Gratis CI-minuter: vad de täcker och vad de inte täcker

Vad gratisminuter täcker

GitHub inkluderar en månadskvot av Actions-minuter i varje konto, för användning i privata repon. I september 2026 anger GitHubs faktureringsdokumentation:

• GitHub Free: 2 000 minuter i månaden
• GitHub Pro och GitHub Team: 3 000 minuter i månaden
• GitHub Enterprise Cloud: 50 000 minuter i månaden

Vanliga GitHub-hostade runners är gratis att använda i publika repon. Inkluderade minuter nollställs i början av varje faktureringsperiod. Några detaljer påverkar hur långt de räcker:

• GitHub avrundar minuterna som varje jobb använder uppåt till närmaste hela minut.
• Inkluderade minuter kan inte användas för GitHubs större runners.
• Över kvoten kostar en vanlig Linux-runner med 2 kärnor $0.006 per minut (Windows och macOS kostar mer per minut).

Det är ett generöst erbjudande när det gäller beräkningskapacitet. För många team är det också rätt erbjudande, och det säger vi nedan.

Hur långt 2 000 minuter räcker

1. GitHub avrundar varje jobb på 2 minuter och 20 sekunder uppåt till 3 minuter, så en körning debiteras som 4 × 3 = 12 minuter.
2. 2 000 ÷ 12 = 166,7, så Free-kvoten täcker 166 hela körningar i månaden.
3. 166 ÷ 21 är omkring 7,9 körningar per arbetsdag, för hela teamet.
4. Varje körning över kvoten kostar 12 × $0.006 = $0.072.

Som jämförelse mäts samma körning på CRACI per sekund: 4 × 140 sekunder = 560 sekunder, eller omkring 9,33 minuter. På en runner med 2 vCPU för $0.004 per minut kostar en körning omkring $0.037, och de 166 körningar som GitHub Free-kvoten täcker kostar omkring $6.20. CRACI har ingen gratisnivå och ingen månadsavgift: du betalar per byggminut. Se prissidan för aktuella siffror.

Gratisminuter kan kosta ingenting, och det kan inte CRACI. Den bättre frågan är vad var och en ger dig utöver beräkningskapacitet.

Vad gratisminuter inte täcker

Minuter köper tid på en maskin. De var aldrig tänkta att besvara frågorna som dyker upp när du levererar programvara till kunder:

• Vilka paket laddade det här bygget faktiskt ner, och varifrån?
• Kunde ett komprometterat beroende ha nått en oväntad värd under bygget?
• Är artefakten vi levererade den som det här bygget producerade?
• När en ny sårbarhet publiceras, vilka av våra släppta byggen innehåller den?
• Vilket underlag kan vi lämna till en kund eller en revisor?

Säkerhet

GitHub erbjuder gratisfunktioner för leveranskedjan som fungerar tillsammans med Actions, och de är värda att slå på. Dependabot-varningar skannar ditt repos standardgren och varnar dig när en ny sårbarhet läggs till i GitHub Advisory Database. Du kan också exportera det aktuella läget för ett repos beroendegraf som en SBOM i SPDX-format.

De funktionerna beskriver repot. CRACI registrerar bygget. Dess runners observerar trafiken till paketkällor medan jobbet körs, så SBOM:en listar vad jobbet faktiskt hämtade, inklusive paket som återställs från CI-cachar, och anger om registreringen för varje jobb och cache är fullständig. Egress-policyer för nätverket kan neka allt utom programvarukällorna du tillåter. Detaljer finns på sidan om SBOM-generering.

Resiliens

När en ny CVE dyker upp är det användbara svaret inte om ditt repo deklarerar paketet i dag, utan vilka byggen du har levererat som innehåller det. CRACI samlar sårbarheter från olika byggen och repon och omvärderar bevakade SBOM:er löpande, så att du kan hitta byggena som delar ett sårbart beroende. Se sårbarhetsuppföljning.

Efterlevnadsunderlag

Kunder och tillsynsmyndigheter frågar allt oftare efter SBOM:er och bevis på hur programvara byggdes. CRACI:s API returnerar SBOM:er, nätverksspårningar och proveniens, och SBOM:er exporteras som CycloneDX eller SPDX. Det automatiserar en betydande del av den insyn i programvarans leveranskedja och det underlag som företag behöver för sin bredare process för CRA-efterlevnad. Det gör inte i sig ett företag regelefterlevande.

När gratisminuter verkligen räcker

Stanna på gratisminuter och slå på GitHubs kostnadsfria säkerhetsfunktioner om det mesta av detta stämmer:

• Din kod är öppen källkod i publika repon, där vanliga hostade runners är gratis.
• Du gör prototyper, och inget du bygger har nått kunder ännu.
• Dina byggen ryms med god marginal inom månadskvoten.
• Ingen kund, revisor eller tillsynsmyndighet frågar dig efter SBOM:er eller underlag från bygget.
• Du säljer inte produkter med digitala element på EU-marknaden.

I det läget köper du med CRACI underlag som ingen behöver ännu. Kom tillbaka när det ändras.

Tecken på att det är dags att se bortom gratisminuterna

• Ett säkerhetsformulär från en kund frågar efter en SBOM för releasen du levererade.
• Du säljer i EU. Rapporteringsskyldigheterna för sårbarheter i Cyber Resilience Act gäller från september 2026, med full tillämpning i december 2027. Vår CRA-översikt går igenom grunderna.
• En incident får dig att fråga vilka byggen som hämtade ett paket, och ingen kan svara snabbt.
• Du går över gratiskvoten varje månad och betalar redan för minuter.

En mellanväg för startups

Startups som uppfyller kraven får minst 100k gratis byggminuter och personlig onboarding med vårt team genom startupprogrammet. Det är ett sätt att se hur underlag från bygget ser ut i din egen pipeline innan du betalar för det.