GitHub Advanced Securityn hinnoittelu ja CRACI:n paikka

Lyhyt vastaus

Syyskuussa 2026 GitHub myy GitHub Advanced Securitya kahtena lisäosana. GitHub Secret Protection maksaa $19 aktiiviselta committaajalta kuukaudessa ja kattaa salaisuuksien skannauksen ja push protectionin. GitHub Code Security maksaa $30 aktiiviselta committaajalta kuukaudessa ja kattaa CodeQL-koodiskannauksen, Copilot Autofixin, dependency review'n ja Dependabotin premium-ominaisuudet. Molemmat yhdessä maksavat $49 aktiiviselta committaajalta kuukaudessa. Kumpikin edellyttää GitHub Team- tai Enterprise-tilausta, ja niistä maksetaan GitHub-käyttäjäpaikkojen lisäksi.

Aktiivinen committaaja on kuka tahansa, jonka commit on viimeisten 90 päivän aikana pushattu repositorioon, jossa tuote on käytössä, ja hänet lasketaan kerran koko organisaatiossa. Siksi lasku seuraa sitä, kuka pushaa koodia, ei sitä, montako käyttäjäpaikkaa sinulla on.

GitHub Advanced Securityn hinnoittelu yhdellä silmäyksellä

Hinnat ovat GitHubin ja Azuren listahintoja syyskuussa 2026. GitHubin pakettisivu luettelee ominaisuudet, jotka kukin lisäosa tuo Team- ja Enterprise-tilauksiin; ilmainen sarake koskee GitHub.comin julkisia repositorioita.

Miten lasku lasketaan

• Aktiivista committaajaa ja tuotetta kohden. Committaaja on aktiivinen, jos jokin hänen commiteistaan on pushattu käytössä olevaan repositorioon viimeisten 90 päivän aikana, riippumatta siitä, milloin se on kirjoitettu. Kukin henkilö käyttää yhden lisenssin koko organisaatiossa tai enterprise-tilissä, vaikka hän koskisi kuinka moneen repositorioon.
• Vain käytössä olevat repositoriot lasketaan. Secret Protection ja Code Security otetaan käyttöön toisistaan riippumatta, joten voit ottaa Secret Protectionin käyttöön kaikkialla ja Code Securityn vain siellä, missä tarvitset sitä.
• Käyttöön perustuva tai volyymilaskutus Enterprisessa. Käyttöön perustuva laskutus GitHub Enterprise Cloudissa ja GitHub Enterprise Server 3.13:ssa tai uudemmassa GitHub Connectin kanssa laskuttaa kuukausittain käytetyt lisenssit ilman ennalta asetettua rajaa ja ilman ylitystilaa. Volyymi- tai tilauslaskutuksessa ostetaan kiinteä määrä lisenssejä määräajaksi, tyypillisesti vähintään vuodeksi.
• Ilmaiset riskiarviot. Team- ja Enterprise Cloud -organisaatiot voivat ennen ostoa tehdä ilmaisen salaisuuksien riskiarvion sekä koodin tietoturvan riskiarvion enintään 20 aktiiviselle repositoriolle.

Laskuesimerkki

50 kehittäjän tiimi, jonka kaikki jäsenet pushaavat repositorioihin, joissa molemmat tuotteet ovat käytössä, maksaa 50 × $19 = $950 Secret Protectionista ja 50 × $30 = $1,500 Code Securitysta: $2,450 kuukaudessa eli $29,400 vuodessa listahinnoin. Tämä tulee GitHub Team- tai Enterprise-käyttäjäpaikkojen ja GitHub Actions -minuuttien päälle. Jokainen organisaatiosi lisenssin haltija, joka pushaa käytössä olevaan repositorioon, lasketaan mukaan, myös alihankkijat, joten laske committaajat äläkä työntekijöitä.

Mitä saat maksamatta

Riippuvuusgraafi ja Dependabot-hälytykset sisältyvät kaikkiin GitHub-paketteihin. Julkisissa repositorioissa koodiskannaus, salaisuuksien skannaus, push protection ja dependency review ovat ilmaisia. Jos koodisi on avointa lähdekoodia, suuri osa GitHub Advanced Securitysta ei maksa mitään.

