Priser på GitHub Advanced Security, og hvor CRACI passer ind

Det korte svar

Pr. september 2026 sælger GitHub GitHub Advanced Security som to tilkøb. GitHub Secret Protection koster $19 pr. aktiv committer pr. måned og dækker secret scanning og push protection. GitHub Code Security koster $30 pr. aktiv committer pr. måned og dækker code scanning med CodeQL, Copilot Autofix, dependency review og premium-funktioner i Dependabot. Køber du begge, bliver det $49 pr. aktiv committer pr. måned. Begge kræver en GitHub Team- eller Enterprise-plan, og du betaler for dem oven i dine GitHub-licenser.

En aktiv committer er enhver, hvis commit er blevet pushet til et repository med produktet slået til inden for de seneste 90 dage, talt én gang på tværs af din organisation. Derfor følger regningen, hvem der pusher kode, ikke hvor mange licenser du har.

Priser på GitHub Advanced Security i overblik

Priserne er GitHubs og Azures listepriser pr. september 2026. GitHubs planside angiver de funktioner, hvert tilkøb tilføjer på Team og Enterprise; den gratis kolonne dækker offentlige repositories på GitHub.com.

Sådan beregnes regningen

• Pr. aktiv committer, pr. produkt. En committer er aktiv, hvis et af vedkommendes commits er blevet pushet til et repository med produktet slået til inden for de seneste 90 dage, uanset hvornår det blev skrevet. Hver person bruger én licens på tværs af organisationen eller enterprise-kontoen, uanset hvor mange repositories vedkommende arbejder i.
• Kun repositories med produktet slået til tæller. Du slår Secret Protection og Code Security til uafhængigt af hinanden, så du kan slå Secret Protection til overalt og Code Security kun der, hvor du har brug for det.
• Målt afregning eller volumenafregning på Enterprise. Målt afregning, på GitHub Enterprise Cloud og på GitHub Enterprise Server 3.13 eller nyere med GitHub Connect, afregner månedligt for de brugte licenser, uden forudbestemt grænse og uden overforbrugstilstand. Ved volumen- eller abonnementsafregning køber du et fast antal licenser for en periode, typisk mindst et år.
• Gratis risikovurderinger. Organisationer på Team og Enterprise Cloud kan køre en gratis secret risk assessment og en code security risk assessment på op til 20 aktive repositories, før de køber.

Et regneeksempel

Et team på 50 udviklere, der alle pusher til repositories med begge produkter slået til, betaler 50 × $19 = $950 for Secret Protection og 50 × $30 = $1,500 for Code Security: $2,450 om måneden eller $29,400 om året til listepris. Det er oven i GitHub Team- eller Enterprise-licenser og GitHub Actions-minutter. Alle med en licens i din organisation, der pusher til et repository med produktet slået til, tæller med, også konsulenter, så tæl committere frem for ansatte.

Det får du uden at betale

Afhængighedsgrafen og Dependabot-alarmer er inkluderet i alle GitHub-planer. På offentlige repositories er code scanning, secret scanning, push protection og dependency review gratis. Er din kode open source, koster meget af GitHub Advanced Security ingenting.

GitHub Advanced Security for Azure DevOps

De samme to produkter sælges til Azure Repos, til $19 pr. committer pr. måned for Secret Protection og $30 for Code Security på Azures prisside. Gebyrer påløber dagligt og afregnes månedligt på det Azure-abonnement, der er knyttet til Azure DevOps-organisationen, og committere tælles én gang pr. produkt på tværs af abonnementet.

Det, GitHub Advanced Security gør godt

Code scanning med CodeQL er semantisk statisk analyse bygget ind i pull requests, og Copilot Autofix foreslår rettelser til de alarmer, det giver. Secret scanning dækker git-historik, pull requests, issues og wikier, og push protection blokerer en secret, før den lander. Gyldighedstjek fortæller dig, om lækkede legitimationsoplysninger stadig er aktive. CRACI gør intet af dette, og intet på denne side lægger op til at erstatte det.

