Comparação
Preços de segurança da cadeia de abastecimento de software comparados
Quanto custa saber o que entra no software que compila e mantê-lo monitorizado: preços publicados das ferramentas de SCA, SBOM e segurança de builds que fazem esse trabalho, por programador e no total com o runner de CI.
Atualizado a
A versão curta
- A maioria das ferramentas cobra por programador. Com 25 programadores, as licenças publicadas vão de $16 a $70 por programador por mês. A SCA empresarial da Black Duck, da Sonatype e do Endor Labs é vendida por orçamento.
- A exportação de SBOM exige muitas vezes um plano superior. O Snyk exporta SBOM apenas no Enterprise e o Socket a partir do Business; o GitHub exporta o grafo de dependências em SPDX gratuitamente.
- O CRACI não cobra atualmente qualquer taxa de licença. Cobra apenas os minutos de build, $0.002 por vCPU-minuto, e esses minutos pagam também o runner. Em runners x64 padrão, isso fica abaixo do que custam, por si só, os minutos de runners alojados no GitHub.
- O âmbito não é o mesmo. Várias ferramentas acrescentam SAST, deteção de segredos ou de malware. O CRACI regista o que cada build realmente obteve e controla aquilo a que pode chegar.
Quem está nesta comparação
O CRACI executa jobs de GitHub Actions, regista como SBOM cada pacote que cada job obteve, mantém essas SBOM monitorizadas face a novas vulnerabilidades e aplica uma política de egress ao job. Esta página apresenta os preços dos produtos que fazem uma parte desse trabalho para o software que compila:
- SCA com exportação de SBOM: Snyk, GitHub Code Security, Aikido, Socket, Semgrep Supply Chain, JFrog Xray e Kusari Inspector.
- Gestão de SBOM: FOSSA e, para imagens de contentor, Docker Scout.
- Segurança de builds: StepSecurity, que acrescenta controlo de egress aos runners que a sua empresa mantém.
Ficam de fora: os runners de CI, que têm a sua própria comparação de preços; as ferramentas apenas de SAST; a análise de firmware e binários; e as imagens reforçadas como as da Chainguard, que protegem as entradas em vez de registar o build.
Quanto custa cada licença por programador
Cada produto no plano mais barato que inclui exportação de SBOM. Os planos fixos e por escalões são divididos pela equipa, pelo que a FOSSA, a JFrog e o Aikido ficam mais baratos por programador à medida que a equipa preenche um escalão. Passe o cursor sobre uma barra para ver o que o plano cobre.
Licença por programador por mês para uma equipa de 25, do mais baixo para o mais alto
Aqui, o CRACI custa $0: não tem licença nem taxa por programador. Paga $0.002 por vCPU-minuto de tempo de build, o que paga também o runner; o gráfico seguinte contabiliza-o.
O total: minutos de runner mais segurança
O CRACI substitui o runner, pelo que uma comparação justa coloca o runner em todos os lados. Com qualquer outra ferramenta, continua a pagar os minutos de runners alojados no GitHub e acrescenta a licença. Com o CRACI, paga os minutos de build e mais nada. Introduza a sua equipa e quantos minutos de build cada programador usa por mês; o valor predefinido de 1.000 é ilustrativo.
Custo mensal para 25 programadores e 25,000 minutos de build em 2 vCPU x64, do mais baixo para o mais alto
CRACI $100 por mês face a $132 só com runners alojados no GitHub: a SBOM, a monitorização de vulnerabilidades e a política de egress ficam abaixo do que os minutos de runner custam hoje.
Custo anual à medida que a equipa cresce, com os mesmos minutos de build por programador
A preços de tabela, os minutos de build do CRACI custam cerca de 33% menos do que os minutos alojados no GitHub num runner x64 padrão de 2 vCPU, e todos os produtos aqui presentes acrescentam uma licença a esses minutos. Em runners ARM64 grandes, o equilíbrio muda: o runner arm64 de 32 núcleos do GitHub tem um preço de tabela de $0.050 por minuto, face aos $0.064 do CRACI, pelo que o CRACI custa aí cerca de 28% mais por minuto. O CRACI executa também builds cerca de duas vezes mais depressa do que os runners alojados no GitHub, graças a hardware mais rápido, tempos de fila mais curtos e cache; assinale a caixa para o contabilizar.
