Priser på GitHub Advanced Security, og hvor CRACI passer inn

Det korte svaret

Per september 2026 selger GitHub GitHub Advanced Security som to tillegg. GitHub Secret Protection koster $19 per aktiv committer per måned og dekker secret scanning og push protection. GitHub Code Security koster $30 per aktiv committer per måned og dekker code scanning med CodeQL, Copilot Autofix, dependency review og premiumfunksjoner i Dependabot. Å kjøpe begge kommer på $49 per aktiv committer per måned. Begge krever en GitHub Team- eller Enterprise-plan, og du betaler for dem i tillegg til GitHub-setene dine.

En aktiv committer er en person som har fått en commit pushet til et repositorium med produktet aktivert i løpet av de siste 90 dagene, talt én gang i hele organisasjonen. Derfor følger regningen hvem som pusher kode, ikke hvor mange seter du har.

Priser på GitHub Advanced Security i korte trekk

Prisene er GitHubs og Azures listepriser per september 2026. GitHubs planside lister opp funksjonene hvert tillegg gir på Team og Enterprise; gratiskolonnen dekker offentlige repositorier på GitHub.com.

Slik telles regningen

• Per aktiv committer, per produkt. En committer er aktiv hvis en av vedkommendes commits ble pushet til et aktivert repositorium i løpet av de siste 90 dagene, uavhengig av når den ble skrevet. Hver person bruker én lisens i hele organisasjonen eller enterprise-kontoen, uansett hvor mange repositorier vedkommende er innom.
• Bare aktiverte repositorier teller. Du aktiverer Secret Protection og Code Security uavhengig av hverandre, så du kan slå på Secret Protection overalt og Code Security bare der du trenger det.
• Målt fakturering eller volumfakturering på Enterprise. Målt fakturering, på GitHub Enterprise Cloud og på GitHub Enterprise Server 3.13 eller nyere med GitHub Connect, fakturerer månedlig for lisensene som ble brukt, uten forhåndsinnstilt grense og uten overforbruksstatus. Volum- eller abonnementsfakturering kjøper et fast antall lisenser for en periode, vanligvis minst ett år.
• Gratis risikovurderinger. Organisasjoner på Team og Enterprise Cloud kan kjøre en gratis secret risk assessment, og en code security risk assessment på opptil 20 aktive repositorier, før de kjøper.

Et regneeksempel

Et team på 50 utviklere som alle pusher til repositorier med begge produktene aktivert, betaler 50 × $19 = $950 for Secret Protection og 50 × $30 = $1,500 for Code Security: $2,450 i måneden, eller $29,400 i året, til listepris. Det kommer i tillegg til seter på GitHub Team eller Enterprise og GitHub Actions-minutter. Alle med en lisens i organisasjonen din som pusher til et aktivert repositorium, teller, også konsulenter, så tell committere i stedet for ansatte.

Hva du får uten å betale

Avhengighetsgrafen og Dependabot-varsler er inkludert i alle GitHub-planer. På offentlige repositorier er code scanning, secret scanning, push protection og dependency review gratis. Hvis koden din er åpen kildekode, koster mye av GitHub Advanced Security ingenting.

GitHub Advanced Security for Azure DevOps

De samme to produktene selges for Azure Repos, til $19 per committer per måned for Secret Protection og $30 for Code Security på Azures prisside. Kostnadene påløper daglig og faktureres månedlig til Azure-abonnementet som er knyttet til Azure DevOps-organisasjonen, og committere telles én gang per produkt på tvers av det abonnementet.

Det GitHub Advanced Security gjør bra

Code scanning med CodeQL er semantisk statisk analyse bygget inn i pull requests, og Copilot Autofix foreslår rettinger for varslene den utløser. Secret scanning dekker git-historikk, pull requests, issues og wikier, og push protection blokkerer en hemmelighet før den lander. Validity checks forteller deg om lekket påloggingsinformasjon fortsatt er gyldig. CRACI gjør ikke noe av dette, og ingenting på denne siden antyder at det bør erstattes.

