Prezzi di GitHub Advanced Security e dove si colloca CRACI

La risposta breve

A settembre 2026, GitHub vende GitHub Advanced Security come due add-on. GitHub Secret Protection costa $19 per committer attivo al mese e copre secret scanning e push protection. GitHub Code Security costa $30 per committer attivo al mese e copre code scanning con CodeQL, Copilot Autofix, dependency review e le funzionalità premium di Dependabot. Acquistarli entrambi costa $49 per committer attivo al mese. Entrambi richiedono un piano GitHub Team o Enterprise, e si pagano in aggiunta alle licenze GitHub.

Un committer attivo è chiunque abbia avuto un commit inviato con push, negli ultimi 90 giorni, a un repository con il prodotto abilitato, conteggiato una sola volta nella Sua organizzazione. Per questo la fattura segue chi invia codice, non il numero di licenze.

Prezzi di GitHub Advanced Security in sintesi

I prezzi sono i listini di GitHub e Azure a settembre 2026. La pagina dei piani di GitHub elenca le funzionalità che ogni add-on aggiunge su Team ed Enterprise; la colonna gratuita riguarda i repository pubblici su GitHub.com.

Come viene calcolata la fattura

• Per committer attivo, per prodotto. Un committer è attivo se uno dei suoi commit è stato inviato con push a un repository abilitato negli ultimi 90 giorni, indipendentemente da quando è stato scritto. Ogni persona usa una sola licenza in tutta l'organizzazione o l'enterprise, a prescindere dal numero di repository su cui lavora.
• Contano solo i repository abilitati. Secret Protection e Code Security si abilitano in modo indipendente, quindi può attivare Secret Protection ovunque e Code Security solo dove serve.
• Fatturazione a consumo o a volume su Enterprise. La fatturazione a consumo, su GitHub Enterprise Cloud e su GitHub Enterprise Server 3.13 o successivo con GitHub Connect, addebita ogni mese le licenze usate, senza un limite prestabilito e senza stato di eccedenza. La fatturazione a volume o in abbonamento acquista un numero fisso di licenze per un periodo, in genere almeno un anno.
• Valutazioni del rischio gratuite. Le organizzazioni su Team ed Enterprise Cloud possono eseguire, prima di acquistare, una valutazione gratuita del rischio dei secret e una valutazione del rischio di sicurezza del codice su un massimo di 20 repository attivi.

Un esempio concreto

Un team di 50 sviluppatori che inviano tutti codice a repository con entrambi i prodotti abilitati paga 50 × $19 = $950 per Secret Protection e 50 × $30 = $1,500 per Code Security: $2,450 al mese, ovvero $29,400 all'anno, a prezzo di listino. A questo si aggiungono le licenze GitHub Team o Enterprise e i minuti di GitHub Actions. Conta chiunque abbia una licenza nella Sua organizzazione e invii codice a un repository abilitato, collaboratori esterni compresi, quindi conti i committer e non i dipendenti.

Che cosa ottiene senza pagare

Il dependency graph e gli avvisi di Dependabot sono inclusi in tutti i piani GitHub. Sui repository pubblici, code scanning, secret scanning, push protection e dependency review sono gratuiti. Se il Suo codice è open source, gran parte di GitHub Advanced Security non costa nulla.

GitHub Advanced Security for Azure DevOps

Gli stessi due prodotti sono venduti per Azure Repos, a $19 per committer al mese per Secret Protection e $30 per Code Security secondo la pagina dei prezzi di Azure. Gli addebiti maturano ogni giorno e sono fatturati ogni mese all'abbonamento Azure collegato all'organizzazione Azure DevOps, e i committer vengono conteggiati una sola volta per prodotto in tutto l'abbonamento.

Che cosa fa bene GitHub Advanced Security

Il code scanning con CodeQL è un'analisi statica semantica integrata nelle pull request, e Copilot Autofix propone correzioni per gli avvisi che genera. Il secret scanning copre cronologia git, pull request, issue e wiki, e la push protection blocca un secret prima che venga inserito. I validity check indicano se una credenziale esposta è ancora attiva. CRACI non fa nulla di tutto questo, e nulla in questa pagina suggerisce di sostituirlo.

