Ilmaiset CI-minuutit: mitä ne kattavat ja mitä eivät

Mitä ilmaiset minuutit kattavat

GitHub antaa jokaiselle tilille kuukausittaisen Actions-minuuttikiintiön yksityisissä repositorioissa käytettäväksi. GitHubin laskutusdokumentaatio listaa syyskuussa 2026:

• GitHub Free: 2 000 minuuttia kuukaudessa
• GitHub Pro ja GitHub Team: 3 000 minuuttia kuukaudessa
• GitHub Enterprise Cloud: 50 000 minuuttia kuukaudessa

GitHubin ylläpitämät tavalliset runnerit ovat julkisissa repositorioissa ilmaisia. Sisältyvät minuutit nollautuvat jokaisen laskutuskauden alussa. Muutama yksityiskohta vaikuttaa siihen, kuinka pitkälle ne riittävät:

• GitHub pyöristää kunkin jobin käyttämät minuutit ylöspäin lähimpään täyteen minuuttiin.
• Team- ja Enterprise Cloud -tileillä suuremmat runnerit kuluttavat samaa sisältyvää käyttöä korkeammalla hinnallaan.
• Kiintiön ylittävältä osalta tavallinen 2-ytiminen Linux-runneri maksaa $0.006 minuutilta (Windows ja macOS maksavat enemmän minuutilta).

Laskentakapasiteetiksi se on antelias tarjous. Monelle tiimille se on myös oikea valinta, ja sanomme sen alla suoraan.

Kuinka pitkälle 2 000 minuuttia riittää

1. GitHub pyöristää jokaisen 2 minuutin 20 sekunnin jobin ylöspäin 3 minuuttiin, joten yhdestä ajosta laskutetaan 4 × 3 = 12 minuuttia.
2. 2 000 ÷ 12 = 166,7, joten Free-kiintiö kattaa 166 kokonaista ajoa kuukaudessa.
3. 166 ÷ 21 on noin 7,9 ajoa työpäivää kohden koko tiimille.
4. Jokainen kiintiön ylittävä ajo maksaa 12 × $0.006 = $0.072.

Jos haluat laskea tämän omilla luvuillasi, kaikkien tilausten sisältyvä käyttö ja suurempien runnereiden säännöt mukaan lukien, käytä GitHub Actionsin hintalaskuria.

Vertailun vuoksi sama ajo mitataan CRACI:ssa sekunneittain: 4 × 140 sekuntia = 560 sekuntia eli noin 9,33 minuuttia. 2 vCPU:n runnerilla hintaan $0.004 minuutilta yksi ajo maksaa noin $0.037, ja ne 166 ajoa, jotka GitHub Free -kiintiö kattaa, maksavat noin $6.20. CRACI:lla ei ole ilmaistasoa eikä kuukausimaksua: maksat build-minuuteista. Ajantasaiset luvut löydät hinnoittelusivulta.

Ilmaiset minuutit voivat olla täysin maksuttomia, CRACI ei. Parempi kysymys on, mitä kumpikin antaa laskennan lisäksi.

Mitä ilmaiset minuutit eivät kata

Minuuteilla ostetaan aikaa koneella. Niiden ei koskaan ollut tarkoitus vastata kysymyksiin, joita herää, kun toimitat ohjelmistoa asiakkaille:

• Mitä paketteja tämä buildi oikeasti latasi, ja mistä?
• Olisiko murrettu riippuvuus voinut ottaa buildin aikana yhteyttä odottamattomaan palvelimeen?
• Onko toimittamamme artefakti sama, jonka tämä buildi tuotti?
• Kun uusi haavoittuvuus julkaistaan, mitkä julkaistuista buildeistamme sisältävät sen?
• Mitä näyttöä voimme antaa asiakkaalle tai auditoijalle?

