Comparativa
Precios de GitHub Advanced Security y dónde encaja CRACI
GitHub Advanced Security cuesta $19 por committer activo al mes por Secret Protection y $30 por Code Security, en un plan GitHub Team o Enterprise. Ambos leen su repositorio. CRACI ejecuta sus jobs de GitHub Actions y registra lo que hizo realmente cada build.
Actualizado el
La respuesta corta
A septiembre de 2026, GitHub vende GitHub Advanced Security como dos complementos. GitHub Secret Protection cuesta $19 por committer activo al mes y cubre el escaneo de secretos y la push protection. GitHub Code Security cuesta $30 por committer activo al mes y cubre el code scanning con CodeQL, Copilot Autofix, la revisión de dependencias y las funciones premium de Dependabot. La compra de ambos asciende a $49 por committer activo al mes. Ambos requieren un plan GitHub Team o Enterprise, y se pagan además de sus licencias de GitHub.
Un committer activo es cualquier persona cuyo commit se haya enviado en los últimos 90 días a un repositorio con el producto activado, y se cuenta una vez en toda su organización. Por eso la factura depende de quién envía código, no de cuántas licencias tiene.
Precios de GitHub Advanced Security de un vistazo
| Función | Secret Protection | Code Security |
|---|---|---|
| Precio de catálogo | $19 por committer activo al mes | $30 por committer activo al mes |
| Qué cubre | Escaneo de secretos, push protection, comprobaciones de validez, escaneo de secretos con Copilot, patrones genéricos, controles de omisión | Code scanning con CodeQL, Copilot Autofix, revisión de dependencias, actualizaciones de seguridad y de versión de Dependabot, reglas personalizadas de autotriaje |
| Plan de GitHub necesario | GitHub Team o Enterprise | GitHub Team o Enterprise |
| Repositorios públicos | Escaneo de secretos y push protection gratuitos | CodeQL, Copilot Autofix y grafo de dependencias gratuitos |
| Azure DevOps | $19 por committer al mes, facturado a través de Azure | $30 por committer al mes, facturado a través de Azure |
Los precios son los de catálogo de GitHub y Azure a septiembre de 2026. La página de planes de GitHub enumera las funciones que cada complemento añade en Team y Enterprise; la columna gratuita cubre los repositorios públicos en GitHub.com.
Cómo se calcula la factura
- Por committer activo y por producto. Un committer está activo si uno de sus commits se envió a un repositorio con el producto activado en los últimos 90 días, independientemente de cuándo se escribiera. Cada persona usa una licencia en toda la organización o empresa, sea cual sea el número de repositorios en los que trabaje.
- Solo cuentan los repositorios activados. Secret Protection y Code Security se activan de forma independiente, así que puede activar Secret Protection en todas partes y Code Security solo donde lo necesite.
- Facturación medida o por volumen en Enterprise. La facturación medida, en GitHub Enterprise Cloud y en GitHub Enterprise Server 3.13 o posterior con GitHub Connect, cobra cada mes las licencias usadas, sin un límite predefinido ni estado de excedente. La facturación por volumen o suscripción compra un número fijo de licencias durante un periodo, normalmente de al menos un año.
- Evaluaciones de riesgo gratuitas. Las organizaciones en Team y Enterprise Cloud pueden realizar antes de comprar una evaluación gratuita del riesgo de secretos y una evaluación del riesgo de seguridad del código en un máximo de 20 repositorios activos.
Un ejemplo práctico
Un equipo de 50 desarrolladores que envían código a repositorios con ambos productos activados paga 50 × $19 = $950 por Secret Protection y 50 × $30 = $1,500 por Code Security: $2,450 al mes, o $29,400 al año, a precio de catálogo. Eso se suma a las licencias de GitHub Team o Enterprise y a los minutos de GitHub Actions. Cuenta cualquier persona con licencia en su organización que envíe código a un repositorio activado, incluidos los contratistas, así que cuente committers y no empleados.
Qué obtiene sin pagar
El grafo de dependencias y las alertas de Dependabot están incluidos en todos los planes de GitHub. En los repositorios públicos, el code scanning, el escaneo de secretos, la push protection y la revisión de dependencias son gratuitos. Si su proyecto es de código abierto, gran parte de GitHub Advanced Security no cuesta nada.
GitHub Advanced Security para Azure DevOps
Los mismos dos productos se venden para Azure Repos, a $19 por committer al mes por Secret Protection y $30 por Code Security en la página de precios de Azure. Los cargos se acumulan a diario y se facturan cada mes a la suscripción de Azure vinculada a la organización de Azure DevOps, y los committers se cuentan una vez por producto en esa suscripción.
Lo que GitHub Advanced Security hace bien
El code scanning con CodeQL es un análisis estático semántico integrado en las pull requests, y Copilot Autofix propone correcciones para las alertas que genera. El escaneo de secretos cubre el historial de git, las pull requests, las issues y las wikis, y la push protection bloquea un secreto antes de que llegue al repositorio. Las comprobaciones de validez le dicen si una credencial filtrada sigue activa. CRACI no hace nada de esto, y nada en esta página sugiere sustituirlo.
