Tarifs de GitHub Advanced Security, et la place de CRACI

La réponse courte

En septembre 2026, GitHub vend GitHub Advanced Security sous la forme de deux modules complémentaires. GitHub Secret Protection coûte $19 par committer actif et par mois et couvre le secret scanning et la push protection. GitHub Code Security coûte $30 par committer actif et par mois et couvre le code scanning avec CodeQL, Copilot Autofix, dependency review et les fonctions premium de Dependabot. L'achat des deux revient à $49 par committer actif et par mois. Les deux nécessitent un plan GitHub Team ou Enterprise, et vous les payez en plus de vos licences GitHub.

Un committer actif est toute personne dont un commit a été poussé vers un dépôt où le produit est activé au cours des 90 derniers jours, comptée une seule fois sur l'ensemble de votre organisation. C'est pourquoi la facture suit ceux qui poussent du code, et non votre nombre de licences.

Les tarifs de GitHub Advanced Security en un coup d'œil

Les prix sont les tarifs affichés par GitHub et Azure en septembre 2026. La page des plans de GitHub liste les fonctions ajoutées par chaque module sur Team et Enterprise ; la colonne gratuite couvre les dépôts publics sur GitHub.com.

Comment la facture est calculée

• Par committer actif, par produit. Un committer est actif si l'un de ses commits a été poussé vers un dépôt activé au cours des 90 derniers jours, quelle que soit la date de création du commit. Chaque personne utilise une licence sur l'ensemble de l'organisation ou de l'entreprise, quel que soit le nombre de dépôts concernés.
• Seuls les dépôts activés comptent. Vous activez Secret Protection et Code Security indépendamment : vous pouvez donc activer Secret Protection partout et Code Security uniquement là où vous en avez besoin.
• Facturation à l'usage ou en volume sur Enterprise. La facturation à l'usage, sur GitHub Enterprise Cloud et sur GitHub Enterprise Server 3.13 ou ultérieur avec GitHub Connect, facture chaque mois les licences utilisées, sans limite prédéfinie ni dépassement. La facturation en volume ou par abonnement permet d'acheter un nombre fixe de licences pour une période, généralement d'au moins un an.
• Évaluations des risques gratuites. Les organisations sur Team et Enterprise Cloud peuvent lancer, avant l'achat, une évaluation gratuite des risques liés aux secrets, ainsi qu'une évaluation des risques de sécurité du code sur 20 dépôts actifs au maximum.

Un exemple chiffré

Une équipe de 50 développeurs qui poussent tous vers des dépôts où les deux produits sont activés paie 50 × $19 = $950 pour Secret Protection et 50 × $30 = $1,500 pour Code Security : $2,450 par mois, soit $29,400 par an, au tarif affiché. Cela s'ajoute aux licences GitHub Team ou Enterprise et aux minutes GitHub Actions. Toute personne disposant d'une licence dans votre organisation qui pousse vers un dépôt activé compte, prestataires compris : comptez donc les committers plutôt que les salariés.

Ce que vous obtenez sans payer

Le graphe de dépendances et les alertes Dependabot sont inclus dans tous les plans GitHub. Sur les dépôts publics, le code scanning, le secret scanning, la push protection et dependency review sont gratuits. Si votre code est open source, une grande partie de GitHub Advanced Security ne coûte rien.

GitHub Advanced Security for Azure DevOps

Les deux mêmes produits sont vendus pour Azure Repos, à $19 par committer et par mois pour Secret Protection et $30 pour Code Security sur la page de tarifs d'Azure. Les frais sont décomptés chaque jour et facturés chaque mois sur l'abonnement Azure lié à l'organisation Azure DevOps, et les committers sont comptés une fois par produit sur cet abonnement.

Ce que GitHub Advanced Security fait bien

Le code scanning avec CodeQL est une analyse statique sémantique intégrée aux pull requests, et Copilot Autofix propose des corrections pour les alertes qu'il remonte. Le secret scanning couvre l'historique git, les pull requests, les issues et les wikis, et la push protection bloque un secret avant qu'il n'arrive dans le dépôt. Les contrôles de validité vous indiquent si un identifiant divulgué est toujours actif. CRACI ne fait rien de tout cela, et rien sur cette page ne suggère de le remplacer.

