Une seule offre. Par siège. En EUR.

Ce qui est inclus

• Socle Forgejo. Dépôts, tickets, PR, registre de paquets – Forgejo upstream avec un mince jeu de correctifs pour la MFA (compatible avec l’API).
• Lecteurs gratuits en lecture seule. Ajoutez autant de membres lecteurs que vous voulez – cloner, parcourir le code, lire les tickets et les PR – sans frais. Vous ne payez que pour les membres qui peuvent pousser du code ou administrer.
• Auditors. Chaque organisation dispose d’une équipe intégrée Auditors en lecture seule, qui peut aussi consulter les paramètres de l’organisation, ses membres et la piste d’audit – sans jamais rien modifier ni télécharger d’export. Les 5 premiers auditeurs de chaque organisation sont gratuits ; à partir du sixième, chacun compte comme un siège. Fonctionnement des auditeurs.
• Runners de CI hébergés. 1 000 min par siège et par mois, mutualisées. Jobs simultanés : 2 par siège garantis (au moins 10, au plus 60), et jusqu’à 60 quand la capacité est disponible (usage raisonnable ; davantage sur demande). 0,01 €/min au-delà de l’enveloppe. Chaque job est compté en minutes entières, arrondies au supérieur (un job de 61 secondes compte pour 2 minutes), aussi bien pour l’enveloppe que pour le dépassement. Une VM à usage unique par job.
• Chaîne de build souveraine. Les runners hébergés installent les paquets npm, PyPI, Go, Maven et NuGet et récupèrent les images de conteneur via le proxy de dépendances de votre organisation, et résolvent les GitHub Actions depuis des miroirs pull Forgejo. Configuré automatiquement pour chaque job de runner.
• Proxy de dépendances. Récupérez images de conteneur et paquets npm, PyPI, Maven, NuGet, Go, Cargo, Helm et RPM depuis les principaux registres publics via frem.sh, avec un cache propre à votre organisation. Activé par défaut. Les téléchargements depuis Docker Hub utilisent les identifiants Docker Hub de votre organisation. Usage raisonnable selon l’AUP §4A.
• Security. Détection de secrets en pre-receive, protection des push, analyse des dépendances + licences + images + logiciels malveillants, SAST, verdicts d’atteignabilité (atteignable, non atteignable, inconnu), signalement des vulnérabilités exploitées connues (EUVD de l’ENISA + KEV de la CISA), pull requests de correction de sécurité, commits signés, provenance SLSA, SBOM par build, épinglage des workflows (PR de réécriture vers des SHA).
• Conformité. Rapport de conformité, preuves de contrôle et, à la demande, une attestation fournisseur signée de la chaîne d’audit + de l’état de sécurité (HTML + JSON).
• Mises à jour des dépendances (correctifs de sécurité et mises à jour de version). Mises à jour de version planifiées, avec un délai de 3 jours après publication, et pull requests de correction de sécurité en un clic ou, si vous le souhaitez, automatiquement pour les résultats les plus importants, une par paquet, vers la plus basse version corrective. Les correctifs de sécurité fonctionnent sans activer les mises à jour de version ; par défaut, ils attendent une relecture, et la fusion automatique quand les vérifications passent est à activer.
• Stockage. 5 Go de dépôts + 5 Go de LFS + 5 Go de paquets par siège, sous forme de trois enveloppes distinctes à l’échelle de l’organisation. Le cache du proxy de dépendances est décompté de l’enveloppe paquets.
• Trafic sortant des paquets. Seuil indicatif de 100 Go par siège et par mois (nous vous prévenons) ; plafond strict de 300 Go par siège et par mois, au-delà duquel le débit est limité à 1 Mbit/s jusqu’au 1er du mois suivant. Aucun dépassement facturé. Les téléchargements des runners hébergés par fremforge ne sont jamais comptés ; ceux des runners auto-hébergés et des autres clients le sont.
• SSO avec MFA step-up. SSO OIDC (Entra ID, ADFS, Okta, Google Workspace) avec vérification réelle de acr_values/de la claim amr (pas seulement à la première connexion), liaison de session par organisation.
• Contrôles d’accès entreprise. AC SSH, clés matérielles (WebAuthn uniquement), liste d’IP autorisées, liste de domaines e-mail autorisés, durée de vie maximale des PAT par organisation, obligation de commits signés, protection de branche par défaut à l’échelle de l’organisation.
• Provisionnement SCIM 2.0. Poussez utilisateurs et groupes depuis Okta, Entra, Authentik ou tout IdP conforme. Authentification par jeton bearer par locataire, avec rotation à double jeton.
• Fédération OIDC. Des identifiants T Cloud Public de courte durée pour chaque job. Aucune clé de déploiement de longue durée.
• Environnements de déploiement. Secrets par environnement, restrictions de branche, validations obligatoires par des relecteurs.
• Transfert SIEM. Événements d’audit signés HMAC, envoyés par POST vers votre point de terminaison Splunk/QRadar/Sentinel/Datadog.
• SLA de correction. Délai de correction par gravité, fixé par vous ; les résultats en retard remontent en notifications. Possibilité d’allonger le SLA des résultats non atteignables ; les vulnérabilités exploitées connues gardent toujours le SLA complet.
• API REST publique. La même interface que celle des humains. PAT + identifiants client OAuth 2.0. Prête pour les agents IA.
• Intégrations IA (BYOK). Revue de PR, explications Renovate, correction IA de certains résultats SAST (désactivée par défaut), /ai/complete appelable par le client. Apportez votre propre clé – Anthropic, OpenAI, Mistral, Vertex Gemini ou toute URL compatible OpenAI. Chemin des données & souveraineté →
• Dépôts publics pris en charge. Privés par défaut.
• Export infalsifiable en un clic. Dépôts, LFS, journaux Actions, extrait d’audit, attestations – compressés avec un manifeste SHA-256.
• Conservation du journal d’audit jusqu’à 2 ans. Réglable par locataire (90 / 180 / 365 / 730 jours). L’index chaîné par hachage est conservé indéfiniment ; les charges utiles expirent selon votre politique. Ancrage WORM avec réplique interrégionale.
• Dépassement de stockage. 0,20 € par Go et par mois sur l’enveloppe concernée, facturé à terme échu.