Jämförelse
Priser för säkerhet i mjukvarans leveranskedja i jämförelse
Vad det kostar att veta vad som går in i programvaran du bygger och hålla den bevakad: publicerade priser för de SCA-, SBOM- och byggsäkerhetsverktyg som gör det jobbet, per utvecklare och totalt med CI-runnern.
Uppdaterad
Den korta versionen
- De flesta verktyg tar betalt per utvecklare. Vid 25 utvecklare ligger publicerade licenser på $16 till $70 per utvecklare och månad. Enterprise-SCA från Black Duck, Sonatype och Endor Labs säljs mot offert.
- SBOM-export kräver ofta en högre plan. Snyk exporterar SBOM:er bara på Enterprise och Socket från Business; GitHub exporterar beroendegrafen som SPDX gratis.
- CRACI tar ingen licensavgift just nu. Den tar bara betalt för byggminuter, $0.002 per vCPU-minut, och de minuterna betalar också för runnern. På vanliga x64-runners hamnar det under enbart minuterna för GitHub-hostade runners.
- Omfattningen är inte densamma. Flera verktyg lägger till SAST, skanning av hemligheter eller detektering av skadlig kod. CRACI registrerar vad varje bygge faktiskt hämtade och styr vad det kan nå.
Vilka som ingår i jämförelsen
CRACI kör GitHub Actions-jobb, registrerar varje paket som varje jobb hämtade som en SBOM, håller de SBOM:erna bevakade mot nya sårbarheter och upprätthåller en egress-policy på jobbet. Den här sidan prissätter de produkter som gör en del av det jobbet för programvaran du bygger:
- SCA med SBOM-export: Snyk, GitHub Code Security, Aikido, Socket, Semgrep Supply Chain, JFrog Xray och Kusari Inspector.
- SBOM-hantering: FOSSA, och Docker Scout för containeravbilder.
- Byggsäkerhet: StepSecurity, som lägger till kontroll av utgående trafik på de runners du behåller.
Utelämnat: CI-runners, som har en egen prisjämförelse; verktyg som enbart gör SAST; analys av firmware och binärer; och härdade avbilder som Chainguard, som säkrar indata i stället för att registrera bygget.
Vad varje licens kostar per utvecklare
Varje produkt på den billigaste planen som inkluderar SBOM-export. Fasta och nivåindelade planer delas på teamet, så FOSSA, JFrog och Aikido blir billigare per utvecklare i takt med att teamet fyller en nivå. Håll muspekaren över en stapel för att se vad planen täcker.
Licens per utvecklare och månad för ett team på 25, lägst först
CRACI är $0 här: den har ingen licens och ingen avgift per utvecklare. Du betalar $0.002 per vCPU-minut byggtid, vilket också betalar för runnern; nästa diagram räknar med det.
Totalkostnaden: runnerminuter plus säkerhet
CRACI ersätter runnern, så en rättvis jämförelse tar med runnern på alla sidor. Med vilket annat verktyg som helst fortsätter du att betala för minuter på GitHub-hostade runners och lägger till licensen. Med CRACI betalar du byggminuter och inget annat. Ange ditt team och hur många byggminuter varje utvecklare använder per månad; standardvärdet 1 000 är ett exempel.
Månadskostnad för 25 utvecklare och 25,000 byggminuter på 2 vCPU x64, lägst först
CRACI $100 per månad mot $132 för enbart GitHub-hostade runners: SBOM:en, sårbarhetsbevakningen och egress-policyn hamnar under vad runnerminuterna kostar i dag.
Årskostnad när teamet växer, samma byggminuter per utvecklare
Till listpris kostar CRACI:s byggminuter ungefär 33 % mindre än minuter på GitHub-hostade runners på en vanlig x64-runner med 2 vCPU, och varje produkt här lägger till en licens ovanpå de minuterna. På stora ARM64-runners ändras balansen: GitHubs arm64-runner med 32 kärnor har listpriset $0.050 per minut mot CRACI:s $0.064, så CRACI kostar ungefär 28 % mer per minut där. CRACI kör också byggen ungefär dubbelt så snabbt som GitHub-hostade runners, tack vare snabbare hårdvara, kortare kötider och cachning; kryssa i rutan för att räkna med det.
