成本
免費 CI 分鐘數：涵蓋什麼，又缺少什麼
如果您的建置都能在 GitHub 的內含分鐘數內完成，免費確實很難拒絕。本頁說明免費分鐘數能用多久、它們原本就不打算涵蓋哪些範圍，以及何時免費就真的足夠。
更新日期
免費分鐘數涵蓋什麼
GitHub 在每個帳戶中都內含每月的 Actions 分鐘數額度，供私人儲存庫使用。截至 2026 年 9 月，GitHub 的計費文件列出：
- GitHub Free：每月 2,000 分鐘
- GitHub Pro 與 GitHub Team：每月 3,000 分鐘
- GitHub Enterprise Cloud：每月 50,000 分鐘
在公開儲存庫中，標準 GitHub 託管執行器可免費使用。內含分鐘數會在每個計費週期開始時重置。以下幾個細節會影響它們能用多久：
- GitHub 會將每個作業使用的分鐘數無條件進位到最接近的整分鐘。
- 在 Team 與 Enterprise Cloud 方案中，大型執行器會以較高的費率消耗同一份內含額度。
- 超過額度後，標準 2 核心 Linux 執行器每分鐘 $0.006（Windows 與 macOS 每分鐘費用更高）。
就運算資源而言，這是相當慷慨的方案。對許多團隊來說，這也是正確的選擇，我們在下文會說明。
2,000 分鐘能用多久
假設條件（請替換成您自己的管線）：
- 一個工作流程包含 4 個作業，在標準 2 核心 Linux 執行器上執行
- 每個作業耗時 2 分 20 秒
- 每月 21 個工作天
- GitHub 會將每個 2 分 20 秒的作業進位為 3 分鐘，因此一次執行計費 4 × 3 = 12 分鐘。
- 2,000 ÷ 12 = 166.7，因此 Free 額度每月可涵蓋 166 次完整執行。
- 166 ÷ 21 約為每個工作天 7.9 次執行，這是整個團隊共用的次數。
- 超過額度後，每次執行費用為 12 × $0.006 = $0.072。
若要以您自己的數字計算，並套用各方案的內含額度與大型執行器規則，請使用 GitHub Actions 價格計算器。
相較之下，同樣的執行在 CRACI 上按秒計量：4 × 140 秒 = 560 秒，約 9.33 分鐘。以每分鐘 $0.004 的 2 vCPU 執行器計算，一次執行約 $0.037，而 GitHub Free 額度所涵蓋的 166 次執行約 $6.20。CRACI 沒有免費方案，也沒有月費：您按建置分鐘數付費。最新數字請參閱價格方案頁面。
免費分鐘數可以完全不花錢，CRACI 則不行。更值得問的是：除了運算資源之外，兩者各自還提供什麼。
免費分鐘數不涵蓋什麼
分鐘數買到的是機器上的時間。它們原本就不打算回答您將軟體交付給客戶時會遇到的問題：
- 這次建置實際下載了哪些套件，又是從哪裡下載的？
- 遭入侵的相依套件是否可能在建置期間連線到非預期的主機？
- 我們交付的建置產物，是否就是這次建置所產出的那一個？
- 有新漏洞公布時，我們已發布的哪些建置包含它？
- 我們能交給客戶或稽核人員什麼佐證資料？
資安
GitHub 提供可搭配 Actions 使用的免費供應鏈功能，值得啟用。Dependabot 警示會掃描儲存庫的預設分支，並在 GitHub Advisory Database 新增漏洞時通知您。您也可以將儲存庫相依關係圖的目前狀態匯出為 SPDX 格式的 SBOM。
這些功能描述的是儲存庫，CRACI 記錄的則是建置。它的執行器會在作業執行期間觀察前往套件來源的流量，因此 SBOM 列出的是作業實際取得的內容，包含從 CI 快取還原的套件，並標示每個作業與快取的紀錄是否完整。對外連線政策可以拒絕您允許的軟體來源以外的一切連線。詳情請參閱 SBOM 產生頁面。
韌性
當新的 CVE 公布時，真正有用的答案不是您的儲存庫目前是否宣告了該套件，而是您交付的哪些建置包含它。CRACI 會彙整跨建置與跨儲存庫的漏洞，並持續重新評估受監控的 SBOM，讓您找出共用同一個有漏洞相依套件的建置。請參閱漏洞追蹤。
法規遵循佐證資料
客戶與主管機關越來越常要求提供 SBOM，以及軟體如何建置的證明。CRACI API 提供 SBOM、網路追蹤紀錄與來源證明，SBOM 可匯出為 CycloneDX 或 SPDX。它能自動化企業在更廣泛的 CRA 法規遵循流程中所需的相當大一部分軟體供應鏈可視性與佐證資料，但單靠它並不能讓企業達到合規。
| 功能 | CRACI | 免費 GitHub 託管分鐘數 |
|---|---|---|
| 運算資源 | x86-64 與 ARM64 的 Linux 執行器，按秒計費 | 標準託管執行器，每個作業無條件進位到整分鐘 |
| 建置取得的內容 | 記錄每個作業所取得套件的建置時 SBOM，包含來自 CI 快取的套件 | 不記錄 |
| 對外連線 | 預設拒絕或允許政策，於作業開始前驗證，失效即封鎖 | 分鐘數本身不提供控管 |
| 來源證明 | 透過 API 提供來源證明資料；未簽署 | 分鐘數不包含 |
| 發布後監控 | 受監控的 SBOM 持續依據漏洞資料重新評估 | 預設分支上的 Dependabot 警示（GitHub 的另一項功能） |
| 佐證資料匯出 | SBOM 可匯出為 CycloneDX 或 SPDX，紀錄透過 API 取得；不提供報告匯出 | 相依關係圖的 SPDX 匯出（GitHub 的另一項功能） |
何時免費分鐘數就真的足夠
如果以下多數情況符合，請繼續使用免費分鐘數，並啟用 GitHub 的免費資安功能：
- 您的程式碼開源並放在公開儲存庫，標準託管執行器在此免費。
- 您還在打造原型，建置的內容尚未交付給客戶。
- 您的建置可以輕鬆控制在每月額度內。
- 沒有客戶、稽核人員或主管機關要求您提供 SBOM 或建置佐證資料。
- 您沒有在歐盟市場銷售具數位元素的產品。
在這種情況下，付費使用 CRACI 只是買到目前還沒有人需要的佐證資料。等情況改變時再回來看看。
該考慮免費分鐘數以外選項的徵兆
- 客戶的資安問卷要求提供您已交付版本的 SBOM。
- 您在歐盟銷售產品。Cyber Resilience Act（CRA）的漏洞通報義務自 2026 年 9 月起適用，並於 2027 年 12 月全面適用。我們的 CRA 概覽介紹了基本概念。
- 發生資安事件後，您想知道哪些建置取得了某個套件，卻沒有人能迅速回答。
- 您每月都超過免費額度，已經在為分鐘數付費。
新創公司的折衷方案
符合資格的新創公司可透過新創計畫獲得至少 10 萬分鐘的免費建置分鐘數，並由我們的團隊親自協助導入。這讓您在付費前，先在自己的管線上看看建置時佐證資料長什麼樣子。