EU‑soevereine CI/CD met Git inbegrepen.

Wat je krijgt

Alles in één plan van € 30 per plaats. Geen “Advanced Security”-add-on, geen verrassingen in de Actions-afrekening, geen Marketplace-valkuil.

Enterprise-toegangsbeheer

De enterprisecontroles waar gereguleerde teams om vragen, gekoppeld aan een echte beleidsbundel per organisatie. Wijzig je er een, dan wordt er een audit-event vastgelegd.

• SSO naar je IdP. OIDC: Entra ID, ADFS, Okta, Google Workspace, Authentik, Keycloak. Sessiebinding per organisatie; authenticatiebron per tenant met koppeling van groepen aan teams binnen de tenant.
• Echte step-up MFA. acr_values wordt doorgegeven in het authorize-verzoek, plus verificatie van de amr-claim bij elke callback. Een ingelogde sessie bewijst echt dat MFA heeft plaatsgevonden – geen bewering die bij het eerste inloggen is weggestopt.
• SCIM 2.0-provisioning. Push gebruikers en groepen vanuit Okta, Entra, Authentik of elke compatibele IdP. Bearer-token-authenticatie per tenant met rotatie via twee tokens.
• SSH-certificaatautoriteit. Zet per organisatie een SSH-CA op die fremforge host, of neem je eigen mee. Op certificaten gebaseerde sleutels dragen geldigheidsduur, principals en intrekking, los van het sleutelmateriaal.
• Hardwarematige sleutels. Alleen WebAuthn voor 2FA (geen TOTP als terugvaloptie). Per organisatie af te dwingen voor gereguleerde tenants.
• IP-allowlist. Beperk inloggen en API-toegang van je tenant tot de CIDR’s van je bedrijf. Afgedwongen in de API-laag, niet alleen in de UI.
• Allowlist voor e-maildomeinen. Leden kunnen alleen adressen als @acme.com toevoegen die aan je patronen voldoen. Wildcards ondersteund; inloggen via OIDC uitgezonderd (de IdP staat ervoor in).
• Maximale levensduur van PAT’s. Begrens de geldigheid van persoonlijke toegangstokens onder de platformstandaard van 90 dagen. Per organisatie aan te passen.
• Ondertekende commits verplicht. Blokkeer niet-ondertekende pushes bij de pre-receive-controle. Ondertekenen met SSH-sleutels zit in Forgejo zelf; GPG wordt ook ondersteund.
• Branchbescherming voor de hele organisatie. Eén set standaarden voor elke repository – pull request verplicht, verplichte goedkeuringen en status checks, review door code owners – toegepast op bestaande repositories zodra je opslaat. Repositories met zwakkere regels worden gemarkeerd.

Beveiliging in detail

GitHub verkoopt Secret Protection en Code Security als add-ons, $ 49 per maand voor elke actieve committer bovenop de prijs per plaats. Bij ons zit het wezenlijke deel gewoon in de prijs.

