比較
軟體供應鏈安全價格比較
掌握您所建置軟體的組成內容並持續監控，需要多少成本：負責這項工作的 SCA、SBOM 與建置安全工具的公開價格，依每位開發人員計算，並計入 CI 執行器後的總成本。
更新日期
重點摘要
- 大多數工具按開發人員人數計費。以 25 位開發人員計，公開授權價格為每位開發人員每月 $16 至 $70。Black Duck、Sonatype 與 Endor Labs 的企業級 SCA 採報價制。
- SBOM 匯出通常需要較高階的方案。Snyk 僅在 Enterprise 方案提供 SBOM 匯出，Socket 則從 Business 方案起提供；GitHub 免費將相依關係圖匯出為 SPDX。
- CRACI 目前不收取授權費。它只收取建置分鐘數的費用，每 vCPU 分鐘 $0.002，而這些分鐘數也包含了執行器。在標準 x64 執行器上，這比單是 GitHub 託管執行器的分鐘數費用還低。
- 涵蓋範圍並不相同。有些工具另外提供 SAST、機密或惡意軟體偵測。CRACI 記錄每次建置實際下載的內容，並管控它能連線的範圍。
本比較涵蓋哪些產品
CRACI 執行 GitHub Actions 作業，將每個作業下載的每個套件記錄為 SBOM，持續監控這些 SBOM 是否出現新漏洞，並對作業執行對外連線政策。本頁比較的是針對您所建置的軟體、負責其中部分工作的產品價格：
- 具 SBOM 匯出功能的 SCA：Snyk、GitHub Code Security、Aikido、Socket、Semgrep Supply Chain、JFrog Xray 與 Kusari Inspector。
- SBOM 管理：FOSSA，以及針對容器映像檔的 Docker Scout。
- 建置安全：StepSecurity，為您保留的執行器加上對外連線管控。
未納入：CI 執行器（另有專屬的價格比較）、僅提供 SAST 的工具、韌體與二進位檔分析，以及 Chainguard 等強化映像檔，因為它們保護的是輸入，而不是記錄建置。
每位開發人員的授權費用
每項產品都以包含 SBOM 匯出的最便宜方案計算。固定費用與分級方案會除以團隊人數，因此當團隊人數填滿某個級距時，FOSSA、JFrog 與 Aikido 的每位開發人員成本會降低。將游標移到長條上，即可查看該方案涵蓋的內容。
25 人團隊每位開發人員每月授權費，由低至高
在這裡 CRACI 為 $0：它沒有授權費，也沒有按開發人員計算的費用。 您支付每 vCPU 分鐘建置時間 $0.002，這筆費用也包含了執行器；下一張圖表會將其計入。
總成本：執行器分鐘數加上資安工具
CRACI 取代了執行器，因此公平的比較應該在每一方都計入執行器。使用其他任何工具時，您仍要持續支付 GitHub 託管執行器的分鐘數費用，再加上授權費。使用 CRACI 時，您只需支付建置分鐘數。請輸入您的團隊人數，以及每位開發人員每月使用的建置分鐘數；預設值 1,000 僅供示意。
25 位開發人員在 2 vCPU x64 上使用 25,000 建置分鐘數的每月成本，由低至高
CRACI 每月 $100，而單是 GitHub 託管執行器就要 $132：SBOM、漏洞監控與對外連線政策的成本，低於您目前執行器分鐘數的費用。
團隊成長時的年度成本，每位開發人員建置分鐘數相同
以牌價計算，在標準 2 vCPU x64 執行器上，CRACI 的建置分鐘數比 GitHub 託管分鐘數便宜約 33%，而這裡的每項產品都還要在這些分鐘數之外再加上授權費。在大型 ARM64 執行器上，情況則不同：GitHub 的 32 核心 arm64 執行器牌價為每分鐘 $0.050，CRACI 則為 $0.064，因此 CRACI 在這種情況下每分鐘貴約 28%。由於硬體更快、排隊時間更短以及快取，CRACI 執行建置的速度也比 GitHub 託管執行器快約兩倍；勾選方塊即可將此納入計算。
這個價格能得到什麼