På afhængigheder parser afhængighedsgrafen manifesterne og lockfilerne i dit repository, og Dependabot advarer dig, når en af dem matcher en advisory i GitHub Advisory Database. Security updates forsøger at åbne en pull request for hver åben alarm, der har en patch, og dependency review (en del af Code Security) viser, hvad en pull request ændrer før merge. Automatic dependency submission kan tilføje data resolvet under buildet for Maven, Gradle og Python. Du kan eksportere grafen som en SPDX-SBOM fra brugerfladen eller REST API'et.

Artifact attestations bruger Sigstore til at signere build-provenance for binærfiler og container-images og kan attestere SBOM'er i SPDX eller CycloneDX. GitHub dokumenterer, at attestations alene giver SLSA v1.0 Build Level 2 og Level 3 med genbrugelige workflows.

Det, prisen ikke dækker

Alle funktioner i GitHub Advanced Security læser dit repository: dets kode, dets secrets og dets deklarerede afhængigheder. Ingen af dem registrerer, hvad der sker inde i det build, der producerer din release, eller styrer, hvad det build kan nå på netværket. Det er der, CRACI passer ind.

Tabellen blander GitHub Advanced Security med de GitHub-platformfunktioner, det bygger på (afhængighedsgraf, Dependabot, artifact attestations og hostede runnere), fordi det er sådan, teams oplever dem.

En registrering af buildet, ikke repositoriet

Afhængighedsgrafen beskriver repositoriet og opdateres, når et commit ændrer et manifest eller en lockfile på default-branchen. Det er nyttigt, men det er ikke det samme som en registrering af det job, der producerede en release. CRACI observerer selve buildet: En pakkebevidst proxy ser trafik til pakkekilder på tværs af npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git-kilder. Dokumentationen følger med CI-caches, og hver SBOM angiver sin fuldstændighed pr. job og pr. cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded.

Kontrol over, hvad jobbet kan nå

CRACI håndhæver en egress-politik pr. job: default deny eller default allow, med 24 indbyggede presets for softwarekilder og typede brugerdefinerede kilder til registries og Git. Politikker valideres, før jobbet starter, og blokerer ved fejl, og CRACI advarer dig ved brud på en politik. Det er en runtime-kontrol på buildet, som scanning af repositoriet ikke kan give.

Provenance

GitHubs artifact attestations er et workflow-trin, du tilføjer. De signerer build-provenance, og GitHub dokumenterer SLSA v1.0 Build Level 2 for dem. CRACI signerer ikke provenance og gør ikke krav på noget SLSA-niveau: API'et returnerer SBOM'er, netværkstraces og provenance. Har du brug for signeret provenance eller et dokumenteret SLSA-niveau, giver GitHubs attestations det.

Overvågning af det leverede

CRACI samler sårbarheder på tværs af builds og repositories, bliver ved med at genvurdere overvågede SBOM'er og lader sikkerhedsteams triagere fund og sende dem til de teams, der ejer rettelsen. Dets inventaroversigt viser præcis, hvilke softwareversioner der er udrullet til hvilke produkter, globalt. SBOM'er eksporteres som CycloneDX eller SPDX, inklusive sårbarheder, og API'et returnerer SBOM'er, netværkstraces og provenance.

En anden prismodel

GitHub Advanced Security prissættes pr. aktiv committer. CRACI prissættes kun pr. build-minut, fordi det er runneren: $0.002 pr. vCPU-minut ($0.004 for en standardrunner med 2 vCPU), målt pr. sekund, uden månedligt gebyr. De minutter kører jobs, du ellers ville køre på GitHub-hostede runnere. Se CRACI's priser for de aktuelle vilkår.

Sådan passer de sammen

• GitHub Advanced Security på hver pull request: CodeQL, secret scanning, push protection og dependency review.
• Dependabot, der holder deklarerede afhængigheder patchede.
• CRACI som runner: registrerer hvert build, håndhæver egress-politik og opbevarer dokumentationen.

Kørsler på CRACI vises stadig i GitHubs brugerflade, og dine workflows beholder deres trin; du flytter et job til CRACI ved at ændre dets runs-on-label. Bliv på GitHub-hostede runnere til Windows- og macOS-jobs: CRACI kører kun Linux i dag, på x86-64 og ARM64, med Windows og macOS på roadmappen.

