Prijzen van GitHub Advanced Security, en waar CRACI past

Het korte antwoord

Per september 2026 verkoopt GitHub GitHub Advanced Security als twee add-ons. GitHub Secret Protection kost $19 per actieve committer per maand en dekt secret scanning en push protection. GitHub Code Security kost $30 per actieve committer per maand en dekt code scanning met CodeQL, Copilot Autofix, dependency review en premium Dependabot-functies. Beide kopen komt neer op $49 per actieve committer per maand. Beide vereisen een GitHub Team- of Enterprise-plan, en u betaalt ze bovenop uw GitHub-seats.

Een actieve committer is iedereen van wie in de afgelopen 90 dagen een commit is gepusht naar een repository waarop het product is ingeschakeld, één keer geteld binnen uw organisatie. Daarom volgt de rekening wie code pusht, niet hoeveel seats u hebt.

Prijzen van GitHub Advanced Security in één oogopslag

De prijzen zijn de catalogusprijzen van GitHub en Azure per september 2026. De plannenpagina van GitHub vermeldt de functies die elke add-on toevoegt op Team en Enterprise; de gratis kolom dekt openbare repositories op GitHub.com.

Hoe de rekening wordt berekend

• Per actieve committer, per product. Een committer is actief als een van zijn of haar commits in de afgelopen 90 dagen naar een ingeschakelde repository is gepusht, ongeacht wanneer die is geschreven. Elke persoon gebruikt één licentie voor de organisatie of enterprise, aan hoeveel repositories hij of zij ook werkt.
• Alleen ingeschakelde repositories tellen. U schakelt Secret Protection en Code Security onafhankelijk in, dus u kunt Secret Protection overal aanzetten en Code Security alleen waar u het nodig hebt.
• Gemeten of volumefacturering op Enterprise. Gemeten facturering, op GitHub Enterprise Cloud en op GitHub Enterprise Server 3.13 of hoger met GitHub Connect, factureert maandelijks de gebruikte licenties, zonder vooraf ingestelde limiet en zonder overschrijdingsstatus. Bij volume- of abonnementsfacturering koopt u een vast aantal licenties voor een periode, doorgaans minimaal een jaar.
• Gratis risicobeoordelingen. Organisaties op Team en Enterprise Cloud kunnen vóór de aankoop een gratis secret risk assessment draaien, en een code security risk assessment op maximaal 20 actieve repositories.

Een uitgewerkt voorbeeld

Een team van 50 ontwikkelaars die allemaal pushen naar repositories waarop beide producten zijn ingeschakeld, betaalt 50 × $19 = $950 voor Secret Protection en 50 × $30 = $1,500 voor Code Security: $2,450 per maand, of $29,400 per jaar, tegen catalogusprijs. Dat komt bovenop de seats voor GitHub Team of Enterprise en de GitHub Actions-minuten. Iedereen met een licentie in uw organisatie die naar een ingeschakelde repository pusht, telt mee, ook contractors, dus tel committers in plaats van werknemers.

Wat u krijgt zonder te betalen

De dependency graph en Dependabot-meldingen zitten in alle GitHub-plannen. Op openbare repositories zijn code scanning, secret scanning, push protection en dependency review gratis. Is uw code open source, dan kost een groot deel van GitHub Advanced Security niets.

GitHub Advanced Security for Azure DevOps

Dezelfde twee producten worden verkocht voor Azure Repos, voor $19 per committer per maand voor Secret Protection en $30 voor Code Security op de prijspagina van Azure. De kosten lopen dagelijks op en worden maandelijks gefactureerd op het Azure-abonnement dat aan de Azure DevOps-organisatie is gekoppeld, en committers worden per product één keer geteld binnen dat abonnement.

Wat GitHub Advanced Security goed doet

Code scanning met CodeQL is semantische statische analyse die in pull requests is ingebouwd, en Copilot Autofix stelt fixes voor de gegenereerde meldingen voor. Secret scanning dekt de git-geschiedenis, pull requests, issues en wiki's, en push protection blokkeert een secret voordat die binnenkomt. Geldigheidscontroles vertellen u of een gelekte inloggegeven nog actief is. CRACI doet niets hiervan, en niets op deze pagina suggereert dat u dit moet vervangen.

