Minuti CI gratuiti: che cosa coprono e che cosa no

Che cosa coprono i minuti gratuiti

GitHub include in ogni account una quota mensile di minuti Actions, da usare nei repository privati. A settembre 2026, la documentazione di fatturazione di GitHub indica:

• GitHub Free: 2.000 minuti al mese
• GitHub Pro e GitHub Team: 3.000 minuti al mese
• GitHub Enterprise Cloud: 50.000 minuti al mese

I runner standard ospitati da GitHub sono gratuiti nei repository pubblici. I minuti inclusi si rinnovano all'inizio di ogni ciclo di fatturazione. Alcuni dettagli influiscono su quanto durano:

• GitHub arrotonda i minuti usati da ogni job al minuto intero superiore.
• I minuti inclusi non si possono usare per i runner più grandi di GitHub.
• Oltre la quota, un runner Linux standard a 2 core costa $0.006 al minuto (Windows e macOS costano di più al minuto).

Per il calcolo è un'offerta generosa. Per molti team è anche quella giusta, e lo diciamo più avanti.

Fin dove arrivano 2.000 minuti

1. GitHub arrotonda ogni job da 2 minuti e 20 secondi a 3 minuti, quindi un'esecuzione viene fatturata 4 × 3 = 12 minuti.
2. 2.000 ÷ 12 = 166,7, quindi la quota Free copre 166 esecuzioni complete al mese.
3. 166 ÷ 21 fa circa 7,9 esecuzioni per giorno lavorativo, per tutto il team.
4. Ogni esecuzione oltre la quota costa 12 × $0.006 = $0.072.

Per confronto, la stessa esecuzione su CRACI è misurata al secondo: 4 × 140 secondi = 560 secondi, ovvero circa 9,33 minuti. Su un runner da 2 vCPU a $0.004 al minuto, un'esecuzione costa circa $0.037, e le 166 esecuzioni coperte dalla quota di GitHub Free costano circa $6.20. CRACI non ha un piano gratuito né un canone mensile: si paga per minuto di build. Consulti la pagina dei prezzi per i valori aggiornati.

I minuti gratuiti possono non costare nulla e CRACI no. La domanda migliore è che cosa offre ciascuno oltre al calcolo.

Che cosa non coprono i minuti gratuiti

I minuti comprano tempo su una macchina. Non sono mai stati pensati per rispondere alle domande che sorgono quando si distribuisce software ai clienti:

• Quali pacchetti ha effettivamente scaricato questa build, e da dove?
• Una dipendenza compromessa potrebbe aver raggiunto un host inatteso durante la build?
• L'artefatto che abbiamo distribuito è quello prodotto da questa build?
• Quando viene pubblicata una nuova vulnerabilità, quali delle nostre build rilasciate la contengono?
• Quali evidenze possiamo fornire a un cliente o a un auditor?

Sicurezza

GitHub offre funzionalità gratuite per la supply chain che affiancano Actions, e vale la pena attivarle. Gli avvisi Dependabot analizzano il branch predefinito del Suo repository e La avvisano quando una nuova vulnerabilità viene aggiunta al GitHub Advisory Database. Può anche esportare lo stato attuale del dependency graph di un repository come SBOM in formato SPDX.

Queste funzionalità descrivono il repository. CRACI registra la build. I suoi runner osservano il traffico verso le sorgenti dei pacchetti durante l'esecuzione del job, quindi la SBOM elenca ciò che il job ha effettivamente scaricato, compresi i pacchetti ripristinati dalle cache CI, e dichiara se il record di ogni job e cache è completo. Le policy di egress di rete possono negare tutto tranne le sorgenti software che Lei consente. I dettagli sono nella pagina sulla generazione di SBOM.

Resilienza

Quando arriva una nuova CVE, la risposta utile non è se il Suo repository dichiara oggi il pacchetto, ma quali build distribuite lo contengono. CRACI aggrega le vulnerabilità tra build e repository e rivaluta continuamente le SBOM monitorate, così può trovare le build che condividono una dipendenza vulnerabile. Veda il monitoraggio delle vulnerabilità.

Evidenze di conformità

Clienti e autorità di regolamentazione chiedono sempre più spesso SBOM e prove di come il software è stato costruito. L'API di CRACI restituisce SBOM, tracce di rete e provenance, e le SBOM si esportano in CycloneDX o SPDX. CRACI automatizza una parte significativa della visibilità sulla software supply chain e delle evidenze di cui le aziende hanno bisogno per il loro più ampio processo di conformità al CRA. Da solo non rende conforme un'azienda.

Quando i minuti gratuiti bastano davvero

Resti sui minuti gratuiti, e attivi le funzionalità di sicurezza gratuite di GitHub, se la maggior parte di queste condizioni è vera:

• Il Suo codice è open source in repository pubblici, dove i runner ospitati standard sono gratuiti.
• Sta realizzando prototipi, e nulla di ciò che costruisce ha ancora raggiunto i clienti.
• Le Sue build rientrano comodamente nella quota mensile.
• Nessun cliente, auditor o regolatore Le chiede SBOM o evidenze di build.
• Non vende prodotti con elementi digitali sul mercato dell'UE.

In questa situazione, pagare CRACI significa acquistare evidenze che ancora non servono a nessuno. Torni quando le cose cambieranno.

I segnali che è ora di guardare oltre i minuti gratuiti

• Un questionario di sicurezza di un cliente chiede una SBOM della release distribuita.
• Vende nell'UE. Gli obblighi di segnalazione delle vulnerabilità del Cyber Resilience Act si applicano da settembre 2026, con applicazione integrale a dicembre 2027. La nostra panoramica sul CRA ne spiega le basi.
• Dopo un incidente si chiede quali build abbiano scaricato un pacchetto, e nessuno sa rispondere rapidamente.
• Supera la quota gratuita ogni mese e paga già i minuti.

Una via di mezzo per le startup

Le startup idonee ricevono almeno 100k minuti di build gratuiti e un onboarding guidato dal nostro team tramite il programma startup. È un modo per vedere che aspetto hanno le evidenze in fase di build sulla Sua pipeline prima di pagarle.