Priser för GitHub Advanced Security, och var CRACI passar in

Det korta svaret

I september 2026 säljer GitHub GitHub Advanced Security som två tillägg. GitHub Secret Protection kostar $19 per aktiv committer per månad och täcker skanning av hemligheter och push protection. GitHub Code Security kostar $30 per aktiv committer per månad och täcker kodskanning med CodeQL, Copilot Autofix, dependency review och premiumfunktioner i Dependabot. Köper du båda blir det $49 per aktiv committer per månad. Båda kräver en GitHub Team- eller Enterprise-plan, och du betalar för dem utöver dina GitHub-licenser.

En aktiv committer är någon vars commit har pushats till ett repo med produkten aktiverad under de senaste 90 dagarna, och räknas en gång i hela organisationen. Det är därför fakturan följer vem som pushar kod, inte hur många licenser du har.

Priser för GitHub Advanced Security i korthet

Priserna är GitHubs och Azures listpriser i september 2026. GitHubs plansida listar funktionerna som varje tillägg lägger till på Team och Enterprise; gratiskolumnen gäller publika repon på GitHub.com.

Så beräknas fakturan

• Per aktiv committer, per produkt. En committer är aktiv om en av personens commits har pushats till ett aktiverat repo under de senaste 90 dagarna, oavsett när den skrevs. Varje person använder en licens i hela organisationen eller företaget, oavsett hur många repon personen arbetar i.
• Bara aktiverade repon räknas. Du aktiverar Secret Protection och Code Security oberoende av varandra, så du kan slå på Secret Protection överallt och Code Security bara där du behöver det.
• Förbrukningsbaserad debitering eller volymdebitering på Enterprise. Förbrukningsbaserad debitering, på GitHub Enterprise Cloud och på GitHub Enterprise Server 3.13 eller senare med GitHub Connect, debiterar månadsvis för använda licenser, utan förinställd gräns och utan överskridandeläge. Med volym- eller prenumerationsdebitering köper du ett fast antal licenser för en period, vanligtvis minst ett år.
• Gratis riskbedömningar. Organisationer på Team och Enterprise Cloud kan köra en gratis riskbedömning av hemligheter, och en riskbedömning av kodsäkerhet på upp till 20 aktiva repon, innan de köper.

Ett räkneexempel

Ett team på 50 utvecklare som alla pushar till repon med båda produkterna aktiverade betalar 50 × $19 = $950 för Secret Protection och 50 × $30 = $1,500 för Code Security: $2,450 i månaden, eller $29,400 om året, till listpris. Det kommer utöver licenser för GitHub Team eller Enterprise och GitHub Actions-minuter. Alla med en licens i din organisation som pushar till ett aktiverat repo räknas, även konsulter, så räkna committers snarare än anställda.

Det du får utan att betala

Beroendegrafen och Dependabot-varningar ingår i alla GitHub-planer. På publika repon är kodskanning, skanning av hemligheter, push protection och dependency review gratis. Om din kod är öppen källkod kostar mycket av GitHub Advanced Security ingenting.

GitHub Advanced Security for Azure DevOps

Samma två produkter säljs för Azure Repos, till $19 per committer per månad för Secret Protection och $30 för Code Security enligt Azures prissida. Kostnaderna beräknas dagligen och faktureras månadsvis till Azure-prenumerationen som är kopplad till Azure DevOps-organisationen, och committers räknas en gång per produkt i den prenumerationen.

Det GitHub Advanced Security gör bra

Kodskanning med CodeQL är semantisk statisk analys inbyggd i pull requests, och Copilot Autofix föreslår korrigeringar för de varningar som skanningen ger. Skanning av hemligheter täcker git-historik, pull requests, issues och wikis, och push protection blockerar en hemlighet innan den hamnar i repot. Giltighetskontroller visar om en läckt inloggningsuppgift fortfarande gäller. CRACI gör inget av detta, och inget på den här sidan föreslår att det ska ersättas.