Voor afhankelijkheden parseert de dependency graph de manifests en lockfiles in uw repository, en Dependabot waarschuwt u wanneer er een overeenkomt met een advisory in de GitHub Advisory Database. Security updates proberen een pull request te openen voor elke open melding waarvoor een patch bestaat, en dependency review (onderdeel van Code Security) toont vóór de merge wat een pull request verandert. Automatic dependency submission kan door de build opgeloste gegevens toevoegen voor Maven, Gradle en Python. U kunt de graph als SPDX-SBOM exporteren vanuit de interface of de REST API.

Artifact attestations gebruiken Sigstore om de herkomst van builds voor binaries en containerimages te ondertekenen, en kunnen SBOM's in SPDX of CycloneDX attesteren. GitHub documenteert dat attestations op zichzelf SLSA v1.0 Build Level 2 bieden, en Level 3 met herbruikbare workflows.

Wat de prijs niet dekt

Elke functie van GitHub Advanced Security leest uw repository: de code, de secrets en de gedeclareerde afhankelijkheden. Geen daarvan legt vast wat er gebeurt in de build die uw release produceert, of bepaalt wat die build op het netwerk kan bereiken. Daar past CRACI.

De tabel combineert GitHub Advanced Security met de functies van het GitHub-platform waarop het voortbouwt (dependency graph, Dependabot, artifact attestations en gehoste runners), omdat teams ze zo ervaren.

Een vastlegging van de build, niet van de repository

De dependency graph beschrijft de repository, en wordt bijgewerkt wanneer een commit een manifest of lockfile op de standaardbranch wijzigt. Dat is nuttig, maar het is niet hetzelfde als een vastlegging van de job die een release heeft geproduceerd. CRACI observeert de build zelf: een proxy die pakketten herkent, ziet het verkeer naar pakketbronnen, voor npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk en Git-bronnen. Het bewijs reist mee met CI-caches, en elke SBOM vermeldt zijn volledigheid per job en per cache: Complete, Complete with connections, Incomplete, Unavailable of Not recorded.

Controle over wat de job kan bereiken

CRACI dwingt per job een egressbeleid af: standaard weigeren of standaard toestaan, met 24 ingebouwde presets voor softwarebronnen en getypeerde eigen bronnen voor registries en Git. Beleid wordt gevalideerd voordat de job start en is fail-closed, en CRACI waarschuwt u bij een beleidsovertreding. Dit is een runtimecontrole op de build, die het scannen van de repository niet kan bieden.

Herkomst

De artifact attestations van GitHub zijn een workflowstap die u toevoegt. Ze ondertekenen de herkomst van builds, en GitHub documenteert er SLSA v1.0 Build Level 2 voor. CRACI ondertekent geen herkomstgegevens en claimt geen SLSA-niveau: de API levert SBOM's, netwerktraces en herkomstgegevens. Hebt u ondertekende herkomst of een gedocumenteerd SLSA-niveau nodig, dan bieden de attestations van GitHub dat.

Monitoren wat is geleverd

CRACI bundelt kwetsbaarheden over builds en repositories heen, blijft gemonitorde SBOM's opnieuw beoordelen, en laat securityteams bevindingen triëren en naar de teams sturen die verantwoordelijk zijn voor de fix. De inventarisweergave toont precies welke softwareversies in welke producten zijn uitgerold, wereldwijd. SBOM's worden geëxporteerd als CycloneDX of SPDX, inclusief kwetsbaarheden, en de API levert SBOM's, netwerktraces en herkomstgegevens.

Een ander prijsmodel

GitHub Advanced Security wordt geprijsd per actieve committer. CRACI wordt alleen per buildminuut geprijsd, omdat het de runner is: $0.002 per vCPU-minuut ($0.004 voor een standaardrunner met 2 vCPU), per seconde gemeten, zonder maandelijkse kosten. Met die minuten draaien jobs die u anders op door GitHub gehoste runners zou draaien. Zie prijzen van CRACI voor de actuele voorwaarden.

Hoe ze bij elkaar passen

• GitHub Advanced Security op elke pull request: CodeQL, secret scanning, push protection en dependency review.
• Dependabot houdt gedeclareerde afhankelijkheden gepatcht.
• CRACI als de runner: legt elke build vast, dwingt het egressbeleid af en bewaart het bewijs.