GitHub Advanced Security for Azure DevOps

Samoja kahta tuotetta myydään Azure Reposille: Azuren hinnoittelusivulla Secret Protection maksaa $19 ja Code Security $30 committaajalta kuukaudessa. Veloitus kertyy päivittäin ja laskutetaan kuukausittain Azure DevOps -organisaatioon liitetyltä Azure-tilaukselta, ja committaajat lasketaan kerran tuotetta kohden koko tilauksessa.

Missä GitHub Advanced Security on hyvä

CodeQL-koodiskannaus on pull requesteihin rakennettua semanttista staattista analyysiä, ja Copilot Autofix ehdottaa korjauksia sen nostamiin hälytyksiin. Salaisuuksien skannaus kattaa git-historian, pull requestit, issuet ja wikit, ja push protection estää salaisuuden ennen kuin se päätyy repositorioon. Voimassaolotarkistukset kertovat, onko vuotanut tunnistetieto yhä voimassa. CRACI ei tee mitään näistä, eikä mikään tällä sivulla ehdota niiden korvaamista.

Riippuvuuksien osalta riippuvuusgraafi jäsentää repositoriosi manifestit ja lukitustiedostot (lockfile), ja Dependabot hälyttää, kun jokin niistä vastaa GitHub Advisory Databasen tietoturvatiedotetta. Tietoturvapäivitykset yrittävät avata pull requestin jokaiselle avoimelle hälytykselle, jolle on paikkaus, ja dependency review (osa Code Securitya) näyttää, mitä pull request muuttaa ennen yhdistämistä. Automaattinen riippuvuuksien lähetys voi lisätä buildissa ratkaistuja tietoja Mavenille, Gradlelle ja Pythonille. Graafin voi viedä SPDX-muotoisena SBOM:na käyttöliittymästä tai REST API:n kautta.

Artifact attestations käyttää Sigstorea binäärien ja konttikuvien alkuperätietojen allekirjoittamiseen ja voi attestoida SBOM:t SPDX- tai CycloneDX-muodossa. GitHubin dokumentaation mukaan attestaatiot yksinään tarjoavat SLSA v1.0 Build Level 2:n ja Level 3:n uudelleenkäytettävillä työnkuluilla.

Mitä hinta ei kata

Jokainen GitHub Advanced Securityn ominaisuus lukee repositoriotasi: sen koodia, sen salaisuuksia ja sen ilmoitettuja riippuvuuksia. Mikään niistä ei tallenna, mitä julkaisusi tuottavan buildin sisällä tapahtuu, eikä hallitse, mihin buildi pääsee verkossa. Siihen CRACI sopii.

Taulukossa on sekä GitHub Advanced Security että GitHub-alustan ominaisuudet, joiden varaan se rakentuu (riippuvuusgraafi, Dependabot, artifact attestations ja hostatut runnerit), koska tiimit kokevat ne yhtenä kokonaisuutena.

Kirjaus buildista, ei repositoriosta

Riippuvuusgraafi kuvaa repositoriota ja päivittyy, kun commit muuttaa manifestia tai lukitustiedostoa oletushaarassa. Se on hyödyllistä, mutta se ei ole sama asia kuin kirjaus jobista, joka tuotti julkaisun. CRACI havainnoi itse buildia: paketit tunnistava välityspalvelin (proxy) näkee liikenteen pakettilähteisiin: npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk ja Git-lähteet. Näyttö kulkee CI-välimuistien mukana, ja jokainen SBOM ilmoittaa kattavuutensa jobi- ja välimuistikohtaisesti: Complete, Complete with connections, Incomplete, Unavailable tai Not recorded.