Côté dépendances, le graphe de dépendances analyse les manifestes et les lockfiles de votre dépôt, et Dependabot vous alerte lorsque l'un d'eux correspond à un avis de la GitHub Advisory Database. Les mises à jour de sécurité tentent d'ouvrir une pull request pour chaque alerte ouverte disposant d'un correctif, et dependency review (qui fait partie de Code Security) montre ce qu'une pull request modifie avant le merge. L'envoi automatique de dépendances peut ajouter des données résolues au moment du build pour Maven, Gradle et Python. Vous pouvez exporter le graphe sous forme de SBOM SPDX depuis l'interface ou l'API REST.

Les artifact attestations utilisent Sigstore pour signer la provenance de build des binaires et des images de conteneur, et peuvent attester des SBOM en SPDX ou CycloneDX. GitHub indique que les attestations fournissent seules SLSA v1.0 Build Level 2, et Level 3 avec des workflows réutilisables.

Ce que le prix ne couvre pas

Toutes les fonctions de GitHub Advanced Security lisent votre dépôt : son code, ses secrets et ses dépendances déclarées. Aucune n'enregistre ce qui se passe dans le build qui produit votre release, ni ne contrôle ce que ce build peut atteindre sur le réseau. C'est là que se place CRACI.

Le tableau mêle GitHub Advanced Security aux fonctions de la plateforme GitHub sur lesquelles il s'appuie (graphe de dépendances, Dependabot, artifact attestations et runners hébergés), car c'est ainsi que les équipes les vivent.

Un enregistrement du build, pas du dépôt

Le graphe de dépendances décrit le dépôt, et se met à jour lorsqu'un commit modifie un manifeste ou un lockfile sur la branche par défaut. C'est utile, mais ce n'est pas la même chose qu'un enregistrement du job qui a produit une release. CRACI observe le build lui-même : un proxy qui comprend les paquets voit le trafic vers les sources de paquets, pour les sources npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk et Git. Les preuves suivent les caches CI, et chaque SBOM indique sa complétude par job et par cache : Complete, Complete with connections, Incomplete, Unavailable ou Not recorded.

Un contrôle de ce que le job peut atteindre

CRACI applique une politique de trafic sortant par job : refus par défaut ou autorisation par défaut, avec 24 presets intégrés de sources logicielles et des sources personnalisées typées pour les registres et Git. Les politiques sont validées avant le démarrage du job et bloquent tout en cas d'échec, et CRACI vous alerte en cas de violation de politique. C'est un contrôle du build à l'exécution, que le scan du dépôt ne peut pas fournir.

Provenance

Les artifact attestations de GitHub sont une étape de workflow que vous ajoutez. Elles signent la provenance de build, et GitHub leur attribue SLSA v1.0 Build Level 2. CRACI ne signe pas la provenance et ne revendique aucun niveau SLSA : l'API renvoie les SBOM, les traces réseau et la provenance. Si vous avez besoin d'une provenance signée ou d'un niveau SLSA documenté, les attestations de GitHub les fournissent.

Surveiller ce qui a été livré

CRACI agrège les vulnérabilités de l'ensemble des builds et des dépôts, continue de réévaluer les SBOM surveillées et permet aux équipes sécurité de trier les résultats et de les envoyer aux équipes chargées de la correction. Sa vue d'inventaire montre précisément quelles versions logicielles sont déployées dans quels produits, à l'échelle mondiale. Les SBOM s'exportent en CycloneDX ou SPDX, vulnérabilités comprises, et l'API renvoie les SBOM, les traces réseau et la provenance.

Un autre modèle de tarification

GitHub Advanced Security est facturé par committer actif. CRACI n'est facturé qu'à la minute de build, car il est le runner : $0.002 par minute vCPU ($0.004 pour un runner par défaut à 2 vCPU), mesurée à la seconde, sans frais mensuels. Ces minutes exécutent des jobs que vous exécuteriez sinon sur des runners hébergés par GitHub. Consultez les tarifs de CRACI pour les conditions actuelles.

Comment ils se complètent

• GitHub Advanced Security sur chaque pull request : CodeQL, secret scanning, push protection et dependency review.
• Dependabot pour maintenir à jour les dépendances déclarées.
• CRACI comme runner : il enregistre chaque build, applique la politique de trafic sortant et conserve les preuves.

Les exécutions sur CRACI apparaissent toujours dans l'interface GitHub, et vos workflows conservent leurs étapes ; un job passe sur CRACI en changeant son label runs-on. Restez sur les runners hébergés par GitHub pour les jobs Windows et macOS : CRACI ne fonctionne que sous Linux aujourd'hui, en x86-64 et ARM64, et Windows et macOS figurent sur la roadmap.

