GitHub Advanced Securityの料金と、CRACIの位置付け

結論から

2026年9月時点で、GitHubはGitHub Advanced Securityを2つのアドオンとして販売しています。GitHub Secret Protectionはアクティブコミッター1人あたり月$19で、シークレットスキャンとプッシュ保護を提供します。GitHub Code Securityはアクティブコミッター1人あたり月$30で、CodeQLによるコードスキャン、Copilot Autofix、依存関係レビュー、Dependabotのプレミアム機能を提供します。両方を購入すると、アクティブコミッター1人あたり月$49になります。どちらもGitHub TeamまたはEnterpriseプランが必要で、GitHubのシート料金に加えて支払います。

アクティブコミッターとは、過去90日以内に製品が有効なリポジトリへコミットがプッシュされた人のことで、組織全体で1回だけカウントされます。そのため請求額は、保有シート数ではなく、コードをプッシュする人数に連動します。

GitHub Advanced Securityの料金一覧

価格は2026年9月時点のGitHubおよびAzureの定価です。GitHubのプランページには、各アドオンがTeamとEnterpriseに追加する機能が掲載されています。無料の列は、GitHub.com上のパブリックリポジトリが対象です。

請求額の数え方

• アクティブコミッター単位、製品単位。過去90日以内に、有効なリポジトリへその人のコミットが1つでもプッシュされていれば、コミットの作成時期にかかわらずアクティブとみなされます。触れるリポジトリがいくつあっても、1人が使うライセンスは組織またはエンタープライズ全体で1つです。
• 有効なリポジトリだけがカウント対象。Secret ProtectionとCode Securityは個別に有効化できるため、Secret Protectionはすべてのリポジトリで、Code Securityは必要な箇所だけで有効にすることができます。
• Enterpriseでは従量課金またはボリューム課金。従量課金は、GitHub Enterprise Cloudと、GitHub Connectを利用するGitHub Enterprise Server 3.13以降で利用でき、使用したライセンス分を毎月請求します。事前の上限も超過状態もありません。ボリューム課金またはサブスクリプション課金では、一定数のライセンスを一定期間（通常は1年以上）購入します。
• 無料のリスク評価。TeamとEnterprise Cloudの組織は、購入前に無料のシークレットリスク評価と、最大20のアクティブなリポジトリを対象としたコードセキュリティリスク評価を実行できます。

試算例

50人の開発者全員が両製品を有効にしたリポジトリへプッシュするチームでは、定価でSecret Protectionが50 × $19 = $950、Code Securityが50 × $30 = $1,500となり、月$2,450、年$29,400になります。これはGitHub TeamまたはEnterpriseのシート料金とGitHub Actionsの利用時間に上乗せされます。組織内でライセンスを持ち、有効なリポジトリへプッシュする人は、外部委託者も含めてすべてカウントされます。従業員数ではなくコミッター数で数えてください。

無料で使える機能

依存関係グラフとDependabotアラートは、すべてのGitHubプランに含まれています。パブリックリポジトリでは、コードスキャン、シークレットスキャン、プッシュ保護、依存関係レビューが無料です。コードがオープンソースであれば、GitHub Advanced Securityの多くを無料で利用できます。

GitHub Advanced Security for Azure DevOps

同じ2つの製品がAzure Repos向けにも販売されており、Azureの料金ページではSecret Protectionがコミッター1人あたり月$19、Code Securityが月$30です。料金は日次で計上され、Azure DevOps組織に紐づくAzureサブスクリプションに毎月請求されます。コミッターは、そのサブスクリプション全体で製品ごとに1回だけカウントされます。

GitHub Advanced Securityの強み

CodeQLによるコードスキャンはプルリクエストに組み込まれたセマンティックな静的解析で、Copilot Autofixは検出されたアラートに対する修正を提案します。シークレットスキャンはgit履歴、プルリクエスト、Issue、Wikiを対象とし、プッシュ保護はシークレットが取り込まれる前にブロックします。有効性チェックにより、漏えいした認証情報がまだ有効かどうかがわかります。CRACIはこれらのいずれも行わず、このページはそれらの置き換えを勧めるものではありません。