Sul fronte delle dipendenze, il dependency graph analizza i manifest e i lockfile del Suo repository, e Dependabot La avvisa quando uno corrisponde a un advisory nel GitHub Advisory Database. Gli aggiornamenti di sicurezza tentano di aprire una pull request per ogni avviso aperto che ha una patch, e la dependency review (parte di Code Security) mostra che cosa cambia una pull request prima del merge. L'automatic dependency submission può aggiungere dati risolti in fase di build per Maven, Gradle e Python. Il grafo si può esportare come SBOM SPDX dall'interfaccia o dalla REST API.

Le artifact attestations usano Sigstore per firmare la provenance di build di binari e immagini container, e possono attestare SBOM in SPDX o CycloneDX. GitHub documenta che le attestations da sole forniscono SLSA v1.0 Build Level 2, e Level 3 con i reusable workflow.

Che cosa non copre il prezzo

Ogni funzionalità di GitHub Advanced Security legge il Suo repository: il codice, i secret e le dipendenze dichiarate. Nessuna registra ciò che accade all'interno della build che produce la Sua release, né controlla che cosa quella build può raggiungere in rete. È qui che si colloca CRACI.

La tabella mette insieme GitHub Advanced Security e le funzionalità della piattaforma GitHub su cui si basa (dependency graph, Dependabot, artifact attestations e runner ospitati), perché è così che i team li vivono.

Una registrazione della build, non del repository

Il dependency graph descrive il repository e si aggiorna quando un commit modifica un manifest o un lockfile sul branch predefinito. È utile, ma non equivale a una registrazione del job che ha prodotto una release. CRACI osserva la build stessa: un proxy che riconosce i pacchetti vede il traffico verso le sorgenti dei pacchetti, tra npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e sorgenti Git. Le evidenze viaggiano con le cache CI, e ogni SBOM dichiara la propria completezza per job e per cache: Complete, Complete with connections, Incomplete, Unavailable o Not recorded.

Controllo su ciò che il job può raggiungere

CRACI applica una policy di egress per job: default deny o default allow, con 24 preset integrati di sorgenti software e sorgenti personalizzate tipizzate per registry e Git. Le policy vengono convalidate prima dell'avvio del job e sono fail closed, e CRACI La avvisa in caso di violazione. È un controllo runtime sulla build, che la scansione del repository non può fornire.

Provenance

Le artifact attestations di GitHub sono uno step del workflow che Lei aggiunge. Firmano la provenance di build, e GitHub documenta per esse SLSA v1.0 Build Level 2. CRACI non firma la provenance e non dichiara alcun livello SLSA: l'API restituisce SBOM, tracce di rete e provenance. Se Le servono provenance firmata o un livello SLSA documentato, le attestations di GitHub li forniscono.

Monitorare ciò che è stato distribuito

CRACI aggrega le vulnerabilità tra build e repository, continua a rivalutare le SBOM monitorate e consente ai team di sicurezza di esaminare i risultati e inviarli ai team responsabili della correzione. La sua vista inventario mostra esattamente quali versioni del software sono distribuite in quali prodotti, a livello globale. Le SBOM si esportano in CycloneDX o SPDX, comprese le vulnerabilità, e l'API restituisce SBOM, tracce di rete e provenance.

Un modello di prezzo diverso

GitHub Advanced Security ha un prezzo per committer attivo. CRACI ha un prezzo solo per minuto di build, perché è il runner: $0.002 per minuto vCPU ($0.004 per un runner predefinito da 2 vCPU), misurati al secondo, senza canone mensile. Quei minuti eseguono job che altrimenti girerebbero sui runner ospitati da GitHub. Veda i prezzi di CRACI per le condizioni attuali.

Come si integrano

• GitHub Advanced Security su ogni pull request: CodeQL, secret scanning, push protection e dependency review.
• Dependabot per mantenere aggiornate le dipendenze dichiarate.
• CRACI come runner: registra ogni build, applica la policy di egress e conserva le evidenze.

Le esecuzioni su CRACI continuano a comparire nell'interfaccia di GitHub e i Suoi workflow mantengono i propri step; un job passa a CRACI cambiando la sua etichetta runs-on. Resti sui runner ospitati da GitHub per i job Windows e macOS: oggi CRACI esegue solo Linux, su x86-64 e ARM64, con Windows e macOS in roadmap.

