Gratis CI-minutter: hva de dekker, og hva de ikke dekker

Dette dekker gratis minutter

GitHub inkluderer en månedlig kvote med Actions-minutter i hver konto, til bruk i private repositorier. Per september 2026 oppgir GitHubs faktureringsdokumentasjon:

• GitHub Free: 2 000 minutter i måneden
• GitHub Pro og GitHub Team: 3 000 minutter i måneden
• GitHub Enterprise Cloud: 50 000 minutter i måneden

Standard GitHub-hostede runnere er gratis å bruke i offentlige repositorier. Inkluderte minutter nullstilles ved starten av hver faktureringsperiode. Noen detaljer påvirker hvor langt de rekker:

• GitHub runder minuttene hver jobb bruker, opp til nærmeste hele minutt.
• Inkluderte minutter kan ikke brukes på GitHubs større runnere.
• Over kvoten koster en standard Linux-runner med 2 kjerner $0.006 per minutt (Windows og macOS koster mer per minutt).

Det er et sjenerøst tilbud på regnekraft. For mange team er det også det riktige, og det sier vi nedenfor.

Hvor langt 2 000 minutter rekker

1. GitHub runder hver jobb på 2 minutter og 20 sekunder opp til 3 minutter, så én kjøring faktureres som 4 × 3 = 12 minutter.
2. 2 000 ÷ 12 = 166,7, så Free-kvoten dekker 166 hele kjøringer i måneden.
3. 166 ÷ 21 er omtrent 7,9 kjøringer per arbeidsdag, for hele teamet.
4. Hver kjøring utover kvoten koster 12 × $0.006 = $0.072.

Til sammenligning måles den samme kjøringen på CRACI per sekund: 4 × 140 sekunder = 560 sekunder, eller omtrent 9,33 minutter. På en runner med 2 vCPU til $0.004 per minutt koster én kjøring omtrent $0.037, og de 166 kjøringene GitHub Free-kvoten dekker, koster omtrent $6.20. CRACI har ikke noe gratisnivå og ingen månedsavgift: Du betaler per byggeminutt. Se prissiden for gjeldende tall.

Gratis minutter kan koste ingenting, og det kan ikke CRACI. Det bedre spørsmålet er hva hver av dem gir deg utover regnekraft.

Dette dekker ikke gratis minutter

Minutter kjøper tid på en maskin. De var aldri ment å svare på spørsmålene som dukker opp når du leverer programvare til kunder:

• Hvilke pakker lastet dette bygget faktisk ned, og hvorfra?
• Kan en kompromittert avhengighet ha nådd en uventet vert under bygget?
• Er artefakten vi leverte, den dette bygget produserte?
• Når en ny sårbarhet publiseres, hvilke av de utgitte byggene våre inneholder den?
• Hvilken dokumentasjon kan vi gi til en kunde eller en revisor?

Sikkerhet

GitHub tilbyr gratis leverandørkjedefunksjoner som fungerer sammen med Actions, og de er verdt å slå på. Dependabot-varsler skanner standardgrenen i repositoriet ditt og varsler deg når en ny sårbarhet legges til i GitHub Advisory Database. Du kan også eksportere gjeldende tilstand i et repositoriums avhengighetsgraf som en SBOM i SPDX-format.

Disse funksjonene beskriver repositoriet. CRACI registrerer bygget. Runnerne observerer trafikken til pakkekilder mens jobben kjører, så SBOM-en viser hva jobben faktisk hentet, inkludert pakker gjenopprettet fra CI-cacher, og oppgir om registreringen for hver jobb og cache er fullstendig. Egress-policyer for nettverket kan nekte alt unntatt programvarekildene du tillater. Detaljene står på siden om SBOM-generering.

Robusthet

Når en ny CVE dukker opp, er ikke det nyttige svaret om repositoriet ditt deklarerer pakken i dag, men hvilke bygg du har levert som inneholder den. CRACI samler sårbarheter på tvers av bygg og repositorier og vurderer overvåkede SBOM-er kontinuerlig på nytt, så du kan finne byggene som deler en sårbar avhengighet. Se sårbarhetssporing.

Samsvarsdokumentasjon

Kunder og myndigheter ber i økende grad om SBOM-er og bevis på hvordan programvare ble bygget. CRACI-API-et returnerer SBOM-er, nettverksspor og provenance, og SBOM-er eksporteres som CycloneDX eller SPDX. Det automatiserer en betydelig del av synligheten i programvareleverandørkjeden og dokumentasjonen selskaper trenger for den bredere CRA-samsvarsprosessen sin. Det sørger ikke alene for at et selskap oppfyller kravene.

Når gratis minutter virkelig er nok

Bli på gratis minutter, og slå på GitHubs gratis sikkerhetsfunksjoner, hvis det meste av dette stemmer:

• Koden din er åpen kildekode i offentlige repositorier, der standard hostede runnere er gratis.
• Du lager prototyper, og ingenting du bygger, har nådd kunder ennå.
• Byggene dine får godt plass innenfor den månedlige kvoten.
• Ingen kunde, revisor eller myndighet ber deg om SBOM-er eller dokumentasjon fra bygget.
• Du selger ikke produkter med digitale elementer på EU-markedet.

I den situasjonen kjøper du med CRACI dokumentasjon ingen trenger ennå. Kom tilbake når det endrer seg.

Tegn på at det er på tide å se forbi gratis minutter

• Et sikkerhetsspørreskjema fra en kunde ber om en SBOM av utgivelsen du leverte.
• Du selger i EU. Sårbarhetsrapporteringspliktene i Cyber Resilience Act gjelder fra september 2026, og forordningen gjelder fullt ut fra desember 2027. CRA-oversikten vår dekker det grunnleggende.
• En hendelse får deg til å spørre hvilke bygg som hentet en pakke, og ingen kan svare raskt.
• Du går over gratiskvoten hver måned og betaler allerede for minutter.

En mellomvei for oppstartsbedrifter

Oppstartsbedrifter som oppfyller kravene, får minst 100 000 gratis byggeminutter og praktisk onboarding fra teamet vårt gjennom startup-programmet. Det er en måte å se hvordan dokumentasjon fra bygget ser ut på din egen pipeline, før du betaler for det.