Runs op CRACI verschijnen nog steeds in de GitHub-interface, en uw workflows behouden hun stappen; een job gaat naar CRACI door het label runs-on te wijzigen. Blijf op door GitHub gehoste runners voor Windows- en macOS-jobs: CRACI draait vandaag alleen Linux, op x86-64 en ARM64, met Windows en macOS op de roadmap.

Vergelijkt u liever codescanners? Zie alternatieven voor GitHub Advanced Security, met hun prijzen.

Voor de Cyber Resilience Act

De tools van GitHub helpen u kwetsbaarheden te vinden en op te lossen vóór de release, wat een fabrikant moet doen. CRACI automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat bedrijven nodig hebben voor hun bredere CRA-nalevingsproces: wat er in elke release is gegaan, de SBOM's, netwerktraces en herkomstgegevens die de API levert, en doorlopende kwetsbaarheidstracking. Geen van beide maakt een product op zichzelf compliant. Zie wat de CRA is en CRA-bewijs.

Lees meer over CI/CD-integratie en SBOM-generatie tijdens de build, of boek een demo om de buildvastlegging van CRACI naast uw dependency graph te zien.

Vragen over de prijzen van GitHub Advanced Security

Wat kost GitHub Advanced Security?

Per september 2026 verkoopt GitHub Advanced Security als twee add-ons: GitHub Secret Protection voor $19 en GitHub Code Security voor $30 per actieve committer per maand, dus $49 per actieve committer voor beide. Ze worden gekocht bovenop een GitHub Team- of Enterprise-plan.

Wat telt als actieve committer?

Iemand met een GitHub Team- of Enterprise-licentie in uw organisatie van wie een commit in de afgelopen 90 dagen is gepusht naar een repository waarop Secret Protection of Code Security is ingeschakeld, ongeacht wanneer de commit is geschreven. Elke persoon gebruikt één licentie voor de hele organisatie of enterprise, aan hoeveel repositories hij of zij ook bijdraagt.

Is GitHub Advanced Security gratis voor openbare repositories?

Gedeeltelijk. Op openbare repositories schakelt GitHub code scanning, secret scanning en push protection standaard in, en ook dependency review is gratis. Privérepositories hebben de betaalde add-ons nodig. De dependency graph en Dependabot-meldingen zitten in elk GitHub-plan.

Kan ik GitHub Advanced Security kopen op een GitHub Free- of Pro-plan?

Nee. GitHub Secret Protection en GitHub Code Security vereisen een GitHub Team- of GitHub Enterprise-plan. Organisaties op Team en Enterprise Cloud kunnen ook eerst een gratis secret risk assessment en code security risk assessment draaien.

Hoe wordt GitHub Advanced Security op Enterprise gefactureerd?

Op twee manieren. Gemeten facturering, op GitHub Enterprise Cloud en op GitHub Enterprise Server 3.13 of hoger met GitHub Connect, rekent maandelijks de licenties af die actieve committers hebben gebruikt, zonder vooraf ingestelde limiet. Bij volume- of abonnementsfacturering koopt u een vast aantal licenties voor een bepaalde periode, doorgaans minimaal een jaar.

Wat kost GitHub Advanced Security op Azure DevOps?

GitHub Advanced Security for Azure DevOps werkt met Azure Repos. Azure vermeldt Secret Protection voor $19 en Code Security voor $30 per committer per maand, dagelijks berekend en maandelijks gefactureerd op het Azure-abonnement dat aan de Azure DevOps-organisatie is gekoppeld. Committers worden per product één keer geteld binnen dat abonnement.

Bevat GitHub Advanced Security een SBOM?

GitHub kan de dependency graph van een repository exporteren als SPDX-SBOM, en de dependency graph zit in elk plan. Die SBOM beschrijft de manifests en lockfiles op de standaardbranch, niet een specifieke build. CRACI legt de pakketten vast die elke build daadwerkelijk heeft opgehaald en exporteert per build CycloneDX en SPDX.

Vervangt CRACI GitHub Advanced Security?

Nee. CRACI doet geen code scanning of secret scanning. CRACI vervangt de runner waarop uw GitHub Actions-jobs draaien, en legt vast en bepaalt wat elke build doet. Teams op GitHub houden doorgaans Secret Protection en Code Security voor hun repositories en voegen CRACI toe voor buildbewijs.