For avhengigheter parser avhengighetsgrafen manifestene og lockfilene i repositoriet ditt, og Dependabot varsler deg når en av dem matcher en advisory i GitHub Advisory Database. Security updates prøver å åpne en pull request for hvert åpent varsel som har en patch, og dependency review (en del av Code Security) viser hva en pull request endrer før merge. Automatic dependency submission kan legge til data løst i bygget for Maven, Gradle og Python. Du kan eksportere grafen som en SPDX-SBOM fra grensesnittet eller REST API-et.

Artifact attestations bruker Sigstore til å signere provenance for binærfiler og container-images, og kan attestere SBOM-er i SPDX eller CycloneDX. GitHub dokumenterer at attestations alene gir SLSA v1.0 Build Level 2, og Level 3 med gjenbrukbare workflows.

Hva prisen ikke dekker

Hver funksjon i GitHub Advanced Security leser repositoriet ditt: koden, hemmelighetene og de deklarerte avhengighetene. Ingen av dem registrerer hva som skjer inne i bygget som produserer utgivelsen din, eller kontrollerer hva det bygget kan nå på nettverket. Det er der CRACI passer inn.

Tabellen blander GitHub Advanced Security med GitHub-plattformfunksjonene det bygger på (avhengighetsgraf, Dependabot, artifact attestations og hostede runnere), fordi det er slik team opplever dem.

En oversikt over bygget, ikke repositoriet

Avhengighetsgrafen beskriver repositoriet og oppdateres når en commit endrer et manifest eller en lockfile på standardgrenen. Det er nyttig, men det er ikke det samme som en oversikt over jobben som produserte en utgivelse. CRACI observerer selve bygget: En pakkebevisst proxy ser trafikk til pakkekilder, på tvers av kildene npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk og Git. Dokumentasjonen følger med CI-cacher, og hver SBOM angir sin fullstendighet per jobb og per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded.

Kontroll over hva jobben kan nå

CRACI håndhever en egress-policy per jobb: standard avvis eller standard tillat, med 24 innebygde forhåndsinnstillinger for programvarekilder og typede egendefinerte kilder for registre og Git. Policyer valideres før jobben starter og blokkerer ved feil, og CRACI varsler deg ved et policybrudd. Dette er en runtime-kontroll på bygget, noe skanning av repositoriet ikke kan gi.

Provenance

GitHubs artifact attestations er et workflow-steg du legger til. De signerer provenance for bygget, og GitHub dokumenterer SLSA v1.0 Build Level 2 for dem. CRACI signerer ikke provenance og hevder ikke noe SLSA-nivå: API-et returnerer SBOM-er, nettverksspor og provenance. Hvis du trenger signert provenance eller et dokumentert SLSA-nivå, gir GitHubs attestations deg det.

Overvåking av det som er levert

CRACI samler sårbarheter på tvers av bygg og repositorier, fortsetter å vurdere overvåkede SBOM-er på nytt og lar sikkerhetsteam triagere funn og sende dem til teamene som eier rettingen. Inventarvisningen viser nøyaktig hvilke programvareversjoner som er rullet ut til hvilke produkter, globalt. SBOM-er eksporteres som CycloneDX eller SPDX, inkludert sårbarheter, og API-et returnerer SBOM-er, nettverksspor og provenance.

En annen prismodell

GitHub Advanced Security prises per aktiv committer. CRACI prises bare per byggeminutt, fordi det er runneren: $0.002 per vCPU-minutt ($0.004 for en standard runner med 2 vCPU), målt per sekund, uten månedsavgift. Disse minuttene kjører jobber du ellers ville kjørt på GitHub-hostede runnere. Se CRACI-priser for gjeldende vilkår.

Slik passer de sammen

• GitHub Advanced Security på hver pull request: CodeQL, secret scanning, push protection og dependency review.
• Dependabot som holder deklarerte avhengigheter patchet.
• CRACI som runneren: registrerer hvert bygg, håndhever egress-policy og oppbevarer dokumentasjonen.

Kjøringer på CRACI vises fortsatt i GitHub-grensesnittet, og workflowene dine beholder stegene sine; en jobb flyttes til CRACI ved å endre runs-on-etiketten. Bli på GitHub-hostede runnere for Windows- og macOS-jobber: CRACI kjører bare Linux i dag, på x86-64 og ARM64, med Windows og macOS på veikartet.

