Eén plan. Per plaats. In EUR.

Wat er inbegrepen is

• Forgejo. Repos, issues, PR’s, pakketregister – Forgejo upstream met een kleine set MFA-patches (API-compatibel).
• Gratis leesaccounts. Voeg onbeperkt leden met de rol reader toe – clonen, code bekijken, issues en PR’s lezen – zonder kosten. Je betaalt alleen voor leden die kunnen pushen of beheren.
• Auditors. Elke organisatie heeft een ingebouwd alleen-lezen team Auditors dat ook de instellingen, leden en audittrail van de organisatie kan lezen – maar nooit iets kan wijzigen of exports kan downloaden. De eerste 5 auditors per organisatie zijn gratis; vanaf de zesde telt elke auditor als plaats. Zo werken auditors.
• Gehoste CI-runners. 1.000 min per plaats per maand, gedeeld. Gelijktijdige jobs: 2 per plaats gegarandeerd (minimaal 10, maximaal 60), en tot 60 als er capaciteit vrij is (fair use; meer op aanvraag). € 0,01 per minuut boven de pool. Elke job telt in hele minuten, naar boven afgerond (een job van 61 seconden telt als 2 minuten), voor de pool en voor meerverbruik. Eén wegwerp-VM per job.
• Soevereine buildketen. Gehoste runners installeren npm-, PyPI-, Go-, Maven- en NuGet-pakketten en pullen containerimages via de dependency-proxy van je organisatie, en halen GitHub Actions op uit Forgejo-pull-mirrors. Automatisch ingericht bij elke runnerjob.
• Dependency-proxy. Pull containerimages en npm-, PyPI-, Maven-, NuGet-, Go-, Cargo-, Helm- en RPM-pakketten uit de grote publieke registers via frem.sh, gecachet voor je organisatie. Standaard aan. Pulls van Docker Hub gebruiken de eigen Docker Hub-inloggegevens van je organisatie. Fair use volgens AUP §4A.
• Security. Pre-receive scan op secrets, push-bescherming, scannen van afhankelijkheden, licenties, images en malware, SAST, bereikbaarheidsoordelen (bereikbaar, niet bereikbaar, onbekend), markering van bekend misbruikte kwetsbaarheden (ENISA EUVD + CISA KEV), pull requests met beveiligingsfixes, ondertekende commits, SLSA-provenance, SBOM per build, workflows vastpinnen (PR die naar SHA-pins herschrijft).
• Compliance. Compliancerapport, controlebewijs en op aanvraag een ondertekende leveranciersattestatie over auditketen en beveiligingsstatus (HTML + JSON).
• Updates van afhankelijkheden (beveiligingsfixes en versie-updates). Versie-updates volgens schema, met een wachttijd van 3 dagen na een release, en pull requests met beveiligingsfixes met één klik of, als je dat kiest, automatisch voor de bevindingen die het zwaarst wegen – één per pakket, naar de laagste versie met de fix. Beveiligingsfixes werken zonder dat versie-updates aan staan; standaard wachten ze op review, mergen zodra de checks slagen schakel je zelf in.
• Opslag. 5 GB repo + 5 GB LFS + 5 GB pakketten per plaats, als drie afzonderlijke pools voor de hele organisatie. De cache van de dependency-proxy telt mee voor de pakketpool.
• Uitgaand pakketverkeer. Zachte limiet van 100 GB per plaats per maand (we laten het je weten); harde limiet van 300 GB per plaats per maand, daarna beperkt tot 1 Mbps tot de 1e van de maand. Geen kosten voor meerverbruik. Downloads door runners die fremforge host, tellen nooit mee voor een van beide limieten; self-hosted runners en andere clients wel.
• SSO met step-up MFA. OIDC-SSO (Entra ID, ADFS, Okta, Google Workspace) met echte verificatie van acr_values/amr-claims (niet alleen bij de eerste login), sessiebinding per organisatie.
• Enterprise-toegangsbeheer. SSH-CA, hardwarematige sleutels (alleen WebAuthn), IP-allowlist, allowlist voor e-maildomeinen, maximale PAT-levensduur per organisatie, afdwingen van ondertekende commits, standaard-branchbescherming voor de hele organisatie.
• SCIM 2.0-provisioning. Push gebruikers en groepen vanuit Okta, Entra, Authentik of elke compatibele IdP. Bearer-token-authenticatie per tenant met rotatie via twee tokens.
• OIDC-federatie. Kortlevende T Cloud Public-credentials bij elke job. