hardwaru, kratšímu čekání ve frontě a cachování; zaškrtněte políčko, chcete-li to započítat.

Co za tu cenu dostanete

Produkty bez zveřejněných cen

Enterprise SCA a platformy pro bezpečnost dodavatelského řetězce se většinou prodávají přes obchod, obvykle za přispívajícího vývojáře. Dělají stejnou práci pro software, který vyvíjíte, takže patří do užšího výběru, ale do grafu je zanést nelze.

Co CRACI nedělá

CRACI nepokrývá vše, co dělají tyto nástroje. Neskenuje zdrojový kód kvůli zranitelnostem ani tajným klíčům, neprovádí analýzu dosažitelnosti a nehodnotí balíčky z hlediska malwaru; známá škodlivá vydání označí, jakmile k nim existuje bezpečnostní upozornění. Spouští joby GitHub Actions na Linuxu, Windows a macOS jsou v plánu vývoje. Pokud máte na seznamu SAST nebo skenování tajných klíčů, vedle CRACI běží spousta dobrých nástrojů.

Místo toho zaznamenává samotný build. Během běhu každého jobu CRACI zaznamená každý balíček, který job stáhl, včetně balíčků obnovených z cache, a vytvoří z toho SBOM s uvedenou úplností. Tyto SBOM průběžně monitoruje, umožňuje bezpečnostním týmům provádět triáž nálezů a blokovat kvůli nim buildy a přes své API vrací SBOM, síťové stopy a původ (provenance). Podívejte se na ceník CRACI, nebo si rezervujte demo a spočítejte si cenu své pipeline.

Jak jsme srovnávali

• Zdroje: vlastní ceník nebo dokumentace každého dodavatele, ověřeno 29. září 2026.
• Plány: nejlevnější plán, který zahrnuje export SBOM, s měsíční fakturací, pokud ji dodavatel nabízí. Snyk je v grafu uveden podle zveřejněné kreditové sazby Enterprise pro Snyk Open Source, jeden kredit za $1 na aktivního přispěvatele a den. Cena Kusari je počáteční cena.
• Velikost týmu: vývojáři znamenají vlastní licenční jednotku dodavatele (aktivní committer, přispívající vývojář nebo uživatel), brané jako celý tým.
• Minuty runneru: ceníkové ceny Linuxu hostovaného na GitHubu bez zaokrouhlování na job, což GitHubu mírně nahrává. CRACI za ceníkovou cenu $0.002 za vCPU-minutu.
• Nezahrnuto: daně, množstevní slevy, slevy za roční předplatbu a náklady na vlastní provoz open source nástrojů, jako je Dependency-Track.

Ceny bezpečnosti dodavatelského řetězce: časté dotazy

Stručné odpovědi na to, kolik tyto nástroje stojí a co cena pokrývá.

Kolik stojí bezpečnost softwarového dodavatelského řetězce?

U nástrojů se zveřejněnými cenami od nuly do zhruba $70 na vývojáře měsíčně (k září 2026). Upozornění Dependabot a export SBOM od GitHubu jsou zdarma, Semgrep Supply Chain je zdarma až pro 10 přispěvatelů a plány na vývojáře stojí od $16 (StepSecurity) do $50 (Socket Business). Enterprise SCA od Black Duck, Sonatype a Endor Labs se prodává na základě nabídky.

Jak je CRACI zpoplatněno?

CRACI účtuje jen minuty buildu: $0.002 za vCPU-minutu ($0.004 za výchozí runner se 2 vCPU), účtováno po sekundách, bez měsíčního poplatku, bez poplatku za vývojáře a bez poplatku za SBOM. Minuty buildu zaplatí i runner, protože CRACI nahrazuje runner GitHub Actions.

Proč srovnání zahrnuje minuty runneru?

Protože CRACI je runner. S jakýmkoli jiným nástrojem na této stránce dál platíte za minuty runnerů hostovaných na GitHubu a navíc licenci. Srovnání minut buildu CRACI se samotnou licencí by vynechalo účet za runner, který CRACI nahrazuje.

Jaký plán potřebujete pro export SBOM?

Liší se to. Snyk exportuje SBOM jen v plánu Enterprise, Socket od plánu Business, Aikido od plánu Basic a FOSSA, Semgrep a JFrog Xray v plánech uvedených v grafu. GitHub exportuje graf závislostí jako SPDX v každém plánu. CRACI zaznamenává SBOM v každém buildu, který spouští.

Co dělají ostatní nástroje a CRACI ne?

Mimo jiné SAST, skenování tajných klíčů, analýzu dosažitelnosti a hodnocení reputace škodlivých balíčků. Aikido, Snyk, Semgrep a GitHub Code Security skenují zdrojový kód; Socket a Aikido blokují škodlivé balíčky. CRACI označuje známá škodlivá vydání, ke kterým existuje bezpečnostní upozornění, ale nehodnotí balíčky z hlediska malwaru. Spouští joby GitHub Actions na Linuxu.