Minutes CI gratuites : ce qu'elles couvrent et ce qu'elles ne couvrent pas

Ce que couvrent les minutes gratuites

GitHub inclut un quota mensuel de minutes Actions dans chaque compte, à utiliser dans les dépôts privés. En septembre 2026, la documentation de facturation de GitHub indique :

• GitHub Free : 2 000 minutes par mois
• GitHub Pro et GitHub Team : 3 000 minutes par mois
• GitHub Enterprise Cloud : 50 000 minutes par mois

Les runners standard hébergés par GitHub sont gratuits dans les dépôts publics. Les minutes incluses sont réinitialisées au début de chaque cycle de facturation. Quelques détails déterminent jusqu'où elles vont :

• GitHub arrondit les minutes utilisées par chaque job à la minute entière supérieure.
• Les minutes incluses ne peuvent pas être utilisées pour les grands runners de GitHub.
• Au-delà du quota, un runner Linux standard à 2 cœurs coûte $0.006 par minute (Windows et macOS coûtent plus cher à la minute).

C'est une offre généreuse pour du calcul. Pour beaucoup d'équipes, c'est aussi la bonne, et nous le disons plus bas.

Jusqu'où vont 2 000 minutes

1. GitHub arrondit chaque job de 2 minutes 20 secondes à 3 minutes : une exécution est donc facturée 4 × 3 = 12 minutes.
2. 2 000 ÷ 12 = 166,7 : le quota Free couvre donc 166 exécutions complètes par mois.
3. 166 ÷ 21 donne environ 7,9 exécutions par jour ouvré, pour toute l'équipe.
4. Chaque exécution au-delà du quota coûte 12 × $0.006 = $0.072.

À titre de comparaison, la même exécution sur CRACI est mesurée à la seconde : 4 × 140 secondes = 560 secondes, soit environ 9,33 minutes. Sur un runner à 2 vCPU à $0.004 par minute, une exécution coûte environ $0.037, et les 166 exécutions couvertes par le quota GitHub Free coûtent environ $6.20. CRACI n'a ni offre gratuite ni abonnement mensuel : vous payez à la minute de build. Consultez la page de tarifs pour les chiffres actuels.

Les minutes gratuites peuvent ne rien coûter, pas CRACI. La vraie question est de savoir ce que chacun vous apporte en plus du calcul.

Ce que les minutes gratuites ne couvrent pas

Les minutes achètent du temps sur une machine. Elles n'ont jamais été censées répondre aux questions qui se posent lorsque vous livrez un logiciel à des clients :

• Quels paquets ce build a-t-il réellement téléchargés, et d'où ?
• Une dépendance compromise a-t-elle pu atteindre un hôte inattendu pendant le build ?
• L'artefact que nous avons livré est-il bien celui que ce build a produit ?
• Lorsqu'une nouvelle vulnérabilité est publiée, lesquels de nos builds publiés la contiennent ?
• Quelles preuves pouvons-nous remettre à un client ou à un auditeur ?

Sécurité

GitHub propose des fonctionnalités gratuites de chaîne d'approvisionnement qui fonctionnent avec Actions, et elles méritent d'être activées. Les alertes Dependabot analysent la branche par défaut de votre dépôt et vous avertissent lorsqu'une nouvelle vulnérabilité est ajoutée à la GitHub Advisory Database. Vous pouvez aussi exporter l'état actuel du graphe de dépendances d'un dépôt sous forme de SBOM au format SPDX.

Ces fonctionnalités décrivent le dépôt. CRACI enregistre le build. Ses runners observent le trafic vers les sources de paquets pendant l'exécution du job : la SBOM liste donc ce que le job a réellement récupéré, y compris les paquets restaurés depuis les caches CI, et indique si l'enregistrement de chaque job et de chaque cache est complet. Les politiques de trafic sortant peuvent tout refuser, sauf les sources logicielles que vous autorisez. Les détails figurent sur la page génération de SBOM.

Résilience

Lorsqu'une nouvelle CVE tombe, la réponse utile n'est pas de savoir si votre dépôt déclare le paquet aujourd'hui, mais quels builds livrés le contiennent. CRACI agrège les vulnérabilités entre builds et dépôts et réévalue en continu les SBOM surveillées : vous pouvez ainsi retrouver les builds qui partagent une dépendance vulnérable. Consultez le suivi des vulnérabilités.

Preuves de conformité

Les clients et les régulateurs demandent de plus en plus de SBOM et de preuves de la façon dont les logiciels ont été construits. L'API CRACI renvoie les SBOM, les traces réseau et la provenance, et les SBOM s'exportent en CycloneDX ou SPDX. CRACI automatise une part importante de la visibilité et des preuves sur la chaîne d'approvisionnement logicielle dont les entreprises ont besoin pour leur processus global de conformité CRA. Il ne rend pas à lui seul une entreprise conforme.

Quand les minutes gratuites suffisent vraiment

Restez sur les minutes gratuites, et activez les fonctionnalités de sécurité gratuites de GitHub, si la plupart de ces points sont vrais :

• Votre code est open source dans des dépôts publics, où les runners hébergés standard sont gratuits.
• Vous prototypez, et rien de ce que vous construisez n'a encore atteint de clients.
• Vos builds tiennent largement dans le quota mensuel.
• Aucun client, auditeur ou régulateur ne vous demande de SBOM ni de preuves de build.
• Vous ne vendez pas de produits comportant des éléments numériques sur le marché de l'UE.

Dans cette situation, payer CRACI revient à acheter des preuves dont personne n'a encore besoin. Revenez quand cela changera.

Les signes qu'il est temps de regarder au-delà des minutes gratuites

• Un questionnaire de sécurité client demande une SBOM de la release que vous avez livrée.
• Vous vendez dans l'UE. Les obligations de signalement des vulnérabilités du Cyber Resilience Act s'appliquent à partir de septembre 2026, avec une application complète en décembre 2027. Notre présentation du CRA couvre les bases.
• Un incident vous amène à chercher quels builds ont récupéré un paquet, et personne ne peut répondre rapidement.
• Vous dépassez le quota gratuit chaque mois et payez déjà des minutes.

Une voie médiane pour les startups

Les startups éligibles bénéficient d'au moins 100 000 minutes de build gratuites et d'un accompagnement personnalisé de notre équipe grâce au programme startup. C'est un moyen de voir à quoi ressemblent les preuves issues du build sur votre propre pipeline avant de les payer.