依存関係については、依存関係グラフがリポジトリ内のマニフェストとロックファイルを解析し、GitHub Advisory Databaseのアドバイザリと一致するとDependabotが通知します。セキュリティアップデートは、パッチのあるすべての未解決アラートに対してプルリクエストの作成を試み、依存関係レビュー（Code Securityの一部）はマージ前にプルリクエストの変更内容を示します。自動依存関係送信により、Maven、Gradle、Pythonについてビルド時に解決されたデータを追加できます。グラフはUIまたはREST APIからSPDX形式のSBOMとしてエクスポートできます。

Artifact attestationsはSigstoreを使ってバイナリやコンテナイメージのビルド来歴に署名し、SPDXやCycloneDXのSBOMにも証明を付与できます。GitHubは、attestations単体でSLSA v1.0 Build Level 2を、再利用可能なワークフローと組み合わせるとLevel 3を満たすと文書化しています。

料金に含まれないもの

GitHub Advanced Securityのすべての機能は、リポジトリ、つまりそのコード、シークレット、宣言された依存関係を読み取ります。リリースを生み出すビルドの内部で何が起きたかを記録したり、そのビルドがネットワーク上のどこにアクセスできるかを制御したりする機能はありません。そこがCRACIの役割です。

この表では、GitHub Advanced Securityと、その土台となるGitHubプラットフォームの機能（依存関係グラフ、Dependabot、Artifact attestations、ホステッドランナー）をまとめて扱っています。チームが実際にそのように利用しているためです。

リポジトリではなく、ビルドの記録

依存関係グラフはリポジトリを表すもので、デフォルトブランチ上のマニフェストやロックファイルがコミットで変更されると更新されます。これは有用ですが、リリースを生み出したジョブの記録とは別物です。CRACIはビルドそのものを監視します。パッケージを認識するプロキシが、npm、PyPI、RubyGems、Composer、Cargo、Go、Nix、OCI、apt、apk、Gitの各ソースへの通信を捕捉します。エビデンスはCIキャッシュとともに引き継がれ、各SBOMはジョブとキャッシュごとに完全性を明示します。状態はComplete、Complete with connections、Incomplete、Unavailable、Not recordedのいずれかです。

ジョブのアクセス先を制御

CRACIはジョブごとにエグレスポリシーを適用します。デフォルト拒否またはデフォルト許可を選べ、24種類の組み込みソフトウェアソースプリセットと、レジストリやGit向けの型付きカスタムソースを利用できます。ポリシーはジョブ開始前に検証されてフェイルクローズで動作し、ポリシー違反があればCRACIがアラートを出します。これはビルドに対するランタイム制御であり、リポジトリのスキャンでは実現できません。

来歴

GitHubのArtifact attestationsは、ワークフローに追加するステップです。ビルド来歴に署名し、GitHubはSLSA v1.0 Build Level 2を満たすと文書化しています。CRACIは来歴に署名せず、SLSAレベルも主張しません。APIはSBOM、ネットワークトレース、来歴を返します。署名付き来歴や文書化されたSLSAレベルが必要な場合は、GitHubのattestationsが提供します。

出荷したものの監視

CRACIはビルドとリポジトリを横断して脆弱性を集約し、監視対象のSBOMを継続的に再評価します。セキュリティチームは検出結果をトリアージし、修正を担当するチームに送ることができます。インベントリビューでは、どのソフトウェアバージョンがどの製品にデプロイされているかを、グローバルに正確に確認できます。SBOMは脆弱性情報を含めてCycloneDXまたはSPDXでエクスポートでき、APIはSBOM、ネットワークトレース、来歴を返します。

異なる料金モデル

GitHub Advanced Securityはアクティブコミッター単位の料金です。CRACIはランナーそのものであるため、ビルド時間に対してのみ課金されます。1vCPU分あたり$0.002（デフォルトの2 vCPUランナーでは$0.004）で、秒単位の従量課金、月額料金はありません。この時間は、本来ならGitHubホステッドランナーで実行するジョブに充てられます。最新の条件は CRACIの料金をご覧ください。

両者の組み合わせ方

• GitHub Advanced Securityをすべてのプルリクエストに：CodeQL、シークレットスキャン、プッシュ保護、依存関係レビュー。
• Dependabotで、宣言された依存関係を常にパッチ適用済みに保つ。
• CRACIをランナーとして：各ビルドを記録し、エグレスポリシーを適用し、エビデンスを保持。

CRACI上の実行もGitHubのUIに表示され、ワークフローのステップはそのままです。ジョブをCRACIに移すには、 runs-onラベルを変更するだけです。WindowsとmacOSのジョブはGitHubホステッドランナーのままにしてください。CRACIは現在x86-64とARM64のLinuxのみに対応しており、WindowsとmacOSはロードマップに掲載されています。

