GitHub Advanced Security 價格，以及 CRACI 的定位

簡短的答案

截至 2026 年 9 月，GitHub 將 GitHub Advanced Security 拆成兩個附加元件販售。GitHub Secret Protection 每位活躍提交者每月 $19，涵蓋機密掃描與推送保護。GitHub Code Security 每位活躍提交者每月 $30，涵蓋 CodeQL 程式碼掃描、Copilot Autofix、 相依性審查與進階 Dependabot 功能。兩者都購買，每位活躍提交者每月合計 $49。兩者都需要 GitHub Team 或 Enterprise 方案，且費用另計於您的 GitHub 席次之外。

活躍提交者是指過去 90 天內有 commit 被推送到已啟用該產品之儲存庫的任何人，在整個組織中只計算一次。 因此帳單追蹤的是誰推送程式碼，而不是您擁有多少席次。

GitHub Advanced Security 價格一覽

價格為截至 2026 年 9 月 GitHub 與 Azure 的牌價。GitHub 的方案頁面列出了各附加元件在 Team 與 Enterprise 上新增的功能； 免費欄位涵蓋 GitHub.com 上的公開儲存庫。

帳單如何計算

• 依活躍提交者、依產品計算。只要提交者在過去 90 天內有任一 commit 被推送到已啟用的儲存庫， 即視為活躍，無論該 commit 何時撰寫。每個人在整個組織或企業中只使用一個授權，不論他接觸多少個儲存庫。
• 只計算已啟用的儲存庫。Secret Protection 與 Code Security 可分別啟用， 因此您可以在所有地方開啟 Secret Protection，只在需要的地方開啟 Code Security。
• Enterprise 上的計量或數量計費。計量計費適用於 GitHub Enterprise Cloud，以及搭配 GitHub Connect 的 GitHub Enterprise Server 3.13 或更新版本，每月依使用的授權計費，沒有預設上限，也沒有超量狀態。 數量或訂閱計費則是在一段期間內（通常至少一年）購買固定數量的授權。
• 免費風險評估。使用 Team 與 Enterprise Cloud 的組織可在購買前，執行免費的機密風險評估， 以及針對最多 20 個活躍儲存庫的程式碼安全風險評估。

計算範例

一個 50 名開發者的團隊，如果所有人都會推送到兩項產品皆已啟用的儲存庫，以牌價計算，Secret Protection 需付 50 × $19 = $950，Code Security 需付 50 × $30 = $1,500：每月 $2,450，每年 $29,400。這還不包括 GitHub Team 或 Enterprise 席次與 GitHub Actions 分鐘數。組織中任何擁有授權、會推送到已啟用儲存庫的人都會被計入，包括約聘人員， 因此請計算提交者人數，而不是員工人數。

不付費也能獲得的功能

相依關係圖與 Dependabot 警示包含在所有 GitHub 方案中。在公開儲存庫上，程式碼掃描、機密掃描、推送保護與相依性審查都是免費的。 如果您的程式碼是開源的，GitHub Advanced Security 的許多功能都不用花錢。

GitHub Advanced Security for Azure DevOps

同樣的兩項產品也針對 Azure Repos 販售，Azure 價格頁面列出的價格為 Secret Protection 每位提交者每月 $19、 Code Security $30。費用每日累計，並每月向與 Azure DevOps 組織連結的 Azure 訂用帳戶計費， 提交者在該訂用帳戶中每項產品只計算一次。

GitHub Advanced Security 的強項

CodeQL 程式碼掃描是內建於 pull request 中的語意靜態分析，Copilot Autofix 則會針對其提出的警示建議修正。 機密掃描涵蓋 git 歷史、pull request、issue 與 wiki，推送保護則會在機密進入儲存庫前加以封鎖。有效性檢查會告訴您 外洩的憑證是否仍然有效。這些 CRACI 都不做，本頁也沒有任何內容建議取代它們。

