Preços do GitHub Advanced Security e onde se enquadra o CRACI

A resposta curta

Em setembro de 2026, o GitHub vende o GitHub Advanced Security como dois extras. O GitHub Secret Protection custa $19 por committer ativo por mês e cobre o secret scanning e a push protection. O GitHub Code Security custa $30 por committer ativo por mês e cobre a análise de código com CodeQL, o Copilot Autofix, a dependency review e as funcionalidades premium do Dependabot. Comprar ambos fica em $49 por committer ativo por mês. Ambos exigem um plano GitHub Team ou Enterprise, e paga-os além dos seus lugares do GitHub.

Um committer ativo é qualquer pessoa cujo commit tenha sido enviado para um repositório com o produto ativado nos últimos 90 dias, contado uma vez em toda a sua organização. É por isso que a fatura acompanha quem envia código, não quantos lugares tem.

Preços do GitHub Advanced Security: visão geral

Os preços são os preços de tabela do GitHub e do Azure em setembro de 2026. A página de planos do GitHub lista as funcionalidades que cada extra acrescenta em Team e Enterprise; a coluna gratuita cobre os repositórios públicos no GitHub.com.

Como é calculada a fatura

• Por committer ativo, por produto. Um committer está ativo se um dos seus commits tiver sido enviado para um repositório com o produto ativado nos últimos 90 dias, independentemente da data de autoria. Cada pessoa usa uma licença em toda a organização ou empresa, seja qual for o número de repositórios em que trabalha.
• Só contam os repositórios ativados. O Secret Protection e o Code Security ativam-se de forma independente, pelo que pode ligar o Secret Protection em todo o lado e o Code Security apenas onde precisar.
• Faturação por consumo ou por volume no Enterprise. A faturação por consumo, no GitHub Enterprise Cloud e no GitHub Enterprise Server 3.13 ou posterior com GitHub Connect, fatura mensalmente as licenças usadas, sem limite predefinido e sem estado de excedente. A faturação por volume ou subscrição compra um número fixo de licenças por um período, normalmente de pelo menos um ano.
• Avaliações de risco gratuitas. As organizações em Team e Enterprise Cloud podem executar, antes de comprar, uma avaliação gratuita do risco de segredos e uma avaliação do risco de segurança do código em até 20 repositórios ativos.

Um exemplo prático

Uma equipa de 50 programadores que enviam todos código para repositórios com ambos os produtos ativados paga 50 × $19 = $950 pelo Secret Protection e 50 × $30 = $1,500 pelo Code Security: $2,450 por mês, ou $29,400 por ano, a preço de tabela. Isto soma-se aos lugares do GitHub Team ou Enterprise e aos minutos do GitHub Actions. Conta qualquer pessoa com uma licença na sua organização que envie código para um repositório ativado, incluindo prestadores de serviços, por isso conte committers e não funcionários.

O que obtém sem pagar

O grafo de dependências e os alertas do Dependabot estão incluídos em todos os planos do GitHub. Nos repositórios públicos, a análise de código, o secret scanning, a push protection e a dependency review são gratuitos. Se o seu código for open source, grande parte do GitHub Advanced Security não custa nada.

GitHub Advanced Security for Azure DevOps

Os mesmos dois produtos são vendidos para o Azure Repos, a $19 por committer por mês pelo Secret Protection e $30 pelo Code Security na página de preços do Azure. Os custos acumulam-se diariamente e são faturados mensalmente à subscrição do Azure ligada à organização do Azure DevOps, e os committers são contados uma vez por produto nessa subscrição.

O que o GitHub Advanced Security faz bem

A análise de código com CodeQL é análise estática semântica integrada nos pull requests, e o Copilot Autofix propõe correções para os alertas que gera. O secret scanning cobre o histórico do git, pull requests, issues e wikis, e a push protection bloqueia um segredo antes de este entrar. As verificações de validade dizem-lhe se uma credencial exposta continua ativa. O CRACI não faz nada disto, e nada nesta página sugere substituí-lo.