Sammenligner du heller kodeskannere? Se alternativer til GitHub Advanced Security, med priser.

For Cyber Resilience Act

GitHubs verktøy hjelper deg med å finne og rette sårbarheter før utgivelse, noe en produsent må gjøre. CRACI automatiserer en betydelig del av innsynet i programvareleverandørkjeden og dokumentasjonen som bedrifter trenger for sin bredere CRA-samsvarsprosess: hva som gikk inn i hver utgivelse, SBOM-ene, nettverkssporene og provenance som API-et returnerer, og løpende sårbarhetssporing. Ingen av dem sørger alene for at et produkt er i samsvar. Se hva CRA er og CRA-dokumentasjon.

Les mer om CI/CD-integrasjon og SBOM-generering under bygget, eller book en demo for å se CRACIs byggeoversikt ved siden av avhengighetsgrafen din.

Spørsmål om priser på GitHub Advanced Security

Hva koster GitHub Advanced Security?

Per september 2026 selger GitHub Advanced Security som to tillegg: GitHub Secret Protection til $19 og GitHub Code Security til $30 per aktiv committer per måned, altså $49 per aktiv committer for begge. De kjøpes i tillegg til en GitHub Team- eller Enterprise-plan.

Hva regnes som en aktiv committer?

En person med en GitHub Team- eller Enterprise-lisens i organisasjonen din som i løpet av de siste 90 dagene har fått en commit pushet til et repositorium der Secret Protection eller Code Security er aktivert, uavhengig av når commiten ble skrevet. Hver person bruker én lisens i hele organisasjonen eller enterprise-kontoen, uansett hvor mange repositorier vedkommende bidrar til.

Er GitHub Advanced Security gratis for offentlige repositorier?

Delvis. På offentlige repositorier aktiverer GitHub code scanning, secret scanning og push protection som standard, og dependency review er også gratis. Private repositorier trenger de betalte tilleggene. Avhengighetsgrafen og Dependabot-varsler er inkludert i alle GitHub-planer.

Kan jeg kjøpe GitHub Advanced Security på en GitHub Free- eller Pro-plan?

Nei. GitHub Secret Protection og GitHub Code Security krever en GitHub Team- eller GitHub Enterprise-plan. Organisasjoner på Team og Enterprise Cloud kan også kjøre en gratis secret risk assessment og code security risk assessment først.

Hvordan faktureres GitHub Advanced Security på Enterprise?

På to måter. Målt fakturering, på GitHub Enterprise Cloud og på GitHub Enterprise Server 3.13 eller nyere med GitHub Connect, tar betalt månedlig for lisensene aktive committere brukte, uten forhåndsinnstilt grense. Volum- eller abonnementsfakturering kjøper et fast antall lisenser for en bestemt periode, vanligvis minst ett år.

Hva koster GitHub Advanced Security på Azure DevOps?

GitHub Advanced Security for Azure DevOps fungerer med Azure Repos. Azure oppgir Secret Protection til $19 og Code Security til $30 per committer per måned, belastet daglig og fakturert månedlig til Azure-abonnementet som er knyttet til Azure DevOps-organisasjonen. Committere telles én gang per produkt på tvers av det abonnementet.

Inkluderer GitHub Advanced Security en SBOM?

GitHub kan eksportere avhengighetsgrafen til et repositorium som en SPDX-SBOM, og avhengighetsgrafen er inkludert i alle planer. Den SBOM-en beskriver manifestene og lockfilene på standardgrenen, ikke et bestemt bygg. CRACI registrerer pakkene hvert bygg faktisk hentet, og eksporterer CycloneDX og SPDX per bygg.

Erstatter CRACI GitHub Advanced Security?

Nei. CRACI gjør ingen kodeskanning eller skanning av hemmeligheter. CRACI erstatter runneren GitHub Actions-jobbene dine kjører på, og registrerer og kontrollerer hva hvert bygg gjør. Team på GitHub beholder vanligvis Secret Protection og Code Security for repositoriene sine og legger til CRACI for dokumentasjon fra bygget.