| 功能 | 圖表採用的方案 | 計價方式 | 此方案的 SBOM | CI 作業的對外連線管控 |
|---|---|---|---|---|
| CRACI | Pro，依建置分鐘數付費 | 每 vCPU 分鐘建置時間 $0.002，含執行器 | 在建置中記錄，附完整性狀態 | 作業開始前驗證，失效即封鎖 |
| GitHub Code Security | Code Security | 每位活躍提交者每月 $30 | 所有方案皆可免費將相依關係圖匯出為 SPDX | 未列出 |
| Snyk | Enterprise 點數 | 每位活躍貢獻者每天 1 點（$1） | SBOM 匯出與授權合規僅限 Enterprise | 未列出 |
| Aikido | Basic，超過 20 人為 Pro | 依使用者級距收取固定月費 | Basic 方案起提供 SBOM 產生 | 未列出 |
| Socket | Business | 每位開發人員每月 $50，最少 20 人 | Business 方案起提供 SBOM 匯入與匯出（匯出為 Beta） | 未列出 |
| Semgrep Supply Chain | 10 人以內免費，之後為 Teams | 每位貢獻者每月 $30 | 所有方案皆提供 SBOM 產生 | 未列出 |
| FOSSA | Business | 依開發人員與專案數量分級的方案 | SBOM 產生、匯入與 VEX | 未列出 |
| JFrog Xray | Enterprise X（雲端） | 每月 $950 起 | Xray 建立並匯出 SBOM | 未列出 |
| Docker Scout | Team，之後為 Business | 每位使用者每月 $16 | 僅限容器映像檔的 SBOM | 未列出 |
| Kusari Inspector | Inspector for teams | 每位開發人員每月 $25 起 | 付費方案提供 SBOM 產生 | 未列出 |
| StepSecurity | Enterprise | 每位參與貢獻的開發人員每月 $16 | 價格頁面未列出 | 未列出 |
- 支援
- 部分支援
- 不支援
未公開價格的產品
企業級 SCA 與供應鏈安全平台大多透過業務銷售，通常按參與貢獻的開發人員計費。它們針對您所建置的軟體負責相同的工作，因此值得列入候選名單，但無法繪入圖表。
| 功能 | 功能 | 價格 |
|---|---|---|
| Black Duck | 涵蓋原始碼、套件與二進位檔的 SCA | 僅提供報價 |
| Sonatype Guide (Lifecycle and SBOM Manager) | SCA 與 SBOM 管理 | Pro 每年 $1,200 起，最多 5,000 點額度；Enterprise 需報價 |
| Endor Labs | 具可達性分析、SBOM 與 VEX 的 SCA | 按參與貢獻的開發人員計費，僅提供報價 |
| Mend AppSec | SCA、SAST 與容器 | 每位開發人員每年最高 $1,000 |
| Anchore Enterprise | SBOM 產生與管理 | 僅提供報價 |
| Cycode | 具 CI/CD 安全與 SBOM 的 ASPM | 僅提供報價，依開發人員人數與 AI 用量計費 |
| OX Security | 程式碼、SCA、SBOM 與管線安全態勢 | 按參與貢獻的開發人員計費，僅提供報價 |
| Apiiro | 具軟體資產清冊的 ASPM | 未公開 |
| Legit Security | SDLC 與管線安全 | 未公開 |
| Cybeats、Manifest、Lineaje | SBOM 管理 | 未公開 |
| SBOM Observer | SBOM 管理 | 每位使用者每月約 $80（€69），最多 10 個專案 |
| sbomify | SBOM 中心與信任中心 | 每月 $199，5 項產品 |
