무료 CI 사용 시간: 제공하는 것과 제공하지 않는 것

무료 사용 시간이 제공하는 것

GitHub는 모든 계정에 비공개 리포지토리에서 쓸 수 있는 Actions 사용 시간을 매월 일정량 포함합니다. 2026년 9월 기준 GitHub 결제 문서에 나온 수치는 다음과 같습니다.

• GitHub Free: 월 2,000분
• GitHub Pro 및 GitHub Team: 월 3,000분
• GitHub Enterprise Cloud: 월 50,000분

표준 GitHub 호스팅 러너는 공개 리포지토리에서 무료로 사용할 수 있습니다. 포함된 사용 시간은 결제 주기가 시작될 때마다 초기화됩니다. 사용 시간이 얼마나 오래 가는지에는 몇 가지 세부 사항이 영향을 줍니다.

• GitHub는 각 작업이 사용한 시간을 가장 가까운 1분 단위로 올림합니다.
• Team 및 Enterprise Cloud에서는 대형 러너도 같은 포함 사용량을 더 높은 요율로 소진합니다.
• 할당량을 넘으면 표준 2코어 Linux 러너는 분당 $0.006입니다(Windows와 macOS는 분당 비용이 더 높습니다).

컴퓨팅만 놓고 보면 넉넉한 제안입니다. 많은 팀에게는 이것이 올바른 선택이기도 하며, 그 이유는 아래에서 설명합니다.

2,000분으로 어디까지 갈 수 있는가

1. GitHub는 2분 20초짜리 작업을 각각 3분으로 올림하므로, 실행 1회는 4 × 3 = 12분으로 과금됩니다.
2. 2,000 ÷ 12 = 166.7이므로, Free 할당량으로 월 166회의 전체 실행을 감당할 수 있습니다.
3. 166 ÷ 21은 팀 전체 기준 근무일당 약 7.9회 실행입니다.
4. 할당량을 넘는 실행은 회당 12 × $0.006 = $0.072입니다.

각 플랜의 포함 사용량과 대형 러너 규칙까지 반영해 이 계산을 직접 해 보려면 GitHub Actions 요금 계산기를 사용하세요.

비교하자면 CRACI에서 같은 실행은 초 단위로 측정됩니다. 4 × 140초 = 560초, 즉 약 9.33분입니다. 분당 $0.004인 2 vCPU 러너에서 실행 1회는 약 $0.037이며, GitHub Free 할당량이 감당하는 166회 실행의 비용은 약 $6.20입니다. CRACI에는 무료 티어가 없으며, 월 요금 없이 빌드 분당 과금합니다. 최신 수치는 요금 페이지를 참조하세요.

무료 사용 시간은 비용이 0일 수 있지만 CRACI는 그렇지 않습니다. 더 중요한 질문은 각각이 컴퓨팅 외에 무엇을 제공하느냐입니다.

무료 사용 시간이 다루지 않는 것

사용 시간으로 사는 것은 머신을 쓰는 시간입니다. 고객에게 소프트웨어를 출시할 때 나오는 질문에 답하도록 설계된 적은 없습니다.

• 이 빌드는 실제로 어떤 패키지를 어디에서 내려받았는가?
• 손상된 종속성이 빌드 중에 예상치 못한 호스트에 접속했을 가능성은 없는가?
• 우리가 출시한 아티팩트는 이 빌드가 만든 바로 그것인가?
• 새 취약점이 공개되면 출시된 빌드 중 어느 것에 포함되어 있는가?
• 고객이나 감사인에게 어떤 증거를 제시할 수 있는가?

보안

GitHub는 Actions와 함께 쓸 수 있는 무료 공급망 기능을 제공하며, 켜 둘 가치가 있습니다. Dependabot 알림은 리포지토리의 기본 브랜치를 스캔하고 GitHub Advisory Database에 새 취약점이 추가되면 알려 줍니다. 리포지토리 종속성 그래프의 현재 상태를 SPDX 형식의 SBOM으로 내보낼 수도 있습니다.

이 기능들은 리포지토리를 설명합니다. CRACI는 빌드를 기록합니다. CRACI 러너는 작업이 실행되는 동안 패키지 소스로 가는 트래픽을 관찰하므로, SBOM에는 CI 캐시에서 복원된 패키지를 포함해 작업이 실제로 가져온 것이 나열되고, 작업과 캐시마다 기록이 완전한지 여부가 표시됩니다. 네트워크 이그레스 정책으로 허용한 소프트웨어 소스를 제외한 모든 것을 거부할 수 있습니다. 자세한 내용은 SBOM 생성 페이지에 있습니다.

복원력

새 CVE가 나왔을 때 유용한 답은 리포지토리가 오늘 그 패키지를 선언하고 있는지가 아니라, 출시한 빌드 중 어느 것에 그 패키지가 들어 있는지입니다. CRACI는 빌드와 리포지토리 전반의 취약점을 집계하고 모니터링 중인 SBOM을 지속적으로 재평가하므로, 취약한 종속성을 공유하는 빌드를 찾을 수 있습니다. 취약점 추적을 참조하세요.

컴플라이언스 증거

고객과 규제 기관은 점점 더 SBOM과 소프트웨어가 어떻게 빌드되었는지에 대한 증명을 요구합니다. CRACI API는 SBOM, 네트워크 추적, 출처 증명을 반환하며, SBOM은 CycloneDX 또는 SPDX로 내보낼 수 있습니다. 기업이 더 넓은 CRA 컴플라이언스 프로세스에 필요로 하는 소프트웨어 공급망 가시성과 증거의 상당 부분을 자동화합니다. 그것만으로 기업이 규정을 준수하게 되는 것은 아닙니다.

무료 사용 시간으로 정말 충분한 경우

다음 중 대부분에 해당한다면 무료 사용 시간을 계속 쓰면서 GitHub의 무료 보안 기능을 켜 두세요.

• 코드가 공개 리포지토리의 오픈 소스이고, 그곳에서는 표준 호스팅 러너가 무료입니다.
• 프로토타입 단계이며, 아직 고객에게 전달된 빌드가 없습니다.
• 빌드가 월 할당량 안에 여유 있게 들어갑니다.
• SBOM이나 빌드 증거를 요구하는 고객, 감사인, 규제 기관이 없습니다.
• EU 시장에서 디지털 요소가 포함된 제품을 판매하지 않습니다.

그런 상황에서 CRACI에 비용을 내는 것은 아직 아무도 필요로 하지 않는 증거를 사는 일입니다. 상황이 바뀌면 다시 찾아 주세요.

무료 사용 시간 너머를 볼 때라는 신호

• 고객의 보안 설문에서 출시한 릴리스의 SBOM을 요구합니다.
• EU에서 판매합니다. EU Cyber Resilience Act의 취약점 보고 의무는 2026년 9월부터 적용되며, 2027년 12월에 전면 적용됩니다. 기본 사항은 CRA 개요에서 다룹니다.
• 사고가 발생해 어떤 빌드가 특정 패키지를 가져왔는지 묻게 되었는데, 아무도 빠르게 답하지 못합니다.
• 매월 무료 할당량을 넘겨 이미 사용 시간에 비용을 내고 있습니다.

스타트업을 위한 중간 경로

자격을 갖춘 스타트업은 스타트업 프로그램을 통해 최소 100k분의 무료 빌드 시간과 저희 팀의 직접 온보딩을 받을 수 있습니다. 비용을 내기 전에 여러분의 파이프라인에서 빌드 시점 증거가 어떤 모습인지 확인할 수 있는 방법입니다.