En cuanto a las dependencias, el grafo de dependencias analiza los manifiestos y lockfiles de su repositorio, y Dependabot le avisa cuando uno coincide con un aviso de GitHub Advisory Database. Las actualizaciones de seguridad intentan abrir una pull request por cada alerta abierta que tenga un parche, y la revisión de dependencias (parte de Code Security) muestra qué cambia una pull request antes de la fusión. El envío automático de dependencias puede añadir datos resueltos en el build para Maven, Gradle y Python. Puede exportar el grafo como una SBOM en SPDX desde la interfaz o la API REST.
Las artifact attestations usan Sigstore para firmar la procedencia del build de binarios e imágenes de contenedor, y pueden certificar SBOM en SPDX o CycloneDX. GitHub documenta que las attestations por sí solas proporcionan SLSA v1.0 Build Level 2, y Level 3 con reusable workflows.
Lo que el precio no cubre
Todas las funciones de GitHub Advanced Security leen su repositorio: su código, sus secretos y sus dependencias declaradas. Ninguna registra lo que ocurre dentro del build que produce su versión, ni controla a qué puede acceder ese build en la red. Ahí es donde encaja CRACI.
| Función | CRACI | GitHub Advanced Security |
|---|---|---|
| Dependencias registradas desde el build | Descargas observadas, incluidos paquetes de cachés de CI | Grafo a partir de manifiestos, más datos de build enviados |
| Exportación de SBOM | CycloneDX y SPDX por build, indica su completitud | Exportación SPDX del grafo de dependencias del repositorio |
| Política de egress de red en el build | Denegación o permiso por defecto; si falla, bloquea | No forma parte de GitHub Advanced Security |
| Procedencia firmada del build | Sin procedencia firmada | Artifact attestations, SLSA v1.0 Build Level 2 |
| Alertas de vulnerabilidades de dependencias | Agregadas de todos los builds, SBOM monitorizadas reevaluadas | Alertas de Dependabot desde GitHub Advisory Database |
| Exportación de informes de cumplimiento | SBOM en CycloneDX o SPDX, registros por API; sin exportación de informes | Paneles de security overview dentro de GitHub |
| Code scanning (SAST) | CodeQL con Copilot Autofix, en Code Security | |
| Escaneo de secretos y push protection | GitHub Secret Protection | |
| Sistemas operativos de los runners | Hoy Linux en x86-64 y ARM64; Windows y macOS en la hoja de ruta | Runners Ubuntu Linux, Windows y macOS alojados por GitHub |
| Precios | $0.002 por vCPU-minuto ($0.004 para 2 vCPU), medido por segundo; sin cuota mensual | Secret Protection $19 y Code Security $30 por committer activo al mes, en Team o Enterprise (a septiembre de 2026). |
- Incluido
- En parte
- No incluido
- En la hoja de ruta
La tabla combina GitHub Advanced Security con las funciones de la plataforma GitHub en las que se apoya (grafo de dependencias, Dependabot, artifact attestations y runners alojados), porque así es como las perciben los equipos.
Un registro del build, no del repositorio
El grafo de dependencias describe el repositorio y se actualiza cuando un commit cambia un manifiesto o lockfile en la rama por defecto. Eso es útil, pero no es lo mismo que un registro del job que produjo una versión. CRACI observa el propio build: un proxy que entiende de paquetes ve el tráfico hacia las fuentes de paquetes, en fuentes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk y Git. La evidencia viaja con las cachés de CI, y cada SBOM indica su completitud por job y por caché: Complete, Complete with connections, Incomplete, Unavailable o Not recorded.
Control sobre a qué puede acceder el job
CRACI aplica una política de egress por job: denegación o permiso por defecto, con 24 presets de fuentes de software integrados y fuentes personalizadas tipadas para registros y Git. Las políticas se validan antes de que empiece el job y, si fallan, bloquean, y CRACI le avisa de cualquier infracción de política. Es un control de runtime sobre el build, algo que escanear el repositorio no puede proporcionar.
Procedencia
Las artifact attestations de GitHub son un paso de workflow que usted añade. Firman la procedencia del build, y GitHub documenta SLSA v1.0 Build Level 2 para ellas. CRACI no firma la procedencia y no reivindica ningún nivel SLSA: la API devuelve SBOM, trazas de red y procedencia. Si necesita procedencia firmada o un nivel SLSA documentado, las attestations de GitHub lo proporcionan.
Monitorizar lo que se distribuyó
CRACI agrega las vulnerabilidades de builds y repositorios, sigue reevaluando las SBOM monitorizadas y permite a los equipos de seguridad hacer el triaje de los hallazgos y enviarlos a los equipos responsables de la corrección. Su vista de inventario muestra exactamente qué versiones de software están desplegadas en qué productos, a escala global. Las SBOM se exportan en CycloneDX o SPDX, con las vulnerabilidades incluidas, y la API devuelve SBOM, trazas de red y procedencia.
