Gratis CI-minutter: hvad de dækker, og hvad de ikke dækker

Hvad gratis minutter dækker

GitHub inkluderer en månedlig kvote af Actions-minutter med hver konto til brug i private repositories. Pr. september 2026 angiver GitHubs dokumentation om afregning:

• GitHub Free: 2.000 minutter om måneden
• GitHub Pro og GitHub Team: 3.000 minutter om måneden
• GitHub Enterprise Cloud: 50.000 minutter om måneden

Standard GitHub-hostede runnere er gratis at bruge i offentlige repositories. Inkluderede minutter nulstilles ved starten af hver afregningsperiode. Nogle få detaljer påvirker, hvor langt de rækker:

• GitHub runder de minutter, hvert job bruger, op til nærmeste hele minut.
• Inkluderede minutter kan ikke bruges til GitHubs større runnere.
• Over kvoten koster en standard Linux-runner med 2 kerner $0.006 pr. minut (Windows og macOS koster mere pr. minut).

Det er et generøst tilbud på compute. For mange teams er det også det rigtige, og det siger vi nedenfor.

Hvor langt 2.000 minutter rækker

1. GitHub runder hvert job på 2 minutter og 20 sekunder op til 3 minutter, så én kørsel afregnes som 4 × 3 = 12 minutter.
2. 2.000 ÷ 12 = 166,7, så Free-kvoten dækker 166 fulde kørsler om måneden.
3. 166 ÷ 21 er cirka 7,9 kørsler pr. arbejdsdag for hele teamet.
4. Hver kørsel ud over kvoten koster 12 × $0.006 = $0.072.

Til sammenligning måles den samme kørsel på CRACI pr. sekund: 4 × 140 sekunder = 560 sekunder, eller cirka 9,33 minutter. På en runner med 2 vCPU til $0.004 pr. minut koster én kørsel cirka $0.037, og de 166 kørsler, som GitHub Free-kvoten dækker, koster cirka $6.20. CRACI har hverken et gratisniveau eller et månedligt gebyr: Du betaler pr. build-minut. Se prissiden for aktuelle tal.

Gratis minutter kan koste ingenting, og det kan CRACI ikke. Det bedre spørgsmål er, hvad hver af dem giver dig ud over compute.

Hvad gratis minutter ikke dækker

Minutter køber tid på en maskine. De var aldrig beregnet til at besvare de spørgsmål, der opstår, når du leverer software til kunder:

• Hvilke pakker downloadede dette build faktisk, og hvorfra?
• Kunne en kompromitteret afhængighed have nået en uventet host under buildet?
• Er det artefakt, vi leverede, det samme, som dette build producerede?
• Når en ny sårbarhed offentliggøres, hvilke af vores udgivne builds indeholder den så?
• Hvilken dokumentation kan vi give en kunde eller en revisor?

Sikkerhed

GitHub tilbyder gratis funktioner til forsyningskæden, der fungerer sammen med Actions, og de er værd at slå til. Dependabot-alarmer scanner dit repositorys default-branch og giver dig besked, når en ny sårbarhed føjes til GitHub Advisory Database. Du kan også eksportere den aktuelle tilstand af et repositorys afhængighedsgraf som en SBOM i SPDX-format.

Disse funktioner beskriver repositoryet. CRACI registrerer buildet. Dets runnere observerer trafikken til pakkekilder, mens jobbet kører, så SBOM'en angiver det, jobbet faktisk hentede, inklusive pakker gendannet fra CI-caches, og oplyser, om registreringen for hvert job og hver cache er komplet. Netværks-egress-politikker kan afvise alt undtagen de softwarekilder, du tillader. Detaljerne står på siden om SBOM-generering.

Robusthed

Når en ny CVE lander, er det nyttige svar ikke, om dit repository deklarerer pakken i dag, men hvilke builds du har leveret, der indeholder den. CRACI samler sårbarheder på tværs af builds og repositories og genvurderer overvågede SBOM'er løbende, så du kan finde de builds, der deler en sårbar afhængighed. Se sårbarhedsopfølgning.

Compliance-dokumentation

Kunder og myndigheder beder i stigende grad om SBOM'er og bevis for, hvordan software er bygget. CRACI's API returnerer SBOM'er, netværkstraces og provenance, og SBOM'er eksporteres som CycloneDX eller SPDX. Det automatiserer en væsentlig del af den synlighed i og dokumentation for softwareforsyningskæden, som virksomheder har brug for i deres bredere CRA-compliance-proces. Det gør ikke i sig selv en virksomhed compliant.

Når gratis minutter faktisk er nok

Bliv på gratis minutter, og slå GitHubs gratis sikkerhedsfunktioner til, hvis de fleste af disse punkter passer:

• Din kode er open source i offentlige repositories, hvor hostede standardrunnere er gratis.
• Du laver prototyper, og intet af det, du bygger, har nået kunder endnu.
• Dine builds passer komfortabelt inden for den månedlige kvote.
• Ingen kunde, revisor eller myndighed beder dig om SBOM'er eller build-dokumentation.
• Du sælger ikke produkter med digitale elementer på EU-markedet.

I den situation køber du med CRACI dokumentation, som ingen har brug for endnu. Kom tilbage, når det ændrer sig.

Tegn på, at det er tid til at se ud over gratis minutter

• Et sikkerhedsspørgeskema fra en kunde beder om en SBOM for den release, du leverede.
• Du sælger i EU. Cyber Resilience Acts forpligtelser til at rapportere sårbarheder gælder fra september 2026, med fuld anvendelse i december 2027. Vores CRA-overblik dækker det grundlæggende.
• En hændelse efterlader dig med spørgsmålet om, hvilke builds der hentede en pakke, og ingen kan svare hurtigt.
• Du overskrider den gratis kvote hver måned og betaler allerede for minutter.

En mellemvej for startups

Startups, der opfylder kravene, får mindst 100k gratis build-minutter og personlig onboarding fra vores team via startup-programmet. Det er en måde at se, hvordan dokumentation fra buildet ser ud på din egen pipeline, før du betaler for det.