コードスキャナーを比較したい場合は、料金も掲載したGitHub Advanced Securityの代替ツールをご覧ください。

Cyber Resilience Actへの対応

GitHubのツールは、メーカーに求められる、リリース前の脆弱性の発見と修正に役立ちます。CRACIは、企業がより広いCRAコンプライアンスプロセスで必要とするソフトウェアサプライチェーンの可視性とエビデンスのかなりの部分を自動化します。各リリースに何が含まれたか、APIが返すSBOM、ネットワークトレース、来歴、そして継続的な脆弱性トラッキングです。どちらも単体で製品をコンプライアンス準拠にするものではありません。CRAとはと CRAのエビデンスをご覧ください。

CI/CD連携と ビルド時SBOM生成の詳細もご覧ください。また、デモを予約していただければ、依存関係グラフと並べてCRACIのビルド記録をご覧いただけます。

CRACIが置き換えるもの、置き換えないものについては、CRACIが置き換えるものをご覧ください。

GitHub Advanced Securityの料金に関するよくあるご質問

GitHub Advanced Securityの料金はいくらですか？

2026年9月時点で、GitHubはAdvanced Securityを2つのアドオンとして販売しています。GitHub Secret Protectionはアクティブコミッター1人あたり月$19、GitHub Code Securityは月$30で、両方ではアクティブコミッター1人あたり$49です。いずれもGitHub TeamまたはEnterpriseプランに追加して購入します。

アクティブコミッターとは何ですか？

組織内でGitHub TeamまたはEnterpriseのライセンスを持ち、過去90日以内に、Secret ProtectionまたはCode Securityが有効なリポジトリへコミットがプッシュされた人を指します。コミットが作成された時期は問いません。何個のリポジトリに貢献していても、1人が使うライセンスは組織またはエンタープライズ全体で1つです。

パブリックリポジトリではGitHub Advanced Securityは無料ですか？

一部は無料です。パブリックリポジトリでは、GitHubはコードスキャン、シークレットスキャン、プッシュ保護をデフォルトで有効にしており、依存関係レビューも無料です。プライベートリポジトリには有料アドオンが必要です。依存関係グラフとDependabotアラートは、すべてのGitHubプランに含まれています。

GitHub FreeやProプランでGitHub Advanced Securityを購入できますか？

できません。GitHub Secret ProtectionとGitHub Code Securityには、GitHub TeamまたはGitHub Enterpriseプランが必要です。TeamとEnterprise Cloudの組織は、事前に無料のシークレットリスク評価とコードセキュリティリスク評価を実行することもできます。

EnterpriseでのGitHub Advanced Securityの請求方法は？

2つの方法があります。従量課金は、GitHub Enterprise Cloudと、GitHub Connectを利用するGitHub Enterprise Server 3.13以降で利用でき、アクティブコミッターが使用したライセンス分を毎月、上限を設けずに請求します。ボリューム課金またはサブスクリプション課金では、一定数のライセンスを一定期間（通常は1年以上）購入します。

Azure DevOpsでのGitHub Advanced Securityの料金は？

GitHub Advanced Security for Azure DevOpsはAzure Reposで動作します。AzureではSecret Protectionがコミッター1人あたり月$19、Code Securityが月$30と掲載されており、料金は日次で計上され、Azure DevOps組織に紐づくAzureサブスクリプションに毎月請求されます。コミッターは、そのサブスクリプション全体で製品ごとに1回だけカウントされます。

GitHub Advanced SecurityにはSBOMが含まれますか？

GitHubはリポジトリの依存関係グラフをSPDX形式のSBOMとしてエクスポートでき、依存関係グラフはすべてのプランに含まれています。ただし、このSBOMが表すのはデフォルトブランチ上のマニフェストとロックファイルであり、特定のビルドではありません。CRACIは各ビルドが実際に取得したパッケージを記録し、ビルドごとにCycloneDXとSPDXでエクスポートします。

CRACIはGitHub Advanced Securityの代わりになりますか？

なりません。CRACIはコードスキャンもシークレットスキャンも行いません。CRACIはGitHub Actionsのジョブを実行するランナーを置き換え、各ビルドの動作を記録・制御します。GitHubを利用するチームは、通常リポジトリ向けにSecret ProtectionとCode Securityを使い続け、ビルドのエビデンスのためにCRACIを追加します。