Sta confrontando scanner del codice? Veda le alternative a GitHub Advanced Security, con i relativi prezzi.

Per il Cyber Resilience Act

Gli strumenti di GitHub La aiutano a trovare e correggere le vulnerabilità prima della release, cosa che un fabbricante deve fare. CRACI automatizza una parte significativa della visibilità e delle evidenze sulla software supply chain di cui le aziende hanno bisogno per il loro più ampio processo di conformità al CRA: che cosa è entrato in ogni release, le SBOM, le tracce di rete e la provenance restituite dall'API e il tracciamento continuo delle vulnerabilità. Nessuno dei due rende conforme un prodotto da solo. Veda che cos'è il CRA e le evidenze per il CRA.

Scopra di più sull'integrazione CI/CD e sulla generazione di SBOM in fase di build, oppure prenoti una demo per vedere la registrazione della build di CRACI accanto al Suo dependency graph.

Prezzi di GitHub Advanced Security: domande frequenti

Quanto costa GitHub Advanced Security?

A settembre 2026, GitHub vende Advanced Security come due add-on: GitHub Secret Protection a $19 e GitHub Code Security a $30 per committer attivo al mese, quindi $49 per committer attivo per entrambi. Si acquistano in aggiunta a un piano GitHub Team o Enterprise.

Che cosa conta come committer attivo?

Una persona con una licenza GitHub Team o Enterprise nella Sua organizzazione il cui commit è stato inviato con push, negli ultimi 90 giorni, a un repository in cui è abilitato Secret Protection o Code Security, indipendentemente da quando il commit è stato scritto. Ogni persona usa una sola licenza in tutta l'organizzazione o l'enterprise, a prescindere dal numero di repository a cui contribuisce.

GitHub Advanced Security è gratuito per i repository pubblici?

In parte. Sui repository pubblici GitHub abilita per impostazione predefinita code scanning, secret scanning e push protection, e anche la dependency review è gratuita. I repository privati richiedono gli add-on a pagamento. Il dependency graph e gli avvisi di Dependabot sono inclusi in tutti i piani GitHub.

Posso acquistare GitHub Advanced Security con un piano GitHub Free o Pro?

No. GitHub Secret Protection e GitHub Code Security richiedono un piano GitHub Team o GitHub Enterprise. Le organizzazioni su Team ed Enterprise Cloud possono anche eseguire prima una valutazione gratuita del rischio dei secret e del rischio di sicurezza del codice.

Come viene fatturato GitHub Advanced Security su Enterprise?

In due modi. La fatturazione a consumo, su GitHub Enterprise Cloud e su GitHub Enterprise Server 3.13 o successivo con GitHub Connect, addebita ogni mese le licenze usate dai committer attivi, senza un limite prestabilito. La fatturazione a volume o in abbonamento acquista un numero fisso di licenze per un periodo stabilito, in genere almeno un anno.

Quanto costa GitHub Advanced Security su Azure DevOps?

GitHub Advanced Security for Azure DevOps funziona con Azure Repos. Azure indica Secret Protection a $19 e Code Security a $30 per committer al mese, addebitati ogni giorno e fatturati ogni mese all'abbonamento Azure collegato all'organizzazione Azure DevOps. I committer vengono conteggiati una sola volta per prodotto in tutto l'abbonamento.

GitHub Advanced Security include una SBOM?

GitHub può esportare il dependency graph di un repository come SBOM SPDX, e il dependency graph è incluso in tutti i piani. Quella SBOM descrive i manifest e i lockfile sul branch predefinito, non una build specifica. CRACI registra i pacchetti effettivamente scaricati da ogni build ed esporta CycloneDX e SPDX per build.

CRACI sostituisce GitHub Advanced Security?

No. CRACI non esegue scansioni del codice né dei secret. CRACI sostituisce il runner su cui girano i Suoi job GitHub Actions, e registra e controlla ciò che fa ogni build. I team su GitHub in genere mantengono Secret Protection e Code Security per i repository e aggiungono CRACI per le evidenze della build.