Comparatif
fremforge vs GitHub
fremforge est une alternative européenne à GitHub : hébergement Git, pull requests, runners CI/CD, registres de paquets et analyse de sécurité sur une seule plateforme, exploitée par une entreprise européenne sur T Cloud Public en Allemagne. Cette page compare les deux sur le prix, la sécurité, la chaîne d’approvisionnement et la localisation des données, à partir des pages publiées par GitHub lui-même, et dit franchement ce que GitHub offre et que nous n’offrons pas.
Le prix pour une équipe qui commite du code
Chez GitHub, la détection de secrets et l’analyse de code sur les dépôts privés sont des options payantes, facturées par contributeur actif. Chez fremforge, elles sont comprises dans le siège.
GitHub Enterprise Cloud 🇺🇸 société américaine
$70/contributeur/mois$21 Enterprise Cloud + $19 Secret Protection + $30 Code Security
Enterprise Cloud « starting at $21 USD per user/month » (tarifs GitHub). Secret Protection coûte « $19 USD per active committer/month » et Code Security « $30 USD per active committer/month » (offres de sécurité GitHub). Un contributeur est actif si « one of their commits has been pushed to the repository within the last 90 days » (documentation de facturation GitHub). Pour un membre qui commite, cela fait $70 par mois ; un membre qui ne commite jamais coûte $21.
fremforge 🇪🇺 hébergé en Allemagne
30 €/siège/moisforfait · 25,50 €/siège/mois en facturation annuelle
Détection de secrets avec protection des push, SAST, analyse des dépendances, des images de conteneur, de l’IaC et des licences, atteignabilité, pull requests de correction de sécurité, proxy de dépendances et 1 000 minutes de CI par siège et par mois, compris dans le prix du siège. Tarifs.
Les prix de GitHub sont en USD, tels que publiés ; nous ne les avons pas convertis. GitHub Team coûte $4 par utilisateur et par mois et peut souscrire les deux mêmes options ; il n’offre ni authentification unique SAML ni liste d’IP autorisées (offres GitHub).
Fonction par fonction
Colonne GitHub : ce que dit la documentation de GitHub, pour les dépôts privés appartenant à une organisation. Colonne fremforge : ce que comprend chaque siège fremforge.
| Fonctionnalité | GitHub | fremforge |
|---|---|---|
| Détection de secrets et protection des push | Nécessite l’option Secret Protection sur Team ou Enterprise Cloud (doc) | Inclus. Les secrets sont refusés avant que le commit n’entre dans l’historique, avec des motifs personnalisés par organisation ou par dépôt |
| Vérification de validité des secrets | Option Secret Protection (doc) | Inclus, activé fournisseur par fournisseur ; la console indique où chaque vérification est envoyée |
| Analyse de code (SAST) | CodeQL ; nécessite l’option Code Security (doc) | Inclus. OpenGrep sur chaque pull request, activé par défaut |
| Alertes de vulnérabilité des dépendances | Alertes et mises à jour de sécurité Dependabot sur toutes les offres (doc) | Inclus. Trivy et osv-scanner sur chaque pull request, fusion bloquée à partir de la gravité que vous choisissez |
| Analyse des images de conteneur | Via des outils d’analyse tiers qui envoient des résultats SARIF (doc) | Inclus. Chaque image poussée dans le registre est analysée, avec des pull requests de mise à jour de l’image de base |
| Analyse de l’infrastructure as code | Via des outils d’analyse tiers (même voie SARIF) | Inclus. Terraform, Kubernetes, Helm, Dockerfile et Compose, sur chaque pull request |
| Atteignabilité | Un critère de tri des alertes Dependabot (« whether vulnerable function calls are detected ») (doc) | Chaque résultat est marqué atteignable, non atteignable ou inconnu, avec le fichier et la ligne comme preuve. Graphes d’appels pour Go, JavaScript et TypeScript ; Python, Java et Kotlin au niveau des imports |
| Vulnérabilités exploitées en priorité | Filtre EPSS sur les alertes Dependabot (doc) | Les entrées de la base européenne des vulnérabilités de l’ENISA et du catalogue KEV de la CISA reçoivent un badge, sont classées et corrigées en premier ; EPSS au sein d’un même niveau de gravité |
| Corrections automatiques | Mises à jour de sécurité Dependabot ; Copilot Autofix pour l’analyse de code nécessite Code Security (doc) | Pull requests de correction de sécurité pour npm, Go, PyPI, Maven, Gradle, NuGet, Cargo et les images de base, une par paquet, vulnérabilités exploitées d’abord ; corrections IA de certains résultats SAST avec votre propre clé de modèle |