Vous comparez plutôt des scanners de code ? Consultez les alternatives à GitHub Advanced Security, avec leurs tarifs.

Pour le Cyber Resilience Act

Les outils de GitHub vous aident à trouver et à corriger les vulnérabilités avant la release, ce qu'un fabricant doit faire. CRACI automatise une part importante de la visibilité sur la chaîne d'approvisionnement logicielle et des preuves dont les entreprises ont besoin pour leur démarche plus large de conformité au CRA : ce qui est entré dans chaque release, les SBOM, les traces réseau et la provenance renvoyées par l'API, et le suivi continu des vulnérabilités. Aucun des deux ne rend à lui seul un produit conforme. Consultez ce qu'est le CRA et les preuves pour le CRA.

Pour en savoir plus, consultez l'intégration CI/CD et la génération de SBOM au build, ou réservez une démo pour voir l'enregistrement du build par CRACI à côté de votre graphe de dépendances.

Tarifs de GitHub Advanced Security : questions

Combien coûte GitHub Advanced Security ?

En septembre 2026, GitHub vend Advanced Security sous la forme de deux modules complémentaires : GitHub Secret Protection à $19 et GitHub Code Security à $30 par committer actif et par mois, soit $49 par committer actif pour les deux. Ils s'achètent en plus d'un plan GitHub Team ou Enterprise.

Qu'est-ce qu'un committer actif ?

Une personne disposant d'une licence GitHub Team ou Enterprise dans votre organisation et dont un commit a été poussé, au cours des 90 derniers jours, vers un dépôt où Secret Protection ou Code Security est activé, quelle que soit la date de création du commit. Chaque personne utilise une licence sur l'ensemble de l'organisation ou de l'entreprise, quel que soit le nombre de dépôts auxquels elle contribue.

GitHub Advanced Security est-il gratuit pour les dépôts publics ?

En partie. Sur les dépôts publics, GitHub active par défaut le code scanning, le secret scanning et la push protection, et dependency review est aussi gratuit. Les dépôts privés nécessitent les modules payants. Le graphe de dépendances et les alertes Dependabot sont inclus dans tous les plans GitHub.

Puis-je acheter GitHub Advanced Security sur un plan GitHub Free ou Pro ?

Non. GitHub Secret Protection et GitHub Code Security nécessitent un plan GitHub Team ou GitHub Enterprise. Les organisations sur Team et Enterprise Cloud peuvent aussi lancer d'abord une évaluation gratuite des risques liés aux secrets et une évaluation des risques de sécurité du code.

Comment GitHub Advanced Security est-il facturé sur Enterprise ?

De deux façons. La facturation à l'usage, sur GitHub Enterprise Cloud et sur GitHub Enterprise Server 3.13 ou ultérieur avec GitHub Connect, facture chaque mois les licences utilisées par les committers actifs, sans limite prédéfinie. La facturation en volume ou par abonnement permet d'acheter un nombre fixe de licences pour une période donnée, généralement d'au moins un an.

Combien coûte GitHub Advanced Security sur Azure DevOps ?

GitHub Advanced Security for Azure DevOps fonctionne avec Azure Repos. Azure affiche Secret Protection à $19 et Code Security à $30 par committer et par mois, décomptés chaque jour et facturés chaque mois sur l'abonnement Azure lié à l'organisation Azure DevOps. Les committers sont comptés une fois par produit sur cet abonnement.

GitHub Advanced Security inclut-il une SBOM ?

GitHub peut exporter le graphe de dépendances d'un dépôt sous forme de SBOM SPDX, et le graphe de dépendances est inclus dans tous les plans. Cette SBOM décrit les manifestes et les lockfiles de la branche par défaut, pas un build précis. CRACI enregistre les paquets que chaque build a réellement récupérés et exporte du CycloneDX et du SPDX par build.

CRACI remplace-t-il GitHub Advanced Security ?

Non. CRACI ne fait ni scan de code ni scan de secrets. CRACI remplace le runner sur lequel s'exécutent vos jobs GitHub Actions, et enregistre et contrôle ce que fait chaque build. Les équipes sur GitHub gardent généralement Secret Protection et Code Security pour leurs dépôts et ajoutent CRACI pour les preuves de build.