Gratis CI-minuten: wat ze dekken en wat niet

Wat gratis minuten dekken

GitHub biedt bij elk account een maandelijks quotum aan Actions-minuten, voor gebruik in privérepositories. Per september 2026 vermeldt de factureringsdocumentatie van GitHub:

• GitHub Free: 2.000 minuten per maand
• GitHub Pro en GitHub Team: 3.000 minuten per maand
• GitHub Enterprise Cloud: 50.000 minuten per maand

Standaard door GitHub gehoste runners zijn gratis te gebruiken in openbare repositories. Inbegrepen minuten worden aan het begin van elke factureringsperiode gereset. Een paar details bepalen hoe ver ze reiken:

• GitHub rondt de minuten die elke job gebruikt naar boven af op de dichtstbijzijnde hele minuut.
• Inbegrepen minuten kunnen niet worden gebruikt voor de grotere runners van GitHub.
• Boven het quotum kost een standaard Linux-runner met 2 cores $0.006 per minuut (Windows en macOS kosten meer per minuut).

Dat is een royaal aanbod voor rekenkracht. Voor veel teams is het ook het juiste aanbod, en dat zeggen we hieronder ook.

Hoe ver 2.000 minuten reiken

1. GitHub rondt elke job van 2 minuten en 20 seconden naar boven af op 3 minuten, dus één run wordt gefactureerd als 4 × 3 = 12 minuten.
2. 2.000 ÷ 12 = 166,7, dus het Free-quotum dekt 166 volledige runs per maand.
3. 166 ÷ 21 is ongeveer 7,9 runs per werkdag, voor het hele team.
4. Elke run boven het quotum kost 12 × $0.006 = $0.072.

Ter vergelijking: dezelfde run op CRACI wordt per seconde gemeten: 4 × 140 seconden = 560 seconden, of ongeveer 9,33 minuten. Op een runner met 2 vCPU tegen $0.004 per minuut kost één run ongeveer $0.037, en de 166 runs die het GitHub Free-quotum dekt, kosten ongeveer $6.20. CRACI heeft geen gratis plan en geen maandelijkse kosten: u betaalt per buildminuut. Zie de prijzenpagina voor de actuele getallen.

Gratis minuten kunnen niets kosten; CRACI kost altijd iets. De betere vraag is wat elk van beide u naast rekenkracht geeft.

Wat gratis minuten niet dekken

Minuten kopen tijd op een machine. Ze waren nooit bedoeld om de vragen te beantwoorden die opkomen wanneer u software aan klanten levert:

• Welke pakketten heeft deze build werkelijk gedownload, en waarvandaan?
• Kan een gecompromitteerde afhankelijkheid tijdens de build een onverwachte host hebben bereikt?
• Is het artefact dat we hebben geleverd het artefact dat deze build heeft opgeleverd?
• Wanneer er een nieuwe kwetsbaarheid wordt gepubliceerd, welke van onze uitgebrachte builds bevatten die dan?
• Welk bewijs kunnen we aan een klant of auditor overhandigen?

Beveiliging

GitHub biedt gratis functies voor ketenbeveiliging die naast Actions werken, en het is de moeite waard die aan te zetten. Dependabot-meldingen scannen de standaardbranch van uw repository en waarschuwen u wanneer er een nieuwe kwetsbaarheid aan de GitHub Advisory Database wordt toegevoegd. U kunt ook de huidige staat van de dependency graph van een repository exporteren als SBOM in SPDX-formaat.

Die functies beschrijven de repository. CRACI legt de build vast. De runners observeren verkeer naar pakketbronnen terwijl de job draait, dus de SBOM vermeldt wat de job werkelijk heeft opgehaald, inclusief pakketten die uit CI-caches zijn teruggezet, en geeft aan of de vastlegging voor elke job en cache volledig is. Egressbeleid voor het netwerk kan alles weigeren behalve de softwarebronnen die u toestaat. Details staan op de pagina SBOM-generatie.

Weerbaarheid

Wanneer er een nieuwe CVE opduikt, is het nuttige antwoord niet of uw repository het pakket nu declareert, maar welke geleverde builds het bevatten. CRACI brengt kwetsbaarheden samen over builds en repositories heen en beoordeelt gemonitorde SBOM's continu opnieuw, zodat u de builds kunt vinden die een kwetsbare afhankelijkheid delen. Zie kwetsbaarheden volgen.

Nalevingsbewijs

Klanten en toezichthouders vragen steeds vaker om SBOM's en bewijs van hoe software is gebouwd. De API van CRACI levert SBOM's, netwerktraces en herkomstgegevens, en SBOM's worden geëxporteerd als CycloneDX of SPDX. CRACI automatiseert een aanzienlijk deel van het inzicht in de softwareketen en het bewijs dat bedrijven nodig hebben voor hun bredere CRA-nalevingsproces. Daarmee alleen is een bedrijf nog niet compliant.

Wanneer gratis minuten echt genoeg zijn

Blijf bij gratis minuten, en zet de gratis beveiligingsfuncties van GitHub aan, als het meeste hiervan klopt:

• Uw code is open source in openbare repositories, waar standaard gehoste runners gratis zijn.
• U bent aan het prototypen, en nog niets wat u bouwt heeft klanten bereikt.
• Uw builds passen ruim binnen het maandelijkse quotum.
• Geen enkele klant, auditor of toezichthouder vraagt u om SBOM's of buildbewijs.
• U verkoopt geen producten met digitale elementen op de EU-markt.

In die situatie koopt u met CRACI bewijs dat nog niemand nodig heeft. Kom terug als dat verandert.

Signalen dat het tijd is om verder te kijken dan gratis minuten

• Een beveiligingsvragenlijst van een klant vraagt om een SBOM van de release die u hebt geleverd.
• U verkoopt in de EU. De meldplichten voor kwetsbaarheden van de Cyber Resilience Act gelden vanaf september 2026, en de verordening is vanaf december 2027 volledig van toepassing. Ons CRA-overzicht behandelt de basis.
• Na een incident vraagt u zich af welke builds een pakket hebben opgehaald, en niemand kan dat snel beantwoorden.
• U gaat elke maand over het gratis quotum heen en betaalt al voor minuten.

Een middenweg voor startups

Startups die in aanmerking komen, krijgen via het startupprogramma minimaal 100k gratis buildminuten en persoonlijke onboarding door ons team. Zo ziet u hoe buildbewijs eruitziet op uw eigen pipeline voordat u ervoor betaalt.