Vad du får för priset
| Funktion | Plan i diagrammet | Prissätts som | SBOM på den här planen | Kontroll av utgående trafik för CI-jobb |
|---|---|---|---|---|
| CRACI | Pro, betala per byggminut | $0.002 per vCPU-minut byggtid, runner ingår | Registreras i bygget, med en fullständighetsstatus | Valideras före jobbet, blockerar vid fel |
| GitHub Code Security | Code Security | $30 per aktiv committer och månad | SPDX-export av beroendegrafen är gratis på alla planer | Anges inte |
| Snyk | Enterprise-krediter | 1 kredit ($1) per aktiv bidragsgivare och dag | SBOM-export och licensefterlevnad bara på Enterprise | Anges inte |
| Aikido | Basic, sedan Pro över 20 | Fast månadsavgift per block av användare | SBOM-generering från Basic och uppåt | Anges inte |
| Socket | Business | $50 per utvecklare och månad, minst 20 | SBOM-import och -export från Business och uppåt (export i beta) | Anges inte |
| Semgrep Supply Chain | Gratis upp till 10, sedan Teams | $30 per bidragsgivare och månad | SBOM-generering på alla nivåer | Anges inte |
| FOSSA | Business | Planer i olika storlekar efter utvecklare och projekt | SBOM-generering, -import och VEX | Anges inte |
| JFrog Xray | Enterprise X (moln) | Från $950 per månad | Xray bygger och exporterar SBOM:er | Anges inte |
| Docker Scout | Team, sedan Business | $16 per användare och månad | SBOM:er bara för containeravbilder | Anges inte |
| Kusari Inspector | Inspector for teams | Från $25 per utvecklare och månad | SBOM-generering på betalplaner | Anges inte |
| StepSecurity | Enterprise | $16 per bidragande utvecklare och månad | Anges inte på prissidan | Anges inte |
- Ingår
- Delvis
- Ingår inte
Produkter utan publicerade priser
Enterprise-SCA och plattformarna för säkerhet i leveranskedjan säljs oftast via säljteam, vanligen per bidragande utvecklare. De gör samma jobb för programvaran du bygger, så de hör hemma på en kortlista, men de kan inte visas i diagrammen.
| Funktion | Vad den gör | Prissättning |
|---|---|---|
| Black Duck | SCA över källkod, paket och binärer | Endast offert |
| Sonatype Lifecycle and SBOM Manager | SCA och SBOM-hantering | Endast offert |
| Endor Labs | SCA med reachability, SBOM och VEX | Per bidragande utvecklare, endast offert |
| Mend AppSec | SCA, SAST och containrar | Upp till $1,000 per utvecklare och år |
| Anchore Enterprise | SBOM-generering och -hantering | Endast offert |
| Cycode | ASPM med CI/CD-säkerhet och SBOM | Endast offert, efter utvecklare och AI-användning |
| OX Security | Kod, SCA, SBOM och pipelinestatus | Per bidragande utvecklare, endast offert |
| Apiiro | ASPM med programvaruinventering | Ej publicerat |
| Legit Security | Säkerhet för SDLC och pipelines | Ej publicerat |
| Cybeats, Manifest, Lineaje | SBOM-hantering | Ej publicerat |
| SBOM Observer | SBOM-hantering | Ungefär $80 (€69) per användare och månad, upp till 10 projekt |
| sbomify | SBOM-hubb och trust center | $199 per månad, 5 produkter |
| Dependency-Track | SBOM-analys, öppen källkod | Gratis; du hostar och driver det själv |
Vad CRACI inte gör
CRACI täcker inte allt som de här verktygen gör. Den skannar inte källkod efter sårbarheter eller hemligheter, kör inte reachability-analys och poängsätter inte paket för skadlig kod; den flaggar kända skadliga releaser när det finns en säkerhetsbulletin. Den kör GitHub Actions-jobb på Linux, med Windows och macOS på roadmapen. Om SAST eller skanning av hemligheter står på din lista finns det gott om bra verktyg som körs tillsammans med CRACI.