| Conformité des licences | Compte Enterprise avec Code Security (doc) | Inclus. Liste d’autorisation SPDX par dépôt, héritée de l’organisation |
| Proxy de dépendances et cache de paquets | Un pare-feu de paquets en préversion publique pour les entreprises, documenté pour npm (doc) | Inclus et activé par défaut : npm, PyPI, Go, Maven, NuGet, Cargo, Helm, RPM et images de conteneur en cache par organisation. Logiciels malveillants connus refusés, politique de paquets, ancienneté minimale de publication ; le service continue quand un registre en amont est indisponible |
| Logiciels malveillants | Alertes de logiciels malveillants avec les alertes Dependabot (doc) | Logiciels malveillants connus refusés dans le proxy de dépendances ; ClamAV sur chaque envoi de paquet et d’image |
| SBOM et provenance | Export SBOM pour tous ; les attestations d’artefacts sur les dépôts privés nécessitent Enterprise Cloud, SLSA Build Level 2 (doc) | SBOM pour chaque image construite par un runner ; provenance SLSA signée par les runners hébergés |
| Signature | Attestations sur Sigstore Public Good pour les dépôts publics, sur l’instance propre de GitHub pour les dépôts privés (doc) | Signature sans clé cosign sur l’instance Sigstore propre à fremforge (Fulcio et autorité d’horodatage) en Allemagne ; politique de signature des images au téléchargement |
| Validations de déploiement | Les relecteurs obligatoires sur les dépôts privés nécessitent Enterprise (doc) | Inclus. Environnements nommés avec secrets par environnement, règles de branche et relecteurs obligatoires |
| Audit vers votre SIEM | Diffusion du journal d’audit sur Enterprise Cloud (doc) | Inclus. Envoi signé vers Splunk, QRadar, Sentinel ou Datadog ; piste d’audit chaînée par hachage |
| Liste d’IP autorisées | Enterprise Cloud uniquement (doc) | Inclus |
| Minutes de CI | 3 000 par mois sur Team, 50 000 sur Enterprise Cloud, par compte ; Linux à $0.006 la minute au-delà (doc) | 1 000 par mois et par siège, mutualisées ; 0,01 € la minute au-delà ; une VM à usage unique par job |
| Où se trouvent vos données | « your local region, the United States, and other countries » (déclaration de confidentialité) ; une option de résidence des données dans l’UE sur Enterprise Cloud, certaines données restant stockées hors de la région (doc) | En Allemagne, sur T Cloud Public de Deutsche Telekom (eu-de). Aucun sous-traitant à capitaux américains sur le chemin des données |
Ce que GitHub offre et que fremforge n’offre pas
- Une offre gratuite. GitHub Free coûte $0. fremforge propose un essai gratuit de 30 jours, puis 30 € par siège.
- L’authentification unique SAML. fremforge se connecte via OIDC (Entra ID, Okta, Google Workspace, Keycloak, Authentik et d’autres), pas via SAML.
- L’auto-hébergement. GitHub Enterprise Server tourne dans votre propre centre de données. fremforge est uniquement proposé en service hébergé.
- Copilot. fremforge n’a pas d’IA propre ; les fonctionnalités IA facultatives ne fonctionnent qu’avec votre propre clé de fournisseur.
- L’écosystème. GitHub Marketplace, Codespaces, GitHub Pages et la plus grande communauté open source. Les Actions courantes comme
actions/checkoutfonctionnent sur fremforge via des miroirs européens ; certaines actions du Marketplace demandent de petites adaptations. - Projets et planification. fremforge propose tickets, labels et jalons, mais pas les tableaux GitHub Projects.
Migrer depuis GitHub
L’outil d’import copie les dépôts avec leur historique, leurs tickets, leurs pull requests et leurs releases. Un petit dépôt avec des Actions simples demande 15 à 30 minutes de travail effectif. Vous pouvez aussi mettre les dépôts en miroir et continuer à travailler sur GitHub pendant la migration.
Chaque affirmation sur GitHub figurant sur cette page provient des pages de GitHub lui-même, citées là où elle est faite, et consultées le 23 octobre 2026. GitHub modifie ses offres et ses prix ; si une information est périmée, signalez-le-nous à support@frem.sh et nous la corrigerons. GitHub est une marque de GitHub, Inc. fremforge n’est pas affilié à GitHub.