O que obtém pelo preço
| Funcionalidade | Plano no gráfico | Preço | SBOM neste plano | Controlo de egress para jobs de CI |
|---|---|---|---|---|
| CRACI | Pro, pagamento por minuto de build | $0.002 por vCPU-minuto de tempo de build, runner incluído | Registada no build, com um estado de completude | Validada antes do job, falha em modo fechado |
| GitHub Code Security | Code Security | $30 por committer ativo por mês | A exportação SPDX do grafo de dependências é gratuita em todos os planos | Não indicado |
| Snyk | Créditos Enterprise | 1 crédito ($1) por colaborador ativo por dia | A exportação de SBOM e a conformidade de licenças são apenas Enterprise | Não indicado |
| Aikido | Basic, depois Pro acima de 20 | Taxa mensal fixa por bloco de utilizadores | Geração de SBOM a partir do Basic | Não indicado |
| Socket | Business | $50 por programador por mês, mínimo de 20 | Importação e exportação de SBOM a partir do Business (exportação em beta) | Não indicado |
| Semgrep Supply Chain | Gratuito até 10, depois Teams | $30 por colaborador por mês | Geração de SBOM em todos os níveis | Não indicado |
| FOSSA | Business | Planos dimensionados por programadores e projetos | Geração e importação de SBOM e VEX | Não indicado |
| JFrog Xray | Enterprise X (cloud) | A partir de $950 por mês | O Xray constrói e exporta SBOM | Não indicado |
| Docker Scout | Team, depois Business | $16 por utilizador por mês | Apenas SBOM de imagens de contentor | Não indicado |
| Kusari Inspector | Inspector para equipas | A partir de $25 por programador por mês | Geração de SBOM nos planos pagos | Não indicado |
| StepSecurity | Enterprise | $16 por programador contribuidor por mês | Não indicado na página de preços | Não indicado |
- Incluído
- Em parte
- Não incluído
Produtos sem preços publicados
A SCA empresarial e as plataformas de segurança da cadeia de abastecimento vendem sobretudo através de equipas comerciais, normalmente por programador contribuidor. Fazem o mesmo trabalho para o software que compila, pelo que pertencem a uma lista de candidatos, mas não podem ser incluídas nos gráficos.
| Funcionalidade | O que faz | Preço |
|---|---|---|
| Black Duck | SCA em código-fonte, pacotes e binários | Apenas por orçamento |
| Sonatype Lifecycle and SBOM Manager | SCA e gestão de SBOM | Apenas por orçamento |
| Endor Labs | SCA com alcançabilidade, SBOM e VEX | Por programador contribuidor, apenas por orçamento |
| Mend AppSec | SCA, SAST e contentores | Até $1,000 por programador por ano |
| Anchore Enterprise | Geração e gestão de SBOM | Apenas por orçamento |
| Cycode | ASPM com segurança de CI/CD e SBOM | Apenas por orçamento, por programadores e utilização de IA |
| OX Security | Postura de código, SCA, SBOM e pipeline | Por programador contribuidor, apenas por orçamento |
| Apiiro | ASPM com inventário de software | Não publicado |
| Legit Security | Segurança do SDLC e do pipeline | Não publicado |
| Cybeats, Manifest, Lineaje | Gestão de SBOM | Não publicado |
| SBOM Observer | Gestão de SBOM | Cerca de $80 (€69) por utilizador por mês, até 10 projetos |
| sbomify | Hub de SBOM e trust center | $199 por mês, 5 produtos |
| Dependency-Track | Análise de SBOM, open source | Gratuito; alojado e gerido por si |
O que o CRACI não faz
O CRACI não cobre tudo o que estas ferramentas fazem. Não analisa código-fonte em busca de vulnerabilidades ou segredos, não executa análise de alcançabilidade nem pontua pacotes quanto a malware; assinala versões maliciosas conhecidas quando existe um aviso de segurança. Executa jobs de GitHub Actions em Linux, com Windows e macOS no roadmap. Se SAST ou a deteção de segredos estiverem na sua lista, muitas boas ferramentas funcionam ao lado do CRACI.
