EU‑suveren CI/CD med Git inkludert.

Dette får du

Alt i én plan til 30 € per bruker. Ingen «Advanced Security»-tillegg, ingen overraskende Actions-regning, ingen Marketplace-felle.

Tilgangskontroll på enterprise-nivå

Kontrollene regulerte team ber om, koblet til et ekte policysett per organisasjon. Endre en av dem, så utløses en revisjonshendelse.

• SSO mot din IdP. OIDC: Entra ID, ADFS, Okta, Google Workspace, Authentik, Keycloak. Sesjonsbinding per organisasjon; autentiseringskilde per organisasjon med kobling fra grupper til team innenfor organisasjonen.
• Ekte step-up-MFA. acr_values sendes videre i authorize-forespørselen, og amr-claimen verifiseres ved hver callback. En innlogget sesjon beviser faktisk at MFA har skjedd – ikke en påstand begravd i første innlogging.
• SCIM 2.0-provisjonering. Send brukere og grupper fra Okta, Entra, Authentik eller en hvilken som helst kompatibel IdP. Autentisering med bearer-token per organisasjon, med rotasjon av to tokener.
• SSH-sertifikatutsteder. Bruk en SSH-CA hostet av fremforge per organisasjon, eller ta med din egen. Sertifikatforankrede nøkler bærer levetid, principals og tilbakekalling uavhengig av selve nøkkelmaterialet.
• Maskinvarebaserte nøkler. Bare WebAuthn for 2FA (ingen TOTP som reserveløsning). Kan kreves per organisasjon i regulerte bransjer.
• Tillatelsesliste for IP-adresser. Begrens innlogging og API-tilgang for organisasjonen din til bedriftens CIDR-områder. Håndheves i API-sperren, ikke bare i grensesnittet.
• Tillatelsesliste for e-postdomener. Medlemmer kan bare legge til adresser som @acme.com som samsvarer med mønstrene dine. Jokertegn støttes; OIDC-innlogging er unntatt (IdP-en går god for den).
• Maksimal levetid for PAT. Sett et tak for personlige tilgangstokener under plattformens standard på 90 dager. Kan settes per organisasjon.
• Krav om signerte commits. Blokker usignerte push allerede i pre-receive-sperren. Signering med SSH-nøkkel er innebygd i Forgejo; GPG støttes også.
• Branchbeskyttelse for hele organisasjonen. Ett sett med standardverdier for hvert repository – krev pull request, påkrevde godkjenninger og statussjekker, gjennomgang fra code owners – som tas i bruk på eksisterende repositoryer så snart du lagrer. Repositoryer med svekket beskyttelse flagges.

Sikkerhet i detalj

GitHub selger Secret Protection og Code Security som tillegg, 49 dollar i måneden for hver aktive committer i tillegg til prisen per bruker. Vi inkluderer det som betyr noe.

• Skanning etter secrets i pre-receive. Mønstre med høy treffsikkerhet avvises før commiten havner i den uforanderlige historikken.
• Push-beskyttelse. Oppdagede secrets avvises ved push; hashbasert system for overstyring med operatørgjennomgang på tvers av organisasjoner; valg av feilmodus per organisasjon (åpne ved feil for utviklingstempo, stenge ved feil for regulerte).
• Avhengighetsskanning på PR-er. Trivy + osv-scanner over avhengighetene i repositoryet; funn som PR-kommentarer; merge blokkeres ved den alvorlighetsgraden du velger.
• Nåbarhet. Hvert funn i avhengigheter og imager merkes som nåbart, ikke nåbart eller ukjent, med fil og linje eller funksjon som bevis, og listene sorteres etter det. Go: govulncheck på binærfilene i imagene dine. JavaScript og TypeScript: Jelly. Python, Java og Kotlin: på importnivå. Ingenting skjules eller avvises automatisk; å ikke blokkere på funn som ikke er nåbare, er noe du selv velger å slå på.
• Kjent utnyttet først. Sårbarheter som er oppført i ENISAs EU Vulnerability Database eller i CISAs KEV-katalog, får et merke, rangeres over andre funn med samme vurdering og alvorlighetsgrad, får aldri forlenget SLA og får pull requestene med rettelser først.
• Pull requests med sikkerhetsrettelser. Ett klikk åpner en pull request som oppgraderer en sårbar pakke (npm, Go, PyPI, Maven, Gradle, NuGet, Cargo) eller base-imaget til et image til den laveste versjonen som retter sårbarheten; med Rett alle gjør du det for et helt repository, eller automatisk for funnene som betyr mest. Én pull request per pakke; kjent utnyttet først, så nåbare, så etter alvorlighetsgrad. Som standard venter de på gjennomgang fra en person, og de merges når sjekkene går gjennom bare hvis du velger det (aldri over en hovedversjon, aldri under en utgivelsesfrys). Du trenger ikke slå på versjonsoppdateringer.
• Statisk analyse (SAST) på PR-er. OpenGrep kjører på hver pull request; funn som PR-kommentar + commit-status; slått på som standard.
• Lisensskanning. SPDX-basert tillatelsesliste per repository; funn på PR-en; policyen kan arves fra organisasjonens standard.
• Skanning etter skadevare ved pakkeopplasting. ClamAV foran hver opplasting av pakker og containerimager, også fra CI; avviste opplastinger havner aldri i objektlagringen.
• SBOM per bygg. Syft-SBOM lages for hvert image runneren bygger, signeres med cosign og legges ved utgivelsen.
• SLSA-proveniens. Hostede runnere lager signert proveniens; verifiser med slsa-verifier.
• Signerte commits. Signering med SSH-nøkkel som standard (Forgejo verifiserer innebygd); GPG støttes også. Ingen spredning til tredjepartslogger.
• Låsing av workflower. Ett klikk skriver om hver uses: actions/checkout@v4 i workflowene dine til den låste SHA-digesten.
• RBAC i tre nivåer. Grunnkontroller på plattformnivå, organisasjonens standardpolicy satt av eier/administrator og overstyring per repository som fritt kan stramme inn.
• Etterlevelse. Samsvarsrapport, kontrollbevis og en signert leverandørattestering i HTML/JSON på forespørsel, om revisjonskjeden og sikkerhetsnivået i organisasjonen din. Lages fra gjeldende tilstand og kan gis til en kunde, revisor eller tilsynsmyndighet uten skjermdeling.

