無料のCI分数：カバーできること、できないこと

無料分数でカバーできること

GitHubはすべてのアカウントに、プライベートリポジトリで使えるActionsの月間分数を付与しています。2026年9月時点のGitHubの課金ドキュメントでは、次のとおりです。

• GitHub Free：月2,000分
• GitHub ProおよびGitHub Team：月3,000分
• GitHub Enterprise Cloud：月50,000分

標準のGitHubホステッドランナーは、パブリックリポジトリでは無料で使えます。付属分数は請求サイクルの開始時にリセットされます。どこまで使えるかは、いくつかの点に左右されます。

• GitHubは各ジョブの使用時間を1分単位に切り上げます。
• TeamとEnterprise Cloudでは、大型ランナーも同じ付属分を、より高いレートで消費します。
• 上限を超えると、標準の2コアLinuxランナーは1分あたり$0.006です（WindowsとmacOSは1分あたりの料金がさらに高くなります）。

コンピュートとしては十分に気前のよい内容です。多くのチームにとってはこれが正解でもあり、その理由も後述します。

2,000分でどこまで使えるか

1. GitHubは2分20秒のジョブをそれぞれ3分に切り上げるため、1回の実行は4 × 3 = 12分として課金されます。
2. 2,000 ÷ 12 = 166.7なので、Freeの付属分数でカバーできるのは月166回の完全な実行です。
3. 166 ÷ 21で、チーム全体で稼働日1日あたり約7.9回です。
4. 上限を超えた実行は1回あたり12 × $0.006 = $0.072です。

この計算をご自身の数字で、各プランの無料枠とより大きなランナーのルールも含めて行うには、GitHub Actions料金計算ツールをお使いください。

比較すると、同じ実行はCRACIでは秒単位で計測されます。4 × 140秒 = 560秒、約9.33分です。1分あたり$0.004の2 vCPUランナーでは1回あたり約$0.037、GitHub Freeの付属分数でカバーされる166回では約$6.20になります。CRACIには無料枠も月額料金もなく、ビルド時間に応じた従量課金です。最新の金額は料金ページをご覧ください。

無料分数は費用ゼロで済むことがありますが、CRACIはそうではありません。より重要なのは、コンピュート以外にそれぞれが何をもたらすかです。

無料分数でカバーできないこと

分数で買えるのはマシンの稼働時間です。顧客にソフトウェアを出荷するときに生じる次のような問いに答えるためのものではありません。

• このビルドは実際にどのパッケージを、どこからダウンロードしたのか。
• 侵害された依存関係が、ビルド中に想定外のホストへ到達した可能性はないか。
• 出荷したアーティファクトは、このビルドが生成したものと同じか。
• 新しい脆弱性が公開されたとき、リリース済みのどのビルドにそれが含まれるか。
• 顧客や監査人にどんなエビデンスを提出できるか。

セキュリティ

GitHubはActionsと併用できる無料のサプライチェーン機能を提供しており、有効にする価値があります。Dependabotアラートはリポジトリのデフォルトブランチをスキャンし、GitHub Advisory Databaseに新しい脆弱性が追加されると通知します。リポジトリの依存関係グラフの現在の状態を、SPDX形式のSBOMとしてエクスポートすることもできます。

これらの機能が記述するのはリポジトリです。CRACIが記録するのはビルドです。CRACIのランナーはジョブ実行中のパッケージソースへの通信を監視するため、SBOMにはCIキャッシュから復元されたパッケージを含め、ジョブが実際に取り込んだものが記載され、ジョブとキャッシュごとに記録が完全かどうかも示されます。ネットワークのエグレスポリシーでは、許可したソフトウェアソース以外をすべて拒否できます。詳しくはSBOM生成のページをご覧ください。

レジリエンス

新しいCVEが公開されたとき、役に立つ答えは、リポジトリが今そのパッケージを宣言しているかどうかではなく、出荷したどのビルドにそれが含まれているかです。CRACIはビルドとリポジトリをまたいで脆弱性を集約し、監視対象のSBOMを継続的に再評価するため、脆弱な依存関係を共有するビルドを見つけられます。脆弱性トラッキングをご覧ください。

コンプライアンスのエビデンス

顧客や規制当局は、SBOMとソフトウェアのビルド方法の証明をますます求めるようになっています。CRACIのAPIはSBOM、ネットワークトレース、来歴を返し、SBOMはCycloneDXまたはSPDXとしてエクスポートできます。企業がより広いCRAコンプライアンスのプロセスで必要とする、ソフトウェアサプライチェーンの可視性とエビデンスのかなりの部分を自動化します。ただし、それだけで企業がコンプライアンスを満たすわけではありません。

無料分数で本当に十分な場合

次の多くが当てはまるなら、無料分数を使い続け、GitHubの無料セキュリティ機能を有効にしてください。

• コードがパブリックリポジトリのオープンソースで、標準のホスト型ランナーが無料で使える。
• プロトタイプ段階で、ビルドしたものがまだ顧客に届いていない。
• ビルドが月間の付属分数に余裕をもって収まっている。
• 顧客、監査人、規制当局からSBOMやビルドのエビデンスを求められていない。
• デジタル要素を含む製品をEU市場で販売していない。

この状況でCRACIに費用をかけても、まだ誰も必要としていないエビデンスを買うことになります。状況が変わったら、またご検討ください。

無料分数の先を考えるべきサイン

• 顧客のセキュリティ質問票で、出荷したリリースのSBOMを求められた。
• EUで販売している。Cyber Resilience Actの脆弱性報告義務は2026年9月から適用され、全面適用は2027年12月です。基本はCRAの概要で解説しています。
• インシデントの際に、どのビルドがあるパッケージを取り込んだのか、誰もすぐに答えられない。
• 毎月無料枠を超え、すでに分数に費用を払っている。

スタートアップのための中間的な選択肢

対象となるスタートアップは、スタートアッププログラムを通じて最低10万分の無料ビルド分数と、当社チームによる実践的なオンボーディングを受けられます。費用を払う前に、ご自身のパイプラインでビルド時のエビデンスがどのようなものかを確かめられます。