Darmowe minuty CI: co obejmują, a czego nie

Co obejmują darmowe minuty

GitHub dodaje do każdego konta miesięczną pulę minut Actions do wykorzystania w repozytoriach prywatnych. Według stanu na wrzesień 2026 dokumentacja rozliczeń GitHub podaje:

• GitHub Free: 2000 minut miesięcznie
• GitHub Pro i GitHub Team: 3000 minut miesięcznie
• GitHub Enterprise Cloud: 50 000 minut miesięcznie

Standardowe runnery hostowane przez GitHub są bezpłatne w repozytoriach publicznych. Minuty zawarte w planie odnawiają się na początku każdego okresu rozliczeniowego. Kilka szczegółów wpływa na to, jak daleko sięgają:

• GitHub zaokrągla minuty zużyte przez każde zadanie w górę do pełnej minuty.
• Minut zawartych w planie nie można używać na większych runnerach GitHub.
• Powyżej puli standardowy 2-rdzeniowy runner Linux kosztuje $0.006 za minutę (Windows i macOS kosztują więcej za minutę).

To hojna oferta, jeśli chodzi o moc obliczeniową. Dla wielu zespołów jest też właściwa, o czym piszemy poniżej.

Na ile wystarcza 2000 minut

1. GitHub zaokrągla każde zadanie trwające 2 minuty 20 sekund w górę do 3 minut, więc jedno uruchomienie jest rozliczane jako 4 × 3 = 12 minut.
2. 2000 ÷ 12 = 166,7, więc pula planu Free pokrywa 166 pełnych uruchomień miesięcznie.
3. 166 ÷ 21 to około 7,9 uruchomienia na dzień roboczy, dla całego zespołu.
4. Każde uruchomienie powyżej puli kosztuje 12 × $0.006 = $0.072.

Dla porównania to samo uruchomienie na CRACI jest rozliczane co sekundę: 4 × 140 sekund = 560 sekund, czyli około 9,33 minuty. Na runnerze z 2 vCPU po $0.004 za minutę jedno uruchomienie kosztuje około $0.037, a 166 uruchomień, które pokrywa pula GitHub Free, około $6.20. CRACI nie ma planu darmowego ani opłaty miesięcznej: płacą Państwo za minuty buildu. Aktualne liczby podaje strona cennika.

Darmowe minuty mogą nic nie kosztować, a CRACI nie. Lepsze pytanie brzmi, co każda z tych opcji daje oprócz mocy obliczeniowej.

Czego darmowe minuty nie obejmują

Minuty to czas na maszynie. Nigdy nie miały odpowiadać na pytania, które pojawiają się przy dostarczaniu oprogramowania klientom:

• Jakie pakiety faktycznie pobrał ten build i skąd?
• Czy przejęta zależność mogła podczas buildu połączyć się z nieoczekiwanym hostem?
• Czy dostarczony artefakt to ten, który powstał w tym buildzie?
• Gdy zostanie opublikowana nowa podatność, które z wydanych buildów ją zawierają?
• Jakie dowody możemy przekazać klientowi lub audytorowi?

Bezpieczeństwo

GitHub oferuje bezpłatne funkcje łańcucha dostaw działające obok Actions i warto je włączyć. Alerty Dependabot skanują gałąź domyślną repozytorium i powiadamiają, gdy do GitHub Advisory Database zostanie dodana nowa podatność. Można też wyeksportować bieżący stan grafu zależności repozytorium jako SBOM w formacie SPDX.

Te funkcje opisują repozytorium. CRACI rejestruje build. Jego runnery obserwują ruch do źródeł pakietów podczas działania zadania, więc SBOM wymienia to, co zadanie faktycznie pobrało, łącznie z pakietami przywróconymi z cache CI, i określa, czy zapis każdego zadania i cache jest kompletny. Polityki ruchu wychodzącego mogą blokować wszystko poza dozwolonymi źródłami oprogramowania. Szczegóły znajdą Państwo na stronie generowania SBOM.

Odporność

Gdy pojawia się nowa CVE, użyteczna odpowiedź nie dotyczy tego, czy repozytorium deklaruje dziś dany pakiet, lecz tego, które dostarczone buildy go zawierają. CRACI agreguje podatności w obrębie buildów i repozytoriów oraz stale ponownie ocenia monitorowane SBOM-y, dzięki czemu można znaleźć buildy ze wspólną podatną zależnością. Zob. śledzenie podatności.

Dowody zgodności

Klienci i regulatorzy coraz częściej proszą o SBOM-y i dowody na to, jak zbudowano oprogramowanie. API CRACI zwraca SBOM-y, ślady sieciowe i dane o pochodzeniu, a SBOM-y eksportuje się jako CycloneDX lub SPDX. CRACI automatyzuje znaczną część widoczności łańcucha dostaw oprogramowania i dowodów, których firmy potrzebują w szerszym procesie zgodności z CRA. Sam nie zapewnia firmie zgodności.

Kiedy darmowe minuty naprawdę wystarczą

Warto pozostać przy darmowych minutach i włączyć bezpłatne funkcje bezpieczeństwa GitHub, jeśli większość z poniższych stwierdzeń jest prawdziwa:

• Państwa kod jest open source w repozytoriach publicznych, gdzie standardowe runnery hostowane są bezpłatne.
• Tworzą Państwo prototyp i nic z tego, co Państwo budują, nie trafiło jeszcze do klientów.
• Państwa buildy swobodnie mieszczą się w miesięcznej puli.
• Żaden klient, audytor ani regulator nie prosi o SBOM-y ani dowody z buildów.
• Nie sprzedają Państwo produktów z elementami cyfrowymi na rynku UE.

W takiej sytuacji płacenie za CRACI oznacza kupowanie dowodów, których nikt jeszcze nie potrzebuje. Zapraszamy, gdy to się zmieni.

Sygnały, że czas spojrzeć dalej niż darmowe minuty

• Kwestionariusz bezpieczeństwa klienta wymaga SBOM dostarczonego wydania.
• Sprzedają Państwo w UE. Obowiązki zgłaszania podatności wynikające z Cyber Resilience Act obowiązują od września 2026, a pełne stosowanie nastąpi w grudniu 2027. Podstawy opisuje nasz przegląd CRA.
• Po incydencie pojawia się pytanie, które buildy pobrały dany pakiet, i nikt nie potrafi szybko odpowiedzieć.
• Co miesiąc przekraczają Państwo darmową pulę i już płacą za minuty.

Droga pośrednia dla startupów

Kwalifikujące się startupy otrzymują co najmniej 100 tys. darmowych minut buildu i praktyczne wsparcie naszego zespołu przy wdrożeniu w ramach programu dla startupów. To sposób, by zobaczyć dowody z buildu na własnym pipeline'ie, zanim Państwo za nie zapłacą.