| Dependency-Track | SBOM 分析，開源 | 免費；由您自行託管與維運 |
CRACI 不做的事
CRACI 並未涵蓋這些工具的所有功能。它不掃描原始碼中的漏洞或機密，不執行可達性分析，也不為套件進行惡意軟體評分；它會在資安公告發布後標示已知的惡意版本。它在 Linux 上執行 GitHub Actions 作業，Windows 與 macOS 已列入產品藍圖。如果 SAST 或機密掃描在您的需求清單上，有許多優秀的工具可以與 CRACI 並行使用。
CRACI 所做的是記錄建置本身。在每個作業執行期間，CRACI 會記錄它下載的每個套件，包括從快取還原的套件，並將其轉為標明完整程度的 SBOM。它持續監控這些 SBOM，讓資安團隊研判發現項目並據此阻擋建置，並透過 API 回傳 SBOM、網路追蹤與來源證明。請參閱 CRACI 價格方案，或預約示範，試算您自己的管線。
我們的比較方式
- 來源：各廠商自己的價格頁面或文件，查核日期為 2026 年 9 月 29 日。
- 方案：包含 SBOM 匯出的最便宜方案，廠商有提供月繳時以月繳計算。Snyk 以 Snyk Open Source 公開的 Enterprise 點數費率計算，每位活躍貢獻者每天 1 點（$1）。Kusari 的價格為起價。
- 團隊人數：開發人員指的是廠商自己的席位單位（活躍提交者、參與貢獻的開發人員或使用者），並視為整個團隊。
- 執行器分鐘數：採用 GitHub 託管 Linux 牌價，不計每個作業的進位，這對 GitHub 略為有利。CRACI 採用其牌價每 vCPU 分鐘 $0.002。
- 未納入：稅金、量販折扣、年繳預付折扣，以及自行維運 Dependency-Track 等開源工具的成本。
供應鏈安全價格常見問題
關於這些工具的費用以及價格涵蓋內容的簡短解答。
軟體供應鏈安全要花多少錢？
截至 2026 年 9 月，有公開價格的工具從免費到每位開發人員每月約 $70 不等。GitHub 的 Dependabot 警示與 SBOM 匯出免費，Semgrep Supply Chain 在 10 位貢獻者以內免費，按開發人員計費的方案則從 $16（StepSecurity）到 $50（Socket Business）。Black Duck、Sonatype 與 Endor Labs 的企業級 SCA 採報價制。
CRACI 如何計價？
CRACI 只收取建置分鐘數的費用：每 vCPU 分鐘 $0.002（預設 2 vCPU 執行器為 $0.004），按秒計費，沒有月費、沒有按開發人員計算的費用，也不按 SBOM 收費。建置分鐘數也支付了執行器的費用，因為 CRACI 取代了 GitHub Actions 執行器。
為什麼比較中要計入執行器分鐘數？
因為 CRACI 就是執行器。使用本頁任何其他工具時，您仍要持續支付 GitHub 託管執行器的分鐘數費用，再加上授權費。若只拿 CRACI 的建置分鐘數與授權費比較，就會漏掉 CRACI 所取代的執行器帳單。
SBOM 匯出需要哪個方案？
視產品而定。Snyk 僅在 Enterprise 方案匯出 SBOM，Socket 從 Business 起，Aikido 從 Basic 起，FOSSA、Semgrep 與 JFrog Xray 則在此處圖表所列的方案中提供。GitHub 在所有方案中皆可將相依關係圖匯出為 SPDX。CRACI 在它執行的每次建置中都會記錄 SBOM。
其他工具有哪些 CRACI 不做的功能？
包括 SAST、機密掃描、可達性分析與惡意套件信譽評估等。Aikido、Snyk、Semgrep 與 GitHub Code Security 會掃描原始碼；Socket 與 Aikido 會封鎖惡意套件。CRACI 會標示已有資安公告的已知惡意版本，但不為套件進行惡意軟體評分。它在 Linux 上執行 GitHub Actions 作業。