在相依套件方面，相依關係圖會解析儲存庫中的資訊清單與鎖定檔，當其中有項目符合 GitHub Advisory Database 中的公告時， Dependabot 就會發出警示。安全性更新會嘗試為每個有修補程式的未處理警示開啟 pull request，而相依性審查（屬於 Code Security） 會在合併前顯示 pull request 變更了什麼。自動相依性提交可為 Maven、Gradle 與 Python 加入建置時解析的資料。 您可以從 UI 或 REST API 將圖譜匯出為 SPDX SBOM。

Artifact attestations 使用 Sigstore 為二進位檔與容器映像檔的建置來源證明簽章，也能為 SPDX 或 CycloneDX 格式的 SBOM 提供證明。GitHub 的文件指出，單靠 attestations 可達到 SLSA v1.0 Build Level 2，搭配可重複使用的工作流程則可達 Level 3。

價格不涵蓋的部分

GitHub Advanced Security 的每項功能讀取的都是您的儲存庫：程式碼、機密與宣告的相依套件。 沒有任何功能會記錄產生您版本的建置內部發生了什麼，或管控該建置在網路上能連線到哪裡。這正是 CRACI 的定位。

此表將 GitHub Advanced Security 與其所依賴的 GitHub 平台功能（相依關係圖、Dependabot、artifact attestations 與託管執行器）合併呈現，因為團隊實際上就是這樣使用它們的。

建置的紀錄，而非儲存庫的紀錄

相依關係圖描述的是儲存庫，並在 commit 變更預設分支上的資訊清單或鎖定檔時更新。這很實用， 但它並不等同於產生某個版本之作業的紀錄。CRACI 觀察的是建置本身：具套件感知能力的代理伺服器會看到對套件來源的流量， 涵蓋 npm、PyPI、RubyGems、Composer、Cargo、Go、Nix、OCI、apt、apk 與 Git 來源。佐證資料會隨 CI 快取一起保存， 每份 SBOM 都會標示每個作業與每個快取的完整度：Complete、Complete with connections、Incomplete、Unavailable 或 Not recorded。

管控作業能連線到哪裡

CRACI 會為每個作業強制執行對外連線（egress）政策：預設拒絕或預設允許，提供 24 個內建軟體來源預設集， 以及針對 registry 與 Git 的具型別自訂來源。政策會在作業開始前驗證，並採失效即封鎖（fail closed），違反政策時 CRACI 會向您發出警示。這是對建置的執行期管控，是掃描儲存庫無法提供的。

來源證明

GitHub 的 artifact attestations 是您另外加入的工作流程步驟。它們會為建置來源證明簽章，GitHub 的文件指出其可達 SLSA v1.0 Build Level 2。CRACI 不會為來源證明簽章，也不宣稱任何 SLSA 等級：API 會傳回 SBOM、網路追蹤與來源證明。 如果您需要已簽章的來源證明或有文件佐證的 SLSA 等級，GitHub 的 attestations 可以提供。

監控已交付的內容

CRACI 會跨建置與儲存庫彙整漏洞，持續重新評估受監控的 SBOM，並讓資安團隊對發現進行分級研判，再交給負責修正的團隊。 其資產清冊檢視會精確顯示哪些軟體版本部署到全球哪些產品中。SBOM 可匯出為 CycloneDX 或 SPDX（包含漏洞）， API 則會傳回 SBOM、網路追蹤與來源證明。

不同的計價模式

GitHub Advanced Security 依活躍提交者計價。CRACI 本身就是執行器，因此只依建置分鐘數計價：每 vCPU 分鐘 $0.002 （預設 2 vCPU 執行器為 $0.004），按秒計量，沒有月費。這些分鐘數用來執行您原本會在 GitHub 託管執行器上執行的作業。 目前的條款請參閱 CRACI 價格方案。

兩者如何搭配

• GitHub Advanced Security 用於每個 pull request：CodeQL、機密掃描、推送保護與相依性審查。
• Dependabot 讓宣告的相依套件保持修補。
• CRACI 作為執行器：記錄每次建置、強制執行對外連線政策，並保存佐證資料。

在 CRACI 上的執行紀錄仍會顯示在 GitHub UI 中，您的工作流程也保留原有步驟；只要變更作業的 runs-on 標籤， 就能將它移到 CRACI。Windows 與 macOS 作業請繼續使用 GitHub 託管執行器：CRACI 目前僅支援 x86-64 與 ARM64 上的 Linux， Windows 與 macOS 已列入產品藍圖。