För beroenden tolkar beroendegrafen manifesten och lockfilerna i ditt repo, och Dependabot varnar dig när något matchar ett säkerhetsmeddelande i GitHub Advisory Database. Säkerhetsuppdateringar försöker öppna en pull request för varje öppen varning som har en patch, och dependency review (en del av Code Security) visar vad en pull request ändrar före merge. Automatisk dependency submission kan lägga till data från beroendeupplösningen i bygget för Maven, Gradle och Python. Du kan exportera grafen som en SPDX-SBOM från gränssnittet eller REST-API:t.

Artifact attestations använder Sigstore för att signera byggproveniens för binärer och containeravbilder och kan intyga SBOM:er i SPDX eller CycloneDX. GitHub dokumenterar att attestations ensamma ger SLSA v1.0 Build Level 2, och Level 3 med återanvändbara arbetsflöden.

Det priset inte täcker

Varje funktion i GitHub Advanced Security läser ditt repo: dess kod, dess hemligheter och dess deklarerade beroenden. Ingen av dem registrerar vad som händer inne i bygget som producerar din release, eller styr vad det bygget kan nå på nätverket. Det är där CRACI passar in.

Tabellen blandar GitHub Advanced Security med plattformsfunktionerna i GitHub som det bygger på (beroendegraf, Dependabot, artifact attestations och hostade runners), eftersom det är så team upplever dem.

En registrering av bygget, inte repot

Beroendegrafen beskriver repot och uppdateras när en commit ändrar ett manifest eller en lockfile på standardgrenen. Det är användbart, men det är inte samma sak som en registrering av jobbet som producerade en release. CRACI observerar själva bygget: en paketmedveten proxy ser trafik till paketkällor, över npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk och Git-källor. Bevisen följer med CI-cachar, och varje SBOM anger sin fullständighet per jobb och per cache: Complete, Complete with connections, Incomplete, Unavailable eller Not recorded.

Kontroll över vad jobbet kan nå

CRACI upprätthåller en egress-policy per jobb: neka eller tillåt som standard, med 24 inbyggda förinställningar för programvarukällor och typade anpassade källor för register och Git. Policyer valideras innan jobbet startar och blockerar vid fel, och CRACI varnar dig vid en policyöverträdelse. Det här är en kontroll av bygget under körning, som skanning av repot inte kan ge.

Proveniens

GitHubs artifact attestations är ett arbetsflödessteg som du lägger till. De signerar byggproveniens, och GitHub dokumenterar SLSA v1.0 Build Level 2 för dem. CRACI signerar inte proveniens och gör inte anspråk på någon SLSA-nivå: API:t returnerar SBOM:er, nätverksspårningar och proveniens. Om du behöver signerad proveniens eller en dokumenterad SLSA-nivå ger GitHubs attestations det.

Bevakning av det som levererats

CRACI samlar sårbarheter över byggen och repon, fortsätter att omvärdera bevakade SBOM:er och låter säkerhetsteam triagera fynd och skicka dem till teamen som äger åtgärden. Dess inventeringsvy visar exakt vilka programvaruversioner som är driftsatta i vilka produkter, globalt. SBOM:er exporteras som CycloneDX eller SPDX, inklusive sårbarheter, och API:t returnerar SBOM:er, nätverksspårningar och proveniens.

En annan prismodell

GitHub Advanced Security prissätts per aktiv committer. CRACI prissätts bara per byggminut, eftersom det är runnern: $0.002 per vCPU-minut ($0.004 för en standardrunner med 2 vCPU), mätt per sekund, utan månadsavgift. De minuterna kör jobb som du annars skulle köra på GitHub-hostade runners. Se CRACI:s priser för aktuella villkor.

Så passar de ihop

• GitHub Advanced Security på varje pull request: CodeQL, skanning av hemligheter, push protection och dependency review.
• Dependabot som håller deklarerade beroenden patchade.
• CRACI som runner: registrerar varje bygge, upprätthåller egress-policyn och förvarar bevisen.

