Vertailu
Ohjelmistotoimitusketjun tietoturvan hinnat vertailussa
Mitä maksaa tietää, mitä rakentamaasi ohjelmistoon menee, ja pitää se seurannassa: julkaistut hinnat SCA-, SBOM- ja buildien tietoturvatyökaluille, jotka hoitavat tämän tehtävän, kehittäjää kohden ja yhteensä CI-runnerin kanssa.
Päivitetty
Lyhyesti
- Useimmat työkalut veloittavat kehittäjäkohtaisesti. 25 kehittäjän tiimillä julkaistut lisenssit maksavat $16–$70 kehittäjää kohden kuukaudessa. Black Duckin, Sonatypen ja Endor Labsin enterprise-tason SCA myydään tarjouksen perusteella.
- SBOM-vienti vaatii usein korkeamman tilauksen. Snyk vie SBOM:eja vain Enterprisessa ja Socket Business-tilauksesta alkaen; GitHub vie riippuvuusgraafin SPDX-muodossa ilmaiseksi.
- CRACI ei tällä hetkellä peri lisenssimaksua. Se veloittaa vain build-minuuteista, $0.002 vCPU-minuutilta, ja samoilla minuuteilla saat myös runnerin. Tavallisilla x64-runnereilla tämä jää alle pelkkien GitHubin ylläpitämien runnereiden minuuttien hinnan.
- Laajuus ei ole sama. Useat työkalut lisäävät SAST:n, salaisuuksien tai haittaohjelmien tunnistuksen. CRACI kirjaa, mitä kukin buildi todella haki, ja hallitsee, mihin se pääsee.
Keitä vertailussa on mukana
CRACI ajaa GitHub Actions -jobeja, kirjaa jokaisen jobin hakeman paketin SBOM:ksi, pitää SBOM:t seurannassa uusien haavoittuvuuksien varalta ja valvoo jobin egress-käytäntöä. Tällä sivulla hinnoitellaan tuotteet, jotka hoitavat osan tästä tehtävästä rakentamallesi ohjelmistolle:
- SCA ja SBOM-vienti: Snyk, GitHub Code Security, Aikido, Socket, Semgrep Supply Chain, JFrog Xray ja Kusari Inspector.
- SBOM-hallinta: FOSSA sekä Docker Scout konttikuville.
- Buildien tietoturva: StepSecurity, joka lisää egress-hallinnan nykyisiin runnereihisi.
Pois jätetty: CI-runnerit, joilla on oma hintavertailunsa; pelkät SAST-työkalut; laiteohjelmistojen ja binäärien analyysi; sekä koventetut konttikuvat, kuten Chainguard, jotka suojaavat syötteitä eivätkä kirjaa buildia.
Mitä kukin lisenssi maksaa kehittäjää kohden
Jokainen tuote halvimmalla tilauksella, johon SBOM-vienti sisältyy. Kiinteähintaiset ja porrastetut tilaukset jaetaan tiimin koolla, joten FOSSA, JFrog ja Aikido halpenevat kehittäjää kohden, kun tiimi täyttää portaan. Vie osoitin pylvään päälle nähdäksesi, mitä tilaus kattaa.
Lisenssi kehittäjää kohden kuukaudessa 25 hengen tiimille, edullisin ensin
CRACI on tässä $0: siinä ei ole lisenssiä eikä kehittäjäkohtaista maksua. Maksat $0.002 buildiajan vCPU-minuutilta, ja sillä saat myös runnerin; seuraava kaavio ottaa sen huomioon.
Kokonaisuus: runnerin minuutit ja tietoturva
CRACI korvaa runnerin, joten reilussa vertailussa runneri on mukana joka puolella. Minkä tahansa muun työkalun kanssa maksat edelleen GitHubin ylläpitämien runnereiden minuuteista ja lisäät lisenssin. CRACI:lla maksat build-minuuteista etkä mistään muusta. Syötä tiimisi koko ja se, kuinka monta build-minuuttia kukin kehittäjä käyttää kuukaudessa; oletusarvo 1 000 on havainnollistava.
Kuukausikustannus 25 kehittäjälle ja 25,000 build-minuutille, 2 vCPU x64, edullisin ensin
CRACI $100 kuukaudessa vastaan $132 pelkille GitHub-hosted-runnereille: SBOM, haavoittuvuuksien seuranta ja egress-käytäntö maksavat vähemmän kuin runnerin minuutit nyt.
Vuosikustannus tiimin kasvaessa, samat build-minuutit kehittäjää kohden
Listahinnoin CRACI:n build-minuutit maksavat noin 33 % vähemmän kuin GitHubin ylläpitämien runnereiden minuutit tavallisella 2 vCPU:n x64-runnerilla, ja jokainen tämän sivun tuote lisää lisenssin näiden minuuttien päälle. Suurilla ARM64-runnereilla tilanne muuttuu: GitHubin 32-ytimisen arm64-runnerin listahinta on $0.050 minuutilta, kun CRACI:n on $0.064, joten CRACI maksaa siellä noin 28 % enemmän minuutilta. CRACI myös ajaa buildit noin kaksi kertaa nopeammin kuin GitHubin ylläpitämät runnerit nopeamman laitteiston, lyhyempien jonotusaikojen ja välimuistien ansiosta; rastita ruutu, niin se otetaan huomioon.