想比較程式碼掃描工具？請參閱 GitHub Advanced Security 替代方案及其價格。

因應 Cyber Resilience Act

GitHub 的工具協助您在發布前找出並修正漏洞，這是製造商必須做到的事。CRACI 將企業在更廣泛的 Cyber Resilience Act（CRA） 法規遵循流程中所需的相當大一部分軟體供應鏈可視性與佐證資料自動化：每個版本包含了什麼、API 傳回的 SBOM、網路追蹤與來源證明， 以及持續的漏洞追蹤。兩者都無法單獨讓產品符合法規。請參閱 什麼是 CRA 與 CRA 佐證資料。

深入了解 CI/CD 整合與 建置時 SBOM 產生，或預約示範， 將 CRACI 的建置紀錄與您的相依關係圖並列比較。

想了解 CRACI 取代什麼、不取代什麼，請參閱 CRACI 取代了什麼。

GitHub Advanced Security 價格常見問題

GitHub Advanced Security 的價格是多少？

截至 2026 年 9 月，GitHub 將 Advanced Security 拆成兩個附加元件販售：GitHub Secret Protection 每位活躍提交者每月 $19，GitHub Code Security 每位活躍提交者每月 $30，兩者合計每位活躍提交者 $49。這兩者需在 GitHub Team 或 Enterprise 方案之外另行購買。

怎樣才算活躍提交者？

指在您的組織中擁有 GitHub Team 或 Enterprise 授權，且在過去 90 天內有 commit 被推送到已啟用 Secret Protection 或 Code Security 之儲存庫的人，無論該 commit 何時撰寫。每個人在整個組織或企業中只使用一個授權，不論他參與多少個儲存庫。

GitHub Advanced Security 對公開儲存庫免費嗎？

部分免費。在公開儲存庫上，GitHub 預設啟用程式碼掃描、機密掃描與推送保護，相依性審查也免費。私有儲存庫則需要付費附加元件。相依關係圖與 Dependabot 警示包含在每個 GitHub 方案中。

GitHub Free 或 Pro 方案可以購買 GitHub Advanced Security 嗎？

不行。GitHub Secret Protection 與 GitHub Code Security 需要 GitHub Team 或 GitHub Enterprise 方案。使用 Team 與 Enterprise Cloud 的組織也可以先執行免費的機密風險評估與程式碼安全風險評估。

GitHub Advanced Security 在 Enterprise 上如何計費？

有兩種方式。計量計費適用於 GitHub Enterprise Cloud，以及搭配 GitHub Connect 的 GitHub Enterprise Server 3.13 或更新版本，每月依活躍提交者使用的授權收費，沒有預設上限。數量或訂閱計費則是在一段期間內（通常至少一年）購買固定數量的授權。

GitHub Advanced Security 在 Azure DevOps 上的價格是多少？

GitHub Advanced Security for Azure DevOps 可搭配 Azure Repos 使用。Azure 列出的價格為 Secret Protection 每位提交者每月 $19、Code Security $30，每日累計費用，並每月向與 Azure DevOps 組織連結的 Azure 訂用帳戶計費。提交者在該訂用帳戶中每項產品只計算一次。

GitHub Advanced Security 包含 SBOM 嗎？

GitHub 可以將儲存庫的相依關係圖匯出為 SPDX SBOM，而相依關係圖包含在每個方案中。這份 SBOM 描述的是預設分支上的資訊清單與鎖定檔，而非特定的某次建置。CRACI 會記錄每次建置實際取得的套件，並為每次建置匯出 CycloneDX 與 SPDX。

CRACI 能取代 GitHub Advanced Security 嗎？

不能。CRACI 不做程式碼掃描或機密掃描。CRACI 取代的是您 GitHub Actions 作業執行所在的執行器，並記錄與管控每次建置的行為。使用 GitHub 的團隊通常會保留 Secret Protection 與 Code Security 來保護儲存庫，再加入 CRACI 取得建置佐證資料。