Sammenligner du i stedet kodescannere? Se alternativer til GitHub Advanced Security med deres priser.

Til Cyber Resilience Act

GitHubs værktøjer hjælper dig med at finde og rette sårbarheder før release, hvilket en producent skal gøre. CRACI automatiserer en væsentlig del af den synlighed i og dokumentation for softwareforsyningskæden, som virksomheder har brug for i deres bredere CRA-compliance-proces: hvad der gik ind i hver release, de SBOM'er, netværkstraces og den provenance, API'et returnerer, og løbende sårbarhedssporing. Ingen af dem gør i sig selv et produkt compliant. Se hvad CRA er og CRA-dokumentation.

Læs mere om CI/CD-integration og SBOM-generering under buildet, eller book en demo for at se CRACI's build-registrering ved siden af din afhængighedsgraf.

Spørgsmål om priser på GitHub Advanced Security

Hvad koster GitHub Advanced Security?

Pr. september 2026 sælger GitHub Advanced Security som to tilkøb: GitHub Secret Protection til $19 og GitHub Code Security til $30 pr. aktiv committer pr. måned, altså $49 pr. aktiv committer for begge. De købes oven i en GitHub Team- eller Enterprise-plan.

Hvad tæller som en aktiv committer?

En person med en GitHub Team- eller Enterprise-licens i din organisation, hvis commit inden for de seneste 90 dage er blevet pushet til et repository, hvor Secret Protection eller Code Security er slået til, uanset hvornår commit'et blev skrevet. Hver person bruger én licens på tværs af hele organisationen eller enterprise-kontoen, uanset hvor mange repositories vedkommende bidrager til.

Er GitHub Advanced Security gratis for offentlige repositories?

Delvist. På offentlige repositories slår GitHub code scanning, secret scanning og push protection til som standard, og dependency review er også gratis. Private repositories kræver de betalte tilkøb. Afhængighedsgrafen og Dependabot-alarmer er inkluderet i alle GitHub-planer.

Kan jeg købe GitHub Advanced Security på en GitHub Free- eller Pro-plan?

Nej. GitHub Secret Protection og GitHub Code Security kræver en GitHub Team- eller GitHub Enterprise-plan. Organisationer på Team og Enterprise Cloud kan også først køre en gratis secret risk assessment og code security risk assessment.

Hvordan afregnes GitHub Advanced Security på Enterprise?

På to måder. Målt afregning, på GitHub Enterprise Cloud og på GitHub Enterprise Server 3.13 eller nyere med GitHub Connect, tager månedlig betaling for de licenser, aktive committere brugte, uden forudbestemt grænse. Ved volumen- eller abonnementsafregning køber du et fast antal licenser for en bestemt periode, typisk mindst et år.

Hvad koster GitHub Advanced Security på Azure DevOps?

GitHub Advanced Security for Azure DevOps fungerer med Azure Repos. Azure angiver Secret Protection til $19 og Code Security til $30 pr. committer pr. måned, opkrævet dagligt og afregnet månedligt på det Azure-abonnement, der er knyttet til Azure DevOps-organisationen. Committere tælles én gang pr. produkt på tværs af abonnementet.

Indeholder GitHub Advanced Security en SBOM?

GitHub kan eksportere et repositorys afhængighedsgraf som en SPDX-SBOM, og afhængighedsgrafen er inkluderet i alle planer. Den SBOM beskriver manifesterne og lockfilerne på default-branchen, ikke et bestemt build. CRACI registrerer de pakker, hvert build faktisk hentede, og eksporterer CycloneDX og SPDX pr. build.

Erstatter CRACI GitHub Advanced Security?

Nej. CRACI laver hverken code scanning eller secret scanning. CRACI erstatter den runner, dine GitHub Actions-jobs kører på, og registrerer og kontrollerer, hvad hvert build gør. Teams på GitHub beholder typisk Secret Protection og Code Security til deres repositories og tilføjer CRACI for at få dokumentation fra buildet.