Tietoturva

GitHub tarjoaa ilmaisia toimitusketjuominaisuuksia, jotka toimivat Actionsin rinnalla, ja ne kannattaa ottaa käyttöön. Dependabot-hälytykset skannaavat repositoriosi oletushaaran ja hälyttävät, kun GitHub Advisory Databaseen lisätään uusi haavoittuvuus. Voit myös viedä repositorion riippuvuusgraafin nykytilan SBOM:ksi SPDX-muodossa.

Nämä ominaisuudet kuvaavat repositoriota. CRACI kirjaa buildin. Sen runnerit tarkkailevat liikennettä pakettilähteisiin jobin aikana, joten SBOM listaa sen, mitä jobi oikeasti haki, myös CI-välimuisteista palautetut paketit, ja kertoo, onko kunkin jobin ja välimuistin kirjaus kattava. Lähtevän verkkoliikenteen käytännöt voivat estää kaiken muun kuin sallimasi ohjelmistolähteet. Lisätietoja on SBOM-generoinnin sivulla.

Kestävyys

Kun uusi CVE julkaistaan, hyödyllinen vastaus ei ole se, ilmoittaako repositoriosi paketin tänään, vaan se, mitkä toimittamasi buildit sisältävät sen. CRACI kokoaa haavoittuvuudet buildien ja repositorioiden yli ja arvioi valvotut SBOM:t jatkuvasti uudelleen, joten löydät buildit, joilla on yhteinen haavoittuva riippuvuus. Katso haavoittuvuuksien seuranta.

Vaatimustenmukaisuuden näyttö

Asiakkaat ja sääntelijät pyytävät yhä useammin SBOM:ia ja näyttöä siitä, miten ohjelmisto on rakennettu. CRACI:n API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot, ja SBOM:t viedään CycloneDX- tai SPDX-muodossa. Se automatisoi merkittävän osan siitä ohjelmistotoimitusketjun näkyvyydestä ja näytöstä, jota yritykset tarvitsevat laajempaan CRA-vaatimustenmukaisuusprosessiinsa. Se ei yksinään tee yrityksestä vaatimustenmukaista.

Milloin ilmaiset minuutit todella riittävät

Pysy ilmaisissa minuuteissa ja ota GitHubin ilmaiset tietoturvaominaisuudet käyttöön, jos useimmat näistä pitävät paikkansa:

• Koodisi on avointa lähdekoodia julkisissa repositorioissa, joissa tavalliset ylläpidetyt runnerit ovat ilmaisia.
• Teet prototyyppiä, eikä mikään rakentamasi ole vielä päätynyt asiakkaille.
• Buildisi mahtuvat reilusti kuukausikiintiöön.
• Yksikään asiakas, auditoija tai sääntelijä ei pyydä sinulta SBOM:ia tai build-näyttöä.
• Et myy digitaalisia elementtejä sisältäviä tuotteita EU:n markkinoilla.

Siinä tilanteessa CRACI:sta maksamalla ostat näyttöä, jota kukaan ei vielä tarvitse. Palaa asiaan, kun tilanne muuttuu.

Merkit siitä, että on aika katsoa ilmaisia minuutteja pidemmälle

• Asiakkaan tietoturvakysely pyytää SBOM:ia toimittamastasi julkaisusta.
• Myyt EU:ssa. EU:n kyberkestävyyssäädöksen (Cyber Resilience Act, CRA) haavoittuvuuksien raportointivelvoitteet ovat voimassa syyskuusta 2026, ja säädöstä sovelletaan täysimääräisesti joulukuusta 2027. CRA-yleiskatsauksemme kertoo perusasiat.
• Tapauksen jälkeen kysyt, mitkä buildit hakivat tietyn paketin, eikä kukaan osaa vastata nopeasti.
• Ylität ilmaisen kiintiön joka kuukausi ja maksat jo minuuteista.

Välimuoto startupeille

Ehdot täyttävät startupit saavat startup-ohjelman kautta vähintään 100k ilmaista build-minuuttia ja tiimimme henkilökohtaisen käyttöönoton. Sen avulla näet, miltä buildin aikana kerätty näyttö näyttää omassa putkessasi, ennen kuin maksat siitä.