Nøkkelfri commit-signering er tilgjengelig gjennom fremverks egen Sigstore-stakk på T Cloud Public eu-de (Fulcio + TSA; ingen spredning til Rekors transparenslogg). Endepunkter: sign.frem.sh og tsa.frem.sh. Ingen forespørsel går gjennom Linux Foundations offentlige Sigstore-instans. Kunder slår det på per organisasjon under Autentiseringspolicy → Krev OIDC-signerte commits. Se docs.frem.sh/get-started/keyless-commit-signing.

Dependency proxy

Offentlige pakker og containerimager hentes gjennom frem.sh, bufres for organisasjonen din og kontrolleres mot pakkepolicyen din. Slått på som standard for alle organisasjoner, og brukt av de hostede runnerne.

Kjent skadevare (OSV-varsler av typen MAL-*) avvises for alle organisasjoner, og en pakkepolicy i modusen Håndhev avviser det som bryter med den. Bufret innhold leveres fortsatt når et register hos upstream er nede. Hvis proxyen ikke kan nås når en runner-jobb starter, installerer og henter jobben i stedet fra de offentlige registrene. Docker Hub og Red Hats autentiserte registre bruker organisasjonens egen innlogging, som en eier legger inn. Se docs.frem.sh/develop/packages/dependency-proxy.

Lever og drift

Driftsflaten et SRE-team trenger for faktisk å kjøre dette i produksjon.

• Utrullingsmiljøer. Navngitte miljøer (prod / staging / preview) med secrets, branchbegrensninger og påkrevde godkjennere per miljø. Godkjenninger vises i sjekkene på PR-en og i operatørkonsollen.
• SIEM-videresending. Send (POST) revisjonshendelser fra fremforge til ditt Splunk/QRadar/Sentinel/Datadog-endepunkt. HMAC-signert nyttelast, oppbevaring per endepunkt, testhendelse fra administrasjonsgrensesnittet, slå av per endepunkt uten å måtte konfigurere på nytt.
• Frist for utbedring (SLA). Angi antall dager til utbedring per alvorlighetsgrad (standard 7 / 30 / 90 for kritisk / høy / middels). Funn som har passert fristen, vises som varsler i bjellen og i sikkerhetsoppsummeringen.
• Sikkerhetsoppsummering. Ukentlig (eller daglig) oppsummering på e-post av åpne funn + nyankomne kritiske CVE-er. Hver bruker velger selv å slå den på.
• Revisjonskjede. SHA-256-hashkjede over hver tilstandsendring, per organisasjon. Forankret i WORM-lagring hvert annet minutt og replikert mellom regioner.
• Konfigurerbar oppbevaring av revisjonsdata. Hendelsesdata oppbevares i 90 / 180 / 365 / 730 dager per organisasjon; den hashkjedede indeksen oppbevares for alltid. Oppfyller ISO 27001 A.8.15 og tilsvarende krav til registrering i DORA.
• Katastrofegjenoppretting. Gjenoppretting til et vilkårlig tidspunkt for RDS i 7 dager. Nattlige age-krypterte databasedumper til eu-nl. Kopi av revisjonskjedens WORM-anker i en annen region. Dokumentert kadens for gjenopprettingsøvelser.
• Manipulasjonsavslørende eksport med ett klikk. Signert tarball: repositoryer + LFS + Actions-logger + utdrag av revisjonsloggen + attesteringer + SHA-256-manifest. Hvis du noen gang vil gå: standardformater hele veien.

Offentlig API for AI-agenter

Hver administratorhandling er et dokumentert REST-endepunkt. AI-kodeagenter jobber mot den samme flaten som menneskene, med den samme autentiseringsmodellen.

frembench – agenten din jobber videre når du lukker laptopen

En Linux-maskin du leier per minutt og når fra nettleseren. Ta med din egen agent – Claude Code, Codex, opencode. 39 € per bench-bruker per måned, med 200 timer inkludert.

39 € per bench-bruker per måned inkluderer 200 timer med benk-tid. Utover det 0,20 € per time – og regningen kan aldri overstige 99 € per bench-bruker i en måned, uansett hvor hardt du kjører den. Timene deles i en pott på tvers av bench-brukerne, akkurat som CI-minutter. Alle priser · Dokumentasjon

Hvor det kjører

All automatisert behandling drives av selskaper uten amerikansk morselskap.

Se siden Tillit for den fullstendige listen over underleverandører, arvede sertifiseringer (T Cloud Public: ISO 27001, 27017, 27018, BSI C5 Type 2, TISAX), planen for egen sertifisering (ISO 27001 Stage 1-revisjon innen 18 måneder, sertifisering innen 24 måneder, i henhold til DPA §12.1) og databehandleravtalen for de avtalemessige vilkårene.

Hva det ikke er

Spørsmål