• Pre-receive scan op secrets. Patronen met hoge betrouwbaarheid worden geweigerd voordat de commit in de onveranderlijke geschiedenis komt.
• Push-bescherming. Gedetecteerde secrets worden bij de push geweigerd; op hashes gebaseerd uitzonderingssysteem met review door de operator over tenants heen; per tenant in te stellen gedrag bij storingen (fail-open voor ontwikkelsnelheid, fail-closed voor gereguleerde omgevingen).
• Scannen van afhankelijkheden op PR’s. Trivy + osv-scanner over de afhankelijkheden van de repository; bevindingen als PR-commentaar; merge geblokkeerd vanaf de ernst die je kiest.
• Bereikbaarheid. Elke bevinding in afhankelijkheden en images wordt gemarkeerd als bereikbaar, niet bereikbaar of onbekend, met het bestand en de regel of functie als bewijs, en lijsten worden daarop gerangschikt. Go: govulncheck op de binaries in je images. JavaScript en TypeScript: Jelly. Python, Java en Kotlin: op importniveau. Niets wordt verborgen of automatisch afgewezen; niet blokkeren op niet-bereikbare bevindingen is een keuze die je zelf inschakelt.
• Bekend misbruikt eerst. Kwetsbaarheden die in de EU Vulnerability Database van ENISA of de KEV-catalogus van CISA staan, krijgen een badge, worden boven andere bevindingen met hetzelfde oordeel en dezelfde ernst gerangschikt, krijgen nooit een verlengde SLA en krijgen als eerste hun fix-pull-requests.
• Pull requests met beveiligingsfixes. Eén klik opent een pull request die een kwetsbaar pakket bijwerkt naar de laagste versie met de fix (npm, Go, PyPI, Maven, Gradle, NuGet, Cargo) of het basisimage van een image bijwerkt; herstel alles in een repository in één keer, of automatisch voor de bevindingen die het zwaarst wegen. Eén pull request per pakket; bekend misbruikt eerst, dan bereikbaar, dan op ernst. Standaard wachten ze op review door een mens; alleen als je dat inschakelt, worden ze gemerged zodra de checks slagen (nooit over een majorversie heen, nooit tijdens een releasefreeze). Versie-updates hoeven niet aan te staan.
• Statische analyse (SAST) op PR’s. OpenGrep draait op elke pull request; bevindingen als PR-commentaar + commitstatus; standaard aan.
• Licentiescan. Allowlist op basis van SPDX per repository; bevindingen op de PR; het beleid kan de standaard van de organisatie overnemen.
• Malwarescan bij pakketuploads. ClamAV vóór elke upload van pakketten en containerimages, ook vanuit CI; geweigerde uploads komen nooit in de objectopslag.
• SBOM per build. Syft-SBOM bij elk image dat een runner bouwt, ondertekend met cosign en aan de release gekoppeld.
• SLSA-provenance. Gehoste runners leveren ondertekende provenance; verifieer met slsa-verifier.
• Ondertekende commits. Ondertekenen met SSH-sleutels als standaard (Forgejo verifieert dat zelf); GPG wordt ook ondersteund. Geen verspreiding naar logs van derden.
• Workflows vastpinnen. Eén klik herschrijft elke uses: actions/checkout@v4 in je workflows naar de vastgepinde SHA-digest.
• RBAC op drie niveaus. Basiscontroles van het platform, standaardbeleid van de organisatie ingesteld door Eigenaar/Admin, en uitzonderingen per repository die vrij kunnen aanscherpen.
• Compliance. Compliancerapport, controlebewijs en op aanvraag een ondertekende leveranciersattestatie in HTML/JSON over de auditketen en beveiligingsstatus van je tenant. Gegenereerd uit de actuele stand; geef het aan een klant, auditor of toezichthouder zonder je scherm te delen.

Sleutelloos ondertekenen van commits kan via de eigen Sigstore-stack van fremverk op T Cloud Public eu-de (Fulcio + TSA; niets wordt doorgestuurd naar de Rekor-transparantielog). Endpoints: sign.frem.sh en tsa.frem.sh. Geen enkel verzoek loopt via de publieke Sigstore-instantie van de Linux Foundation. Klanten schakelen het per tenant in onder Authenticatiebeleid → OIDC-ondertekende commits vereisen op beveiligde branches. Zie docs.frem.sh/get-started/keyless-commit-signing.

Dependency proxy

Publieke pakketten en containerimages komen via frem.sh, gecachet voor je organisatie en gecontroleerd tegen je pakketbeleid. Standaard aan voor elke organisatie en gebruikt door de gehoste runners.