Un modelo de precios distinto
GitHub Advanced Security se cobra por committer activo. CRACI se cobra solo por minuto de build, porque es el runner: $0.002 por minuto de vCPU ($0.004 para un runner de 2 vCPU por defecto), medido por segundo, sin cuota mensual. Esos minutos ejecutan jobs que de otro modo ejecutaría en runners alojados por GitHub. Consulte los precios de CRACI para ver las condiciones actuales.
Cómo encajan juntos
- GitHub Advanced Security en cada pull request: CodeQL, escaneo de secretos, push protection y revisión de dependencias.
- Dependabot manteniendo parcheadas las dependencias declaradas.
- CRACI como runner: registra cada build, aplica la política de egress y conserva la evidencia.
Las ejecuciones en CRACI siguen apareciendo en la interfaz de GitHub, y sus workflows conservan sus pasos; un job se mueve
a CRACI cambiando su etiqueta runs-on. Siga con los runners alojados por GitHub para los jobs de Windows y
macOS: CRACI ejecuta hoy solo Linux, en x86-64 y ARM64, con Windows y macOS en la hoja de ruta.
¿Está comparando escáneres de código? Consulte las alternativas a GitHub Advanced Security, con sus precios.
Para el Cyber Resilience Act
Las herramientas de GitHub le ayudan a encontrar y corregir vulnerabilidades antes del lanzamiento, algo que un fabricante debe hacer. CRACI automatiza una parte importante de la visibilidad y la evidencia de la cadena de suministro de software que las empresas necesitan para su proceso más amplio de cumplimiento del CRA: qué entró en cada versión, las SBOM, trazas de red y procedencia que devuelve la API, y el seguimiento continuo de vulnerabilidades. Ninguno de los dos hace que un producto cumpla por sí solo. Consulte qué es el CRA y la evidencia para el CRA.
Lea más sobre la integración con CI/CD y la generación de SBOM durante el build, o reserve una demo para ver el registro del build de CRACI junto a su grafo de dependencias.
Preguntas sobre los precios de GitHub Advanced Security
¿Cuánto cuesta GitHub Advanced Security?
A septiembre de 2026, GitHub vende Advanced Security como dos complementos: GitHub Secret Protection a $19 y GitHub Code Security a $30 por committer activo al mes, es decir, $49 por committer activo por ambos. Se compran además de un plan GitHub Team o Enterprise.
¿Qué se considera un committer activo?
Alguien con una licencia de GitHub Team o Enterprise en su organización cuyo commit se haya enviado, en los últimos 90 días, a un repositorio con Secret Protection o Code Security activado, independientemente de cuándo se escribiera el commit. Cada persona usa una licencia en toda la organización o empresa, sea cual sea el número de repositorios en los que colabore.
¿GitHub Advanced Security es gratuito para repositorios públicos?
En parte. En los repositorios públicos, GitHub activa por defecto el code scanning, el escaneo de secretos y la push protection, y la revisión de dependencias también es gratuita. Los repositorios privados necesitan los complementos de pago. El grafo de dependencias y las alertas de Dependabot están incluidos en todos los planes de GitHub.
¿Puedo comprar GitHub Advanced Security con un plan GitHub Free o Pro?
No. GitHub Secret Protection y GitHub Code Security requieren un plan GitHub Team o GitHub Enterprise. Las organizaciones en Team y Enterprise Cloud también pueden realizar antes una evaluación gratuita del riesgo de secretos y una evaluación del riesgo de seguridad del código.
¿Cómo se factura GitHub Advanced Security en Enterprise?
De dos formas. La facturación medida, en GitHub Enterprise Cloud y en GitHub Enterprise Server 3.13 o posterior con GitHub Connect, cobra cada mes las licencias que usaron los committers activos, sin un límite predefinido. La facturación por volumen o suscripción compra un número fijo de licencias durante un periodo determinado, normalmente de al menos un año.
¿Cuánto cuesta GitHub Advanced Security en Azure DevOps?
GitHub Advanced Security para Azure DevOps funciona con Azure Repos. Azure indica Secret Protection a $19 y Code Security a $30 por committer al mes, con cargo diario y facturación mensual a la suscripción de Azure vinculada a la organización de Azure DevOps. Los committers se cuentan una vez por producto en esa suscripción.
¿GitHub Advanced Security incluye una SBOM?
GitHub puede exportar el grafo de dependencias de un repositorio como una SBOM en SPDX, y el grafo de dependencias está incluido en todos los planes. Esa SBOM describe los manifiestos y lockfiles de la rama por defecto, no un build concreto. CRACI registra los paquetes que cada build descargó realmente y exporta CycloneDX y SPDX por build.
¿CRACI sustituye a GitHub Advanced Security?
No. CRACI no hace code scanning ni escaneo de secretos. CRACI sustituye el runner en el que se ejecutan sus jobs de GitHub Actions, y registra y controla lo que hace cada build. Los equipos en GitHub suelen conservar Secret Protection y Code Security para sus repositorios y añaden CRACI para obtener evidencia del build.
Conserve GitHub. Añada evidencia de cada build.
Reserve una demo para ver un job de GitHub Actions ejecutándose en CRACI, con su SBOM, su política de egress y su traza de red junto a su grafo de dependencias.
Reservar una demo