Hallinta siitä, mihin jobi pääsee

CRACI panee täytäntöön jobikohtaisen egress-käytännön: oletuksena estävä tai oletuksena salliva, 24 valmista ohjelmistolähteiden esiasetusta ja tyypitetyt omat lähteet rekistereille ja Gitille. Käytännöt validoidaan ennen jobin alkua, ne noudattavat fail closed -periaatetta, ja CRACI hälyttää käytäntörikkomuksesta. Tämä on buildin ajonaikainen kontrolli, jota repositorion skannaus ei voi tarjota.

Alkuperätiedot

GitHubin artifact attestations on työnkulun vaihe, jonka lisäät itse. Se allekirjoittaa buildin alkuperätiedot, ja GitHub dokumentoi niille SLSA v1.0 Build Level 2:n. CRACI ei allekirjoita alkuperätietoja eikä väitä mitään SLSA-tasoa: API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot. Jos tarvitset allekirjoitetut alkuperätiedot tai dokumentoidun SLSA-tason, GitHubin attestaatiot tarjoavat ne.

Toimitetun valvonta

CRACI kokoaa haavoittuvuudet buildien ja repositorioiden yli, arvioi seurattavia SBOM:eja jatkuvasti uudelleen, ja sen avulla tietoturvatiimit voivat käydä löydökset läpi triagessa ja lähettää ne korjauksesta vastaaville tiimeille. Sen inventaarionäkymä näyttää tarkasti, mitkä ohjelmistoversiot ovat käytössä missäkin tuotteessa maailmanlaajuisesti. SBOM:t voi viedä CycloneDX- tai SPDX-muodossa haavoittuvuuksineen, ja API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot.

Erilainen hinnoittelumalli

GitHub Advanced Security hinnoitellaan aktiivisen committaajan mukaan. CRACI hinnoitellaan vain build-minuuttien mukaan, koska se on runneri: $0.002 vCPU-minuutilta ($0.004 oletusarvoisella 2 vCPU:n runnerilla), mitataan sekunnin tarkkuudella, ei kuukausimaksua. Näillä minuuteilla ajetaan jobit, jotka muuten ajaisit GitHubin ylläpitämillä runnereilla. Katso voimassa olevat ehdot: CRACI:n hinnoittelu.

Miten ne sopivat yhteen

• GitHub Advanced Security jokaisessa pull requestissa: CodeQL, salaisuuksien skannaus, push protection ja dependency review.
• Dependabot pitää ilmoitetut riippuvuudet paikattuina.
• CRACI runnerina: tallentaa jokaisen buildin, panee egress-käytännön täytäntöön ja säilyttää näytön.

CRACI:ssa ajetut ajot näkyvät edelleen GitHubin käyttöliittymässä, ja työnkulkusi säilyttävät vaiheensa; jobi siirtyy CRACI:iin vaihtamalla sen runs-on-labelin. Pysy GitHubin ylläpitämillä runnereilla Windows- ja macOS-jobien osalta: CRACI tukee toistaiseksi vain Linuxia x86-64:llä ja ARM64:llä, ja Windows ja macOS ovat tiekartalla.

Vertailetko sen sijaan koodiskannereita? Katso vaihtoehdot GitHub Advanced Securitylle hintoineen.

Kyberkestävyyssäädöstä varten

GitHubin työkalut auttavat löytämään ja korjaamaan haavoittuvuudet ennen julkaisua, mikä valmistajan on tehtävä. CRACI automatisoi merkittävän osan siitä ohjelmistotoimitusketjun näkyvyydestä ja näytöstä, jota yritykset tarvitsevat laajemmassa CRA-vaatimustenmukaisuusprosessissaan: mitä kuhunkin julkaisuun meni, API:n palauttamat SBOM:t, verkkojäljet ja alkuperätiedot sekä jatkuva haavoittuvuuksien seuranta. Kumpikaan ei yksinään tee tuotteesta vaatimustenmukaista. Katso, mikä EU:n kyberkestävyyssäädös (CRA) on, ja CRA-näyttö.

Lue lisää CI/CD-integraatiosta ja SBOM-generoinnista buildin aikana tai varaa demo ja katso CRACI:n buildikirjaus riippuvuusgraafisi rinnalla.