Bekende malware (OSV-advisories MAL-*) wordt voor elke organisatie geweigerd, en een pakketbeleid op Afdwingen weigert wat het beleid schendt. Gecachete inhoud wordt verder geleverd als een upstream-register plat ligt. Als de proxy niet bereikbaar is wanneer een runnerjob start, installeert en pullt de job in plaats daarvan uit de publieke registers. Docker Hub en de geauthenticeerde registers van Red Hat gebruiken de eigen inloggegevens van je organisatie, toegevoegd door een eigenaar. Zie docs.frem.sh/develop/packages/dependency-proxy.

Uitrollen en beheren

Wat een SRE-team nodig heeft om dit echt in productie te draaien.

• Deployomgevingen. Benoemde omgevingen (prod / staging / preview) met secrets, branchbeperkingen en verplichte reviewers per omgeving. Goedkeuringen zichtbaar in de PR-checks en de operatorconsole.
• SIEM-doorsturen. Stuur audit-events van fremforge via POST naar je Splunk/QRadar/Sentinel/Datadog-endpoint. Met HMAC ondertekende payload, bewaring per endpoint, testevent vanuit de beheer-UI, per endpoint uit te schakelen zonder opnieuw te onboarden.
• Fix-by-SLA. Stel per ernst in binnen hoeveel dagen een bevinding opgelost moet zijn (standaard 7 / 30 / 90 voor kritiek / hoog / gemiddeld). Bevindingen die over hun termijn zijn, verschijnen als meldingen onder de bel en in de beveiligingssamenvatting.
• Beveiligingssamenvatting. Wekelijkse (of dagelijkse) e-mail met open bevindingen + nieuw binnengekomen kritieke CVE’s. Per gebruiker in te schakelen.
• Auditketen. Per tenant een SHA-256-hashketen van elke statuswijziging. Elke 2 minuten verankerd in WORM-opslag en gerepliceerd naar een andere regio.
• Auditbewaring, instelbaar. Bewaartermijn voor de inhoud 90 / 180 / 365 / 730 dagen per tenant; de hashgekoppelde index blijft voor altijd bewaard. Voldoet aan ISO 27001 A.8.15 en de vergelijkbare registratie-eisen van DORA.
• Disaster recovery. Point-in-time recovery van RDS voor 7 dagen. Elke nacht databasedumps naar eu-nl, versleuteld met age. Replica van het WORM-auditanker in een andere regio. Gedocumenteerde frequentie voor hersteloefeningen.
• Export met één klik, aantoonbaar ongewijzigd. Ondertekende tarball: repos + LFS + Actions-logs + auditfragment + attestaties + SHA-256-manifest. Wil je ooit vertrekken, dan is alles in standaardformaten.

Publieke API voor AI-agents

Elke beheeractie is een gedocumenteerd REST-endpoint. AI-codeeragents gebruiken dezelfde API als mensen, met hetzelfde authenticatiemodel.

frembench – je agent werkt door als je laptop dichtgaat

Een Linux-machine die je per minuut huurt en vanuit de browser gebruikt. Neem je eigen agent mee – Claude Code, Codex, opencode. € 39 per plaats per maand met 200 uur inbegrepen.

€ 39 per plaats per maand, inclusief 200 uur bench-draaitijd. Daarboven € 0,20 per uur – en je rekening komt in een maand nooit boven € 99 per plaats, hoe intensief je de bench ook gebruikt. Uren worden gedeeld over plaatsen, net als CI-minuten. Alle prijzen · Documentatie

Waar het draait

Elke geautomatiseerde verwerking wordt uitgevoerd door partijen zonder Amerikaanse moedermaatschappij.

Zie Vertrouwen voor de volledige lijst van subverwerkers, overgenomen certificeringen (T Cloud Public: ISO 27001, 27017, 27018, BSI C5 Type 2, TISAX), de roadmap voor eigen certificering (ISO 27001 Stage 1-audit binnen 18 maanden, certificering binnen 24 maanden, volgens DPA §12.1), en de verwerkersovereenkomst (DPA) voor de contractuele afspraken.

Wat het niet is

Vragen