Mitä hinnalla saat
| Ominaisuus | Kaavion tilaus | Hinnoitteluperuste | SBOM tässä tilauksessa | CI-jobien egress-hallinta |
|---|---|---|---|---|
| CRACI | Pro, maksu build-minuuteista | $0.002 buildiajan vCPU-minuutilta, runneri sisältyy | Tallennetaan buildissa kattavuustilan kanssa | Validoidaan ennen jobia, fail closed |
| GitHub Code Security | Code Security | $30 aktiivista committaajaa kohden kuukaudessa | Riippuvuusgraafin SPDX-vienti on ilmainen kaikissa tilauksissa | Ei mainittu |
| Snyk | Enterprise-krediitit | 1 krediitti ($1) aktiivista kehittäjää kohden päivässä | SBOM-vienti ja lisenssien noudattaminen vain Enterprisessa | Ei mainittu |
| Aikido | Basic, yli 20:llä Pro | Kiinteä kuukausimaksu käyttäjäporrasta kohden | SBOM-generointi Basicista alkaen | Ei mainittu |
| Socket | Business | $50 kehittäjää kohden kuukaudessa, vähintään 20 | SBOM-tuonti ja -vienti Businessista alkaen (vienti betana) | Ei mainittu |
| Semgrep Supply Chain | Ilmainen 10:een asti, sitten Teams | $30 kehittäjää kohden kuukaudessa | SBOM-generointi kaikilla tasoilla | Ei mainittu |
| FOSSA | Business | Kokoluokat kehittäjien ja projektien mukaan | SBOM-generointi, -tuonti ja VEX | Ei mainittu |
| JFrog Xray | Enterprise X (pilvi) | Alkaen $950 kuukaudessa | Xray muodostaa ja vie SBOM:eja | Ei mainittu |
| Docker Scout | Team, sitten Business | $16 käyttäjää kohden kuukaudessa | Vain konttikuvien SBOM:t | Ei mainittu |
| Kusari Inspector | Inspector tiimeille | Alkaen $25 kehittäjää kohden kuukaudessa | SBOM-generointi maksullisissa tilauksissa | Ei mainittu |
| StepSecurity | Enterprise | $16 osallistuvaa kehittäjää kohden kuukaudessa | Ei mainittu hinnoittelusivulla | Ei mainittu |
- Sisältyy
- Osittain
- Ei sisälly
Tuotteet ilman julkaistuja hintoja
Enterprise-tason SCA ja toimitusketjun tietoturva-alustat myydään enimmäkseen myynnin kautta, yleensä osallistuvaa kehittäjää kohden. Ne hoitavat saman tehtävän rakentamallesi ohjelmistolle, joten ne kuuluvat lyhytlistalle, mutta niitä ei voi esittää kaaviossa.
| Ominaisuus | Mitä se tekee | Hinnoittelu |
|---|---|---|
| Black Duck | SCA lähdekoodille, paketeille ja binääreille | Vain tarjouksesta |
| Sonatype Guide (Lifecycle and SBOM Manager) | SCA ja SBOM-hallinta | Pro alkaen $1,200 vuodessa enintään 5 000 krediitille; Enterprise tarjouksesta |
| Endor Labs | SCA, reachability-analyysi, SBOM ja VEX | Osallistuvaa kehittäjää kohden, vain tarjouksesta |
| Mend AppSec | SCA, SAST ja kontit | Enintään $1,000 kehittäjää kohden vuodessa |
| Anchore Enterprise | SBOM-generointi ja -hallinta | Vain tarjouksesta |
| Cycode | ASPM, CI/CD-tietoturva ja SBOM | Vain tarjouksesta, kehittäjien ja tekoälyn käytön mukaan |
| OX Security | Koodi, SCA, SBOM ja putken tietoturvatila | Osallistuvaa kehittäjää kohden, vain tarjouksesta |
| Apiiro | ASPM ja ohjelmistoinventaario | Ei julkaistu |
| Legit Security | SDLC:n ja putkien tietoturva | Ei julkaistu |
| Cybeats, Manifest, Lineaje | SBOM-hallinta | Ei julkaistu |
| SBOM Observer | SBOM-hallinta | Noin $80 (€69) käyttäjää kohden kuukaudessa, enintään 10 projektia |
| sbomify | SBOM-keskus ja trust center | $199 kuukaudessa, 5 tuotetta |
| Dependency-Track | SBOM-analyysi, avoin lähdekoodi | Ilmainen; ylläpidät ja ajat sen itse |
Mitä CRACI ei tee
CRACI ei kata kaikkea, mitä nämä työkalut tekevät. Se ei skannaa lähdekoodia haavoittuvuuksien tai salaisuuksien varalta, tee reachability-analyysia eikä pisteytä paketteja haittaohjelmien varalta; se merkitsee tunnetut haitalliset julkaisut, kun niistä on olemassa tietoturvatiedote. Se ajaa GitHub Actions -jobeja Linuxilla, ja Windows ja macOS ovat tiekartalla. Jos SAST tai salaisuuksien skannaus on listallasi, monet hyvät työkalut toimivat CRACI:n rinnalla.