Mitä CRACI korvaa ja mitä ei: katso mitä CRACI korvaa.

Kysymyksiä GitHub Advanced Securityn hinnoittelusta

Paljonko GitHub Advanced Security maksaa?

Syyskuussa 2026 GitHub myy Advanced Securitya kahtena lisäosana: GitHub Secret Protection maksaa $19 ja GitHub Code Security $30 aktiiviselta committaajalta kuukaudessa, eli molemmat yhteensä $49 aktiiviselta committaajalta. Ne ostetaan GitHub Team- tai Enterprise-tilauksen päälle.

Kuka lasketaan aktiiviseksi committaajaksi?

Organisaatiosi henkilö, jolla on GitHub Team- tai Enterprise-lisenssi ja jonka commit on viimeisten 90 päivän aikana pushattu repositorioon, jossa Secret Protection tai Code Security on käytössä, riippumatta siitä, milloin commit on kirjoitettu. Kukin henkilö käyttää yhden lisenssin koko organisaatiossa tai enterprise-tilissä, vaikka hän osallistuisi kuinka moneen repositorioon.

Onko GitHub Advanced Security ilmainen julkisille repositorioille?

Osittain. Julkisissa repositorioissa GitHub ottaa koodiskannauksen, salaisuuksien skannauksen ja push protectionin käyttöön oletuksena, ja myös dependency review on ilmainen. Yksityiset repositoriot tarvitsevat maksulliset lisäosat. Riippuvuusgraafi ja Dependabot-hälytykset sisältyvät jokaiseen GitHub-pakettiin.

Voinko ostaa GitHub Advanced Securityn GitHub Free- tai Pro-tilaukseen?

Et. GitHub Secret Protection ja GitHub Code Security edellyttävät GitHub Team- tai GitHub Enterprise -pakettia. Team- ja Enterprise Cloud -organisaatiot voivat myös ensin tehdä ilmaisen salaisuuksien riskiarvion ja koodin tietoturvan riskiarvion.

Miten GitHub Advanced Security laskutetaan Enterprisessa?

Kahdella tavalla. Käyttöön perustuva laskutus GitHub Enterprise Cloudissa ja GitHub Enterprise Server 3.13:ssa tai uudemmassa GitHub Connectin kanssa veloittaa kuukausittain aktiivisten committaajien käyttämistä lisensseistä ilman ennalta asetettua rajaa. Volyymi- tai tilauslaskutuksessa ostetaan kiinteä määrä lisenssejä määräajaksi, tyypillisesti vähintään vuodeksi.

Paljonko GitHub Advanced Security maksaa Azure DevOpsissa?

GitHub Advanced Security for Azure DevOps toimii Azure Reposin kanssa. Azure ilmoittaa Secret Protectionin hinnaksi $19 ja Code Securityn hinnaksi $30 committaajalta kuukaudessa. Veloitus kertyy päivittäin ja laskutetaan kuukausittain Azure DevOps -organisaatioon liitetyltä Azure-tilaukselta. Committaajat lasketaan kerran tuotetta kohden koko tilauksessa.

Sisältyykö GitHub Advanced Securityyn SBOM?

GitHub voi viedä repositorion riippuvuusgraafin SPDX-muotoisena SBOM:na, ja riippuvuusgraafi sisältyy jokaiseen pakettiin. Tämä SBOM kuvaa oletushaaran manifesteja ja lukitustiedostoja, ei tiettyä buildia. CRACI tallentaa paketit, jotka kukin buildi todella haki, ja vie CycloneDX:n ja SPDX:n buildikohtaisesti.

Korvaako CRACI GitHub Advanced Securityn?

Ei. CRACI ei tee koodiskannausta eikä salaisuuksien skannausta. CRACI korvaa runnerin, jolla GitHub Actions -jobisi ajetaan, ja tallentaa ja hallitsee, mitä kukin buildi tekee. GitHubia käyttävät tiimit yleensä pitävät Secret Protectionin ja Code Securityn repositorioissaan ja lisäävät CRACI:n buildin näyttöä varten.