Det den gör i stället är att registrera själva bygget. Medan varje jobb körs registrerar CRACI varje paket det hämtade, inklusive paket som återställs från cachar, och gör det till en SBOM med angiven fullständighet. Den håller de SBOM:erna bevakade, låter säkerhetsteam triagera fynd och blockera byggen utifrån dem och returnerar SBOM:er, nätverksspårningar och proveniens via sitt API. Se CRACI:s priser, eller boka en demo för att beräkna priset för din egen pipeline.
Så jämförde vi
- Källor: varje leverantörs egen prissida eller dokumentation, kontrollerad den 29 september 2026.
- Planer: den billigaste planen som inkluderar SBOM-export, med månadsfakturering där leverantören erbjuder det. Snyk visas enligt den publicerade Enterprise-kreditkursen för Snyk Open Source, en kredit på $1 per aktiv bidragsgivare och dag. Kusaris pris är ett startpris.
- Teamstorlek: utvecklare betyder leverantörens egen licensenhet (aktiv committer, bidragande utvecklare eller användare), räknat som hela teamet.
- Runnerminuter: listpriser för GitHub-hostad Linux utan avrundning per jobb, vilket gynnar GitHub något. CRACI till sitt listpris på $0.002 per vCPU-minut.
- Ingår inte: skatter, volymrabatter, rabatter för årlig förskottsbetalning och kostnaden för att själv driva open source-verktyg som Dependency-Track.
Vanliga frågor om priser för säkerhet i leveranskedjan
Korta svar om vad verktygen kostar och vad priset täcker.
Vad kostar säkerhet i mjukvarans leveranskedja?
För verktyg med publicerade priser, från ingenting till ungefär $70 per utvecklare och månad per september 2026. GitHubs Dependabot-varningar och SBOM-export är gratis, Semgrep Supply Chain är gratis för upp till 10 bidragsgivare och planer per utvecklare ligger på från $16 (StepSecurity) till $50 (Socket Business). Enterprise-SCA från Black Duck, Sonatype och Endor Labs säljs mot offert.
Hur prissätts CRACI?
CRACI tar bara betalt för byggminuter: $0.002 per vCPU-minut ($0.004 för en standardrunner med 2 vCPU), mätt per sekund, utan månadsavgift, utan avgift per utvecklare och utan avgift per SBOM. Byggminuterna betalar också för runnern, eftersom CRACI ersätter GitHub Actions-runnern.
Varför ingår runnerminuter i jämförelsen?
Därför att CRACI är runnern. Med vilket annat verktyg som helst på den här sidan fortsätter du att betala för minuter på GitHub-hostade runners och lägger till licensen ovanpå. Att jämföra CRACI:s byggminuter med bara en licens skulle lämna utanför den runnerkostnad som CRACI ersätter.
Vilken plan behöver du för SBOM-export?
Det varierar. Snyk exporterar SBOM:er bara på Enterprise, Socket från Business, Aikido från Basic, och FOSSA, Semgrep och JFrog Xray på planerna som visas här. GitHub exporterar beroendegrafen som SPDX på alla planer. CRACI registrerar en SBOM i varje bygge den kör.
Vad gör de andra verktygen som CRACI inte gör?
SAST, skanning av hemligheter, reachability-analys och ryktesbedömning av skadliga paket, bland annat. Aikido, Snyk, Semgrep och GitHub Code Security skannar källkod; Socket och Aikido blockerar skadliga paket. CRACI flaggar kända skadliga releaser som har en säkerhetsbulletin, men poängsätter inte paket för skadlig kod. Den kör GitHub Actions-jobb på Linux.
Beräkna priset för din egen pipeline på CRACI
Boka en demo så kör vi ett av dina arbetsflöden på CRACI, visar dess SBOM och jämför kostnaden med din runner och dina verktyg i dag.
Boka en demo