Sen sijaan se kirjaa itse buildin. Jokaisen jobin aikana CRACI kirjaa jokaisen haetun paketin, myös välimuisteista palautetut paketit, ja muuttaa sen SBOM:ksi, jonka kattavuus on ilmoitettu. Se pitää SBOM:t seurannassa, antaa tietoturvatiimien käydä löydökset läpi triagessa ja estää buildeja niiden perusteella, ja palauttaa SBOM:t, verkkojäljet ja alkuperätiedot API:nsa kautta. Katso CRACI:n hinnoittelu tai varaa demo ja hinnoittele oma putkesi.
Miten vertasimme
- Lähteet: kunkin toimittajan oma hinnoittelusivu tai dokumentaatio, tarkistettu 29.9.2026.
- Tilaukset: halvin tilaus, johon SBOM-vienti sisältyy, kuukausilaskutuksella, jos toimittaja tarjoaa sitä. Snyk on kaaviossa Snyk Open Sourcen julkaistulla Enterprise-krediittihinnalla, yksi $1:n krediitti aktiivista kehittäjää kohden päivässä. Kusarin hinta on lähtöhinta.
- Tiimin koko: kehittäjät tarkoittavat toimittajan omaa käyttäjäyksikköä (aktiivinen committaaja, osallistuva kehittäjä tai käyttäjä), ja yksiköksi on otettu koko tiimi.
- Runnerin minuutit: GitHubin ylläpitämien Linux-runnereiden listahinnat ilman jobikohtaista pyöristystä, mikä suosii GitHubia hieman. CRACI listahinnallaan $0.002 vCPU-minuutilta.
- Ei sisälly: verot, volyymialennukset, vuosiennakkomaksun alennukset ja avoimen lähdekoodin työkalujen, kuten Dependency-Trackin, itse ajamisen kustannukset.
Toimitusketjun tietoturvan hinnoittelu: usein kysyttyä
Lyhyet vastaukset siihen, mitä nämä työkalut maksavat ja mitä hinta kattaa.
Paljonko ohjelmistotoimitusketjun tietoturva maksaa?
Julkaistuilla hinnoilla varustetuissa työkaluissa ilmaisesta noin $70:een kehittäjää kohden kuukaudessa syyskuussa 2026. GitHubin Dependabot-hälytykset ja SBOM-vienti ovat ilmaisia, Semgrep Supply Chain on ilmainen enintään 10 kehittäjälle, ja kehittäjäkohtaiset tilaukset maksavat $16:sta (StepSecurity) $50:een (Socket Business). Black Duckin, Sonatypen ja Endor Labsin enterprise-tason SCA myydään tarjouksen perusteella.
Miten CRACI on hinnoiteltu?
CRACI veloittaa vain build-minuuteista: $0.002 vCPU-minuutilta ($0.004 oletusarvoiselle 2 vCPU:n runnerille), mitattuna sekunneittain, ilman kuukausimaksua, kehittäjäkohtaista maksua tai SBOM-kohtaista veloitusta. Build-minuuteilla maksat myös runnerin, koska CRACI korvaa GitHub Actions -runnerin.
Miksi vertailuun sisältyvät runnerin minuutit?
Koska CRACI on runneri. Minkä tahansa muun tämän sivun työkalun kanssa maksat edelleen GitHubin ylläpitämien runnereiden minuuteista ja lisäät lisenssin päälle. Jos CRACI:n build-minuutteja verrattaisiin pelkkään lisenssiin, vertailusta puuttuisi runnerilasku, jonka CRACI korvaa.
Minkä tilauksen tarvitset SBOM-vientiin?
Se vaihtelee. Snyk vie SBOM:eja vain Enterprisessa, Socket Businessista alkaen, Aikido Basicista alkaen, ja FOSSA, Semgrep ja JFrog Xray tässä esitetyillä tilauksilla. GitHub vie riippuvuusgraafin SPDX-muodossa kaikissa tilauksissa. CRACI tallentaa SBOM:n jokaisessa ajamassaan buildissa.
Mitä muut työkalut tekevät, mitä CRACI ei tee?
Muun muassa SAST:n, salaisuuksien skannauksen, reachability-analyysin ja haitallisten pakettien maineen arvioinnin. Aikido, Snyk, Semgrep ja GitHub Code Security skannaavat lähdekoodia; Socket ja Aikido estävät haitalliset paketit. CRACI merkitsee tunnetut haitalliset julkaisut, joista on tietoturvatiedote, mutta ei pisteytä paketteja haittaohjelmien varalta. Se ajaa GitHub Actions -jobeja Linuxilla.
Hinnoittele oma putkesi CRACI:lla
Varaa demo, niin ajamme yhden työnkuluistasi CRACI:lla, näytämme sen SBOM:n ja vertaamme kustannusta nykyiseen runneriisi ja työkaluihisi.
Varaa demo