Em vez disso, regista o próprio build. Enquanto cada job é executado, o CRACI regista cada pacote que obteve, incluindo pacotes restaurados de caches, e transforma isso numa SBOM com a completude indicada. Mantém essas SBOM monitorizadas, permite que as equipas de segurança façam a triagem das conclusões e bloqueiem builds com base nelas, e devolve SBOM, traços de rede e proveniência através da sua API. Consulte preços do CRACI ou marque uma demo para calcular o preço do seu pipeline.
Como comparámos
- Fontes: a página de preços ou a documentação de cada fornecedor, verificadas a 29 de setembro de 2026.
- Planos: o plano mais barato que inclui exportação de SBOM, com faturação mensal quando o fornecedor a oferece. O Snyk é apresentado à taxa de créditos Enterprise publicada para o Snyk Open Source, um crédito de $1 por colaborador ativo por dia. O preço da Kusari é um preço de partida.
- Dimensão da equipa: programadores significa a unidade de licença do próprio fornecedor (committer ativo, programador contribuidor ou utilizador), considerando toda a equipa.
- Minutos de runner: preços de tabela de Linux alojado no GitHub sem arredondamento por job, o que favorece ligeiramente o GitHub. O CRACI ao seu preço de tabela de $0.002 por vCPU-minuto.
- Não incluído: impostos, descontos por volume, descontos por pré-pagamento anual e o custo de executar por si ferramentas open source como o Dependency-Track.
Preços de segurança da cadeia de abastecimento: perguntas frequentes
Respostas curtas sobre quanto custam estas ferramentas e o que o preço cobre.
Quanto custa a segurança da cadeia de abastecimento de software?
Para ferramentas com preços publicados, de nada a cerca de $70 por programador por mês, em setembro de 2026. Os alertas do Dependabot e a exportação de SBOM do GitHub são gratuitos, o Semgrep Supply Chain é gratuito até 10 colaboradores, e os planos por programador vão de $16 (StepSecurity) a $50 (Socket Business). A SCA empresarial da Black Duck, da Sonatype e do Endor Labs é vendida por orçamento.
Qual é o preço do CRACI?
O CRACI cobra apenas os minutos de build: $0.002 por vCPU-minuto ($0.004 para um runner predefinido de 2 vCPU), medidos ao segundo, sem mensalidade, sem taxa por programador e sem custo por SBOM. Os minutos de build pagam também o runner, porque o CRACI substitui o runner do GitHub Actions.
Porque é que a comparação inclui minutos de runner?
Porque o CRACI é o runner. Com qualquer outra ferramenta desta página, continua a pagar os minutos de runners alojados no GitHub e acrescenta a licença. Comparar os minutos de build do CRACI apenas com uma licença deixaria de fora a fatura de runners que o CRACI substitui.
Que plano é necessário para exportar SBOM?
Varia. O Snyk exporta SBOM apenas no Enterprise, o Socket a partir do Business, o Aikido a partir do Basic, e a FOSSA, o Semgrep e o JFrog Xray nos planos aqui apresentados. O GitHub exporta o grafo de dependências em SPDX em todos os planos. O CRACI regista uma SBOM em cada build que executa.
O que fazem as outras ferramentas que o CRACI não faz?
SAST, deteção de segredos, análise de alcançabilidade e reputação de pacotes maliciosos, entre outras. O Aikido, o Snyk, o Semgrep e o GitHub Code Security analisam código-fonte; o Socket e o Aikido bloqueiam pacotes maliciosos. O CRACI assinala versões maliciosas conhecidas que tenham um aviso de segurança, mas não pontua pacotes quanto a malware. Executa jobs de GitHub Actions em Linux.
Calcule o preço do seu pipeline no CRACI
Marque uma demo e executamos um dos seus workflows no CRACI, mostramos a respetiva SBOM e comparamos o custo com o seu runner e as suas ferramentas atuais.
Marcar demo