Ein Tarif. Pro Platz. In EUR.

Was enthalten ist

• Forgejo-Oberfläche. Repositorys, Issues, PRs, Paket-Registry – Forgejo aus dem Upstream mit einem schlanken MFA-Patchset (API-kompatibel).
• Kostenlose Leser. Füge beliebig viele Mitglieder als Leser hinzu – klonen, Code durchsuchen, Issues und PRs lesen – ohne Kosten. Du zahlst nur für Mitglieder, die pushen oder administrieren können.
• Auditors. Jede Organisation hat ein eingebautes Team Auditors mit reinem Lesezugriff, das zusätzlich Organisationseinstellungen, Mitglieder und den Audit-Trail lesen kann – aber nie etwas ändern oder Exporte herunterladen. Die ersten 5 Auditoren pro Organisation sind kostenlos; ab dem sechsten zählt jeder als Platz. So funktionieren Auditoren.
• Gehostete CI-Runner. 1.000 Min. pro Platz und Monat, gebündelt. Gleichzeitige Jobs: 2 pro Platz garantiert (mindestens 10, höchstens 60) und bis zu 60, wenn Kapazität frei ist (Fair Use; mehr auf Anfrage). 0,01 € pro Minute über das Kontingent hinaus. Jeder Job wird in ganzen Minuten gezählt und aufgerundet (ein Job von 61 Sekunden zählt als 2 Minuten), für das Kontingent wie für die Mehrnutzung. Eine Einweg-VM pro Job.
• Souveräne Build-Lieferkette. Gehostete Runner installieren npm-, PyPI-, Go-, Maven- und NuGet-Pakete und ziehen Container-Images über den Abhängigkeits-Proxy deiner Organisation, und sie lösen GitHub Actions über Forgejo-Pull-Mirrors auf. Bei jedem Runner-Job automatisch eingerichtet.
• Abhängigkeits-Proxy. Ziehe Container-Images sowie npm-, PyPI-, Maven-, NuGet-, Go-, Cargo-, Helm- und RPM-Pakete aus den großen öffentlichen Registries über frem.sh, gecacht für deine Organisation. Standardmäßig aktiv. Docker-Hub-Pulls nutzen die eigenen Docker-Hub-Zugangsdaten deiner Organisation. Fair Use gemäß AUP §4A.
• Security. Pre-Receive-Secret-Scanning, Push-Schutz, Scans für Abhängigkeiten, Lizenzen, Images und Malware, SAST, Erreichbarkeitsurteile (erreichbar, nicht erreichbar, unbekannt), Markierung bekannt ausgenutzter Schwachstellen (ENISA EUVD + CISA KEV), Sicherheitskorrektur-Pull-Requests, signierte Commits, SLSA-Provenance, SBOM pro Build, Workflow-Pinning (PR, der auf SHA-Pins umschreibt).
• Compliance. Compliance-Bericht, Kontrollnachweise und auf Abruf eine signierte Herstellerbestätigung über Audit-Kette + Sicherheitslage (HTML + JSON).
• Abhängigkeits-Updates (Sicherheitskorrekturen und Versions-Updates). Versions-Updates nach Zeitplan mit 3 Tagen Wartezeit ab Release, und Sicherheitskorrektur-Pull-Requests per Klick oder, wenn du willst, automatisch für die wichtigsten Funde – einer pro Paket, auf die niedrigste Version mit Korrektur. Sicherheitskorrekturen funktionieren, ohne dass du Versions-Updates einschaltest; standardmäßig warten sie auf ein Review, das Mergen bei grünen Checks schaltest du selbst ein.
• Speicher. 5 GB Repository + 5 GB LFS + 5 GB Pakete pro Platz, als drei getrennte, organisationsweite Kontingente. Der Cache des Abhängigkeits-Proxys zählt zum Paketkontingent.
• Paket-Egress. 100 GB pro Platz und Monat als weiche Grenze (wir benachrichtigen dich); 300 GB pro Platz und Monat als harte Grenze, danach gedrosselt auf 1 Mbit/s bis zum 1. des Folgemonats. Keine Kosten für Mehrnutzung. Downloads durch von fremforge gehostete Runner zählen nie zu einer der Grenzen; selbst gehostete Runner und andere Clients schon.
• SSO mit Step-up-MFA. OIDC-SSO (Entra ID, ADFS, Okta, Google Workspace) mit echter Prüfung von acr_values/amr-Claim (nicht nur bei der ersten Anmeldung), Sitzungsbindung pro Organisation.
• Zugriffskontrollen für Unternehmen. SSH-CA, hardwaregestützte Schlüssel (nur WebAuthn), IP-Allowlist, E-Mail-Domain-Allowlist, maximale PAT-Lebensdauer pro Organisation, Pflicht zu signierten Commits, organisationsweite Standards für Branch-Schutz.
• SCIM-2.0-Bereitstellung. Übertrage Benutzer und Gruppen aus Okta, Entra, Authentik oder jedem konformen IdP. Bearer-Token-Authentifizierung pro Mandant mit Rotation über zwei Tokens.
• OIDC-Föderation. Kurzlebige T Cloud Public-Zugangsdaten bei jedem Job. Keine langlebigen Deploy-Keys.
• Deployment-Umgebungen. Secrets pro Umgebung, Branch-Beschränkungen, Freigabe durch erforderliche Reviewer.
• SIEM-Weiterleitung. HMAC-signierte Audit-Events per POST an deinen Splunk/QRadar/Sentinel/Datadog-Endpunkt.
• Behebungsfrist. Du legst die Tage bis zur Behebung je Schweregrad fest; überfällige Funde erscheinen als Glocken-Benachrichtigung. Optional verlängerst du die Frist für nicht erreichbare Funde; bekannt ausgenutzte behalten immer die volle Frist.
• Öffentliche REST-API. Dieselbe Schnittstelle, die Menschen nutzen. PAT + OAuth 2.0 Client Credentials. Bereit für KI-Agenten.
• KI-Integrationen (BYOK). PR-Review, Renovate-Erklärungen, KI-Fix für ausgewählte SAST-Funde (standardmäßig aus), von Kunden aufrufbares /ai/complete. Bring deinen eigenen Schlüssel mit – Anthropic, OpenAI, Mistral, Vertex Gemini oder jede OpenAI-kompatible URL. Datenpfad & Souveränität →
• Öffentliche Repositorys möglich. Standardmäßig privat.
• Manipulationserkennbarer Export per Klick. Repositorys, LFS, Actions-Logs, Audit-Ausschnitt, Attestierungen – gepackt mit SHA-256-Manifest.
• Aufbewahrung des Audit-Logs bis zu 2 Jahre. Pro Mandant konfigurierbar (90 / 180 / 365 / 730 Tage). Der hash-verkettete Index bleibt für immer; die Nutzdaten laufen nach deiner Richtlinie ab. In WORM verankert, mit regionsübergreifendem Replikat.
• Mehrnutzung Speicher. 0,20 € pro GB und Monat auf dem betroffenen Kontingent, nachträglich abgerechnet.