Nas dependências, o grafo de dependências analisa os manifestos e os lockfiles do seu repositório, e o Dependabot alerta-o quando um deles corresponde a um aviso de segurança da GitHub Advisory Database. As atualizações de segurança tentam abrir um pull request para cada alerta aberto que tenha um patch, e a dependency review (parte do Code Security) mostra o que um pull request altera antes do merge. A submissão automática de dependências pode acrescentar dados resolvidos no build para Maven, Gradle e Python. Pode exportar o grafo como uma SBOM SPDX a partir da interface ou da API REST.

As artifact attestations usam Sigstore para assinar a proveniência de build de binários e imagens de contentor, e podem atestar SBOM em SPDX ou CycloneDX. O GitHub documenta que as attestations por si só oferecem SLSA v1.0 Build Level 2, e Level 3 com reusable workflows.

O que o preço não cobre

Todas as funcionalidades do GitHub Advanced Security leem o seu repositório: o código, os segredos e as dependências declaradas. Nenhuma regista o que acontece dentro do build que produz a sua versão, nem controla o que esse build pode alcançar na rede. É aí que o CRACI se enquadra.

A tabela mistura o GitHub Advanced Security com as funcionalidades da plataforma GitHub em que assenta (grafo de dependências, Dependabot, artifact attestations e runners alojados), porque é assim que as equipas os usam.

Um registo do build, não do repositório

O grafo de dependências descreve o repositório e é atualizado quando um commit altera um manifesto ou lockfile no branch predefinido. Isso é útil, mas não é o mesmo que um registo do job que produziu uma versão. O CRACI observa o próprio build: um proxy que reconhece pacotes vê o tráfego para origens de pacotes, em npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk e Git. As evidências acompanham as caches de CI, e cada SBOM indica a sua completude por job e por cache: Complete, Complete with connections, Incomplete, Unavailable ou Not recorded.

Controlo sobre o que o job pode alcançar

O CRACI aplica uma política de egress por job: negação ou permissão por predefinição, com 24 predefinições integradas de origens de software e origens personalizadas tipificadas para registos e Git. As políticas são validadas antes de o job arrancar e falham em modo fechado, e o CRACI alerta-o em caso de violação de política. Trata-se de um controlo de runtime sobre o build, que a análise do repositório não consegue oferecer.

Proveniência

As artifact attestations do GitHub são um passo de workflow que acrescenta. Assinam a proveniência de build, e o GitHub documenta para elas SLSA v1.0 Build Level 2. O CRACI não assina a proveniência e não reivindica nenhum nível SLSA: a API devolve SBOM, traços de rede e proveniência. Se precisar de proveniência assinada ou de um nível SLSA documentado, as attestations do GitHub oferecem-nos.

Monitorizar o que foi distribuído

O CRACI agrega vulnerabilidades entre builds e repositórios, continua a reavaliar as SBOM monitorizadas e permite às equipas de segurança fazer a triagem das conclusões e enviá-las às equipas responsáveis pela correção. A sua vista de inventário mostra exatamente que versões de software estão implementadas em que produtos, a nível global. As SBOM exportam-se em CycloneDX ou SPDX, incluindo vulnerabilidades, e a API devolve SBOM, traços de rede e proveniência.

Um modelo de preços diferente

O GitHub Advanced Security tem preço por committer ativo. O CRACI tem preço apenas por minuto de build, porque é o runner: $0.002 por vCPU-minuto ($0.004 para um runner predefinido de 2 vCPU), medido ao segundo, sem mensalidade. Esses minutos executam jobs que de outra forma executaria em runners alojados no GitHub. Consulte os preços do CRACI para as condições atuais.

Como se complementam

• GitHub Advanced Security em cada pull request: CodeQL, secret scanning, push protection e dependency review.
• Dependabot a manter corrigidas as dependências declaradas.
• CRACI como runner: regista cada build, aplica a política de egress e guarda as evidências.

As execuções no CRACI continuam a aparecer na interface do GitHub, e os seus workflows mantêm os seus passos; um job passa para o CRACI alterando a sua etiqueta runs-on. Mantenha os jobs Windows e macOS em runners alojados no GitHub: o CRACI executa hoje apenas Linux, em x86-64 e ARM64, com Windows e macOS no roadmap.

Está antes a comparar scanners de código? Consulte as alternativas ao GitHub Advanced Security, com os respetivos preços.

Para o Cyber Resilience Act

As ferramentas do GitHub ajudam-no a encontrar e corrigir vulnerabilidades antes do lançamento, o que um fabricante tem de fazer. O CRACI automatiza uma parte significativa da visibilidade da cadeia de abastecimento de software e das evidências de que as empresas precisam para o seu processo mais amplo de conformidade com o CRA: o que entrou em cada versão, as SBOM, os traços de rede e a proveniência que a API devolve, e o acompanhamento contínuo de vulnerabilidades. Nenhum deles torna um produto conforme por si só. Consulte o que é o CRA e evidências para o CRA.

Saiba mais sobre a integração de CI/CD e a geração de SBOM durante o build, ou marque uma demo para ver o registo de build do CRACI ao lado do seu grafo de dependências.

Preços do GitHub Advanced Security: perguntas frequentes

Quanto custa o GitHub Advanced Security?

Em setembro de 2026, o GitHub vende o Advanced Security como dois extras: o GitHub Secret Protection a $19 e o GitHub Code Security a $30 por committer ativo por mês, ou seja, $49 por committer ativo pelos dois. São comprados além de um plano GitHub Team ou Enterprise.

O que conta como committer ativo?

Alguém com uma licença GitHub Team ou Enterprise na sua organização cujo commit tenha sido enviado, nos últimos 90 dias, para um repositório com o Secret Protection ou o Code Security ativado, independentemente da data de autoria do commit. Cada pessoa usa uma licença em toda a organização ou empresa, seja qual for o número de repositórios para que contribui.

O GitHub Advanced Security é gratuito para repositórios públicos?

Em parte. Nos repositórios públicos, o GitHub ativa por predefinição a análise de código, o secret scanning e a push protection, e a dependency review também é gratuita. Os repositórios privados precisam dos extras pagos. O grafo de dependências e os alertas do Dependabot estão incluídos em todos os planos do GitHub.

Posso comprar o GitHub Advanced Security num plano GitHub Free ou Pro?

Não. O GitHub Secret Protection e o GitHub Code Security exigem um plano GitHub Team ou GitHub Enterprise. As organizações em Team e Enterprise Cloud podem também executar primeiro uma avaliação gratuita do risco de segredos e uma avaliação do risco de segurança do código.

Como é faturado o GitHub Advanced Security no Enterprise?

De duas formas. A faturação por consumo, no GitHub Enterprise Cloud e no GitHub Enterprise Server 3.13 ou posterior com GitHub Connect, cobra mensalmente as licenças usadas pelos committers ativos, sem limite predefinido. A faturação por volume ou subscrição compra um número fixo de licenças por um período definido, normalmente de pelo menos um ano.

Quanto custa o GitHub Advanced Security no Azure DevOps?

O GitHub Advanced Security for Azure DevOps funciona com o Azure Repos. O Azure indica o Secret Protection a $19 e o Code Security a $30 por committer por mês, cobrados diariamente e faturados mensalmente à subscrição do Azure ligada à organização do Azure DevOps. Os committers são contados uma vez por produto nessa subscrição.

O GitHub Advanced Security inclui uma SBOM?

O GitHub pode exportar o grafo de dependências de um repositório como uma SBOM SPDX, e o grafo de dependências está incluído em todos os planos. Essa SBOM descreve os manifestos e os lockfiles do branch predefinido, não um build específico. O CRACI regista os pacotes que cada build realmente obteve e exporta CycloneDX e SPDX por build.

O CRACI substitui o GitHub Advanced Security?

Não. O CRACI não faz análise de código nem análise de segredos. O CRACI substitui o runner onde os seus jobs de GitHub Actions são executados, e regista e controla o que cada build faz. As equipas no GitHub mantêm normalmente o Secret Protection e o Code Security nos seus repositórios e acrescentam o CRACI para obter evidências do build.