Körningar på CRACI syns fortfarande i GitHubs gränssnitt, och dina arbetsflöden behåller sina steg; ett jobb flyttas till CRACI genom att du ändrar etiketten runs-on. Stanna på GitHub-hostade runners för Windows- och macOS-jobb: CRACI kör bara Linux i dag, på x86-64 och ARM64, med Windows och macOS på roadmapen.

Jämför du kodskannrar i stället? Se alternativ till GitHub Advanced Security, med deras priser.

För Cyber Resilience Act

GitHubs verktyg hjälper dig att hitta och åtgärda sårbarheter före release, vilket en tillverkare måste göra. CRACI automatiserar en betydande del av den insyn i och de bevis om programvarans leveranskedja som företag behöver för sitt bredare arbete med CRA-efterlevnad: vad som ingick i varje release, SBOM:erna, nätverksspårningarna och proveniensen som API:t returnerar, och löpande sårbarhetsspårning. Ingen av dem gör på egen hand att en produkt uppfyller kraven. Se vad CRA är och CRA-bevis.

Läs mer om CI/CD-integration och SBOM-generering under bygget, eller boka en demo för att se CRACI:s byggregistrering bredvid din beroendegraf.

Frågor om priserna för GitHub Advanced Security

Vad kostar GitHub Advanced Security?

I september 2026 säljer GitHub Advanced Security som två tillägg: GitHub Secret Protection för $19 och GitHub Code Security för $30 per aktiv committer per månad, alltså $49 per aktiv committer för båda. De köps ovanpå en GitHub Team- eller Enterprise-plan.

Vad räknas som en aktiv committer?

Någon med en GitHub Team- eller Enterprise-licens i din organisation vars commit har pushats, under de senaste 90 dagarna, till ett repo där Secret Protection eller Code Security är aktiverat, oavsett när committen skrevs. Varje person använder en licens i hela organisationen eller företaget, oavsett hur många repon personen bidrar till.

Är GitHub Advanced Security gratis för publika repon?

Delvis. På publika repon aktiverar GitHub kodskanning, skanning av hemligheter och push protection som standard, och dependency review är också gratis. Privata repon behöver de betalda tilläggen. Beroendegrafen och Dependabot-varningar ingår i alla GitHub-planer.

Kan jag köpa GitHub Advanced Security på en GitHub Free- eller Pro-plan?

Nej. GitHub Secret Protection och GitHub Code Security kräver en GitHub Team- eller GitHub Enterprise-plan. Organisationer på Team och Enterprise Cloud kan också först köra en gratis riskbedömning av hemligheter och av kodsäkerhet.

Hur debiteras GitHub Advanced Security på Enterprise?

På två sätt. Förbrukningsbaserad debitering, på GitHub Enterprise Cloud och på GitHub Enterprise Server 3.13 eller senare med GitHub Connect, tar betalt månadsvis för licenserna som aktiva committers använde, utan förinställd gräns. Med volym- eller prenumerationsdebitering köper du ett fast antal licenser för en bestämd period, vanligtvis minst ett år.

Vad kostar GitHub Advanced Security på Azure DevOps?

GitHub Advanced Security for Azure DevOps fungerar med Azure Repos. Azure listar Secret Protection för $19 och Code Security för $30 per committer per månad, som debiteras dagligen och faktureras månadsvis till Azure-prenumerationen som är kopplad till Azure DevOps-organisationen. Committers räknas en gång per produkt i den prenumerationen.

Ingår en SBOM i GitHub Advanced Security?

GitHub kan exportera ett repos beroendegraf som en SPDX-SBOM, och beroendegrafen ingår i alla planer. Den SBOM:en beskriver manifesten och lockfilerna på standardgrenen, inte ett specifikt bygge. CRACI registrerar paketen som varje bygge faktiskt hämtade och exporterar CycloneDX och SPDX per bygge.

Ersätter CRACI GitHub Advanced Security?

Nej. CRACI gör ingen kodskanning eller skanning av hemligheter. CRACI ersätter runnern som dina GitHub Actions-jobb körs på och registrerar och styr vad varje bygge gör. Team på GitHub behåller vanligtvis Secret Protection och Code Security för sina repon och lägger till CRACI för bevis från bygget.