Minutos de CI gratuitos: o que cobrem e o que não cobrem

O que cobrem os minutos gratuitos

O GitHub inclui em cada conta uma quota mensal de minutos de Actions para usar em repositórios privados. Em setembro de 2026, a documentação de faturação do GitHub indica:

• GitHub Free: 2.000 minutos por mês
• GitHub Pro e GitHub Team: 3.000 minutos por mês
• GitHub Enterprise Cloud: 50.000 minutos por mês

Os runners standard alojados no GitHub são de utilização gratuita em repositórios públicos. Os minutos incluídos são repostos no início de cada ciclo de faturação. Alguns pormenores afetam até onde chegam:

• O GitHub arredonda para cima, ao minuto inteiro, os minutos usados por cada job.
• Os minutos incluídos não podem ser usados com os runners maiores do GitHub.
• Acima da quota, um runner Linux standard de 2 núcleos custa $0.006 por minuto (Windows e macOS custam mais por minuto).

É uma oferta generosa em computação. Para muitas equipas é também a oferta certa, e dizemo-lo mais abaixo.

Até onde chegam 2.000 minutos

1. O GitHub arredonda cada job de 2 minutos e 20 segundos para 3 minutos, pelo que uma execução é faturada como 4 × 3 = 12 minutos.
2. 2.000 ÷ 12 = 166,7, pelo que a quota Free cobre 166 execuções completas por mês.
3. 166 ÷ 21 são cerca de 7,9 execuções por dia útil, para toda a equipa.
4. Cada execução acima da quota custa 12 × $0.006 = $0.072.

Em comparação, a mesma execução no CRACI é medida ao segundo: 4 × 140 segundos = 560 segundos, ou cerca de 9,33 minutos. Num runner de 2 vCPU a $0.004 por minuto, uma execução custa cerca de $0.037, e as 166 execuções cobertas pela quota do GitHub Free custam cerca de $6.20. O CRACI não tem plano gratuito nem mensalidade: paga por minuto de build. Consulte a página de preços para ver os valores atuais.

Os minutos gratuitos podem não custar nada; o CRACI não pode. A melhor pergunta é o que cada opção lhe dá para além da computação.

O que os minutos gratuitos não cobrem

Os minutos compram tempo numa máquina. Nunca se destinaram a responder às perguntas que surgem quando distribui software a clientes:

• Que pacotes descarregou efetivamente este build, e de onde?
• Poderá uma dependência comprometida ter chegado a um host inesperado durante o build?
• O artefacto que distribuímos é o que este build produziu?
• Quando é publicada uma nova vulnerabilidade, que builds lançados a incluem?
• Que evidências podemos entregar a um cliente ou a um auditor?

Segurança

O GitHub oferece funcionalidades gratuitas de cadeia de abastecimento que funcionam a par do Actions, e vale a pena ativá-las. Os alertas do Dependabot analisam o branch predefinido do seu repositório e avisam-no quando é adicionada uma nova vulnerabilidade à GitHub Advisory Database. Pode também exportar o estado atual do grafo de dependências de um repositório como SBOM em formato SPDX.

Essas funcionalidades descrevem o repositório. O CRACI regista o build. Os seus runners observam o tráfego para as fontes de pacotes durante a execução do job, pelo que a SBOM lista o que o job efetivamente obteve, incluindo pacotes restaurados de caches de CI, e indica se o registo de cada job e cache está completo. As políticas de egress de rede podem negar tudo exceto as fontes de software que permitir. Encontra os pormenores na página de geração de SBOM.

Resiliência

Quando surge uma nova CVE, a resposta útil não é se o seu repositório declara hoje o pacote, mas sim que builds distribuídos o contêm. O CRACI agrega vulnerabilidades em todos os builds e repositórios e reavalia continuamente as SBOM monitorizadas, para que possa encontrar os builds que partilham uma dependência vulnerável. Consulte o acompanhamento de vulnerabilidades.

Evidências de conformidade

Clientes e reguladores pedem cada vez mais SBOM e provas de como o software foi construído. A API do CRACI devolve SBOM, traços de rede e proveniência, e as SBOM são exportadas em CycloneDX ou SPDX. Automatiza uma parte significativa da visibilidade da cadeia de abastecimento de software e das evidências de que as empresas precisam para o seu processo mais amplo de conformidade com o CRA. Não torna uma empresa conforme por si só.

Quando os minutos gratuitos são mesmo suficientes

Fique nos minutos gratuitos, e ative as funcionalidades de segurança gratuitas do GitHub, se a maioria destas situações for verdadeira:

• O seu código é open source em repositórios públicos, onde os runners alojados standard são gratuitos.
• Está a fazer protótipos, e nada do que constrói chegou ainda aos clientes.
• Os seus builds cabem facilmente na quota mensal.
• Nenhum cliente, auditor ou regulador lhe pede SBOM ou evidências de build.
• Não vende produtos com elementos digitais no mercado da UE.

Nessa situação, pagar pelo CRACI compra evidências de que ninguém precisa ainda. Volte quando isso mudar.

Sinais de que está na altura de ir além dos minutos gratuitos

• Um questionário de segurança de um cliente pede uma SBOM da versão que distribuiu.
• Vende na UE. As obrigações de comunicação de vulnerabilidades do Cyber Resilience Act aplicam-se a partir de setembro de 2026, com aplicação integral em dezembro de 2027. A nossa visão geral do CRA cobre o essencial.
• Um incidente deixa-o a perguntar que builds obtiveram um pacote, e ninguém consegue responder depressa.
• Ultrapassa a quota gratuita todos os meses e já paga minutos.

Um meio-termo para startups

As startups elegíveis recebem um mínimo de 100k minutos de build gratuitos e onboarding acompanhado pela nossa equipa através do programa para startups. É uma forma de ver como são as evidências registadas durante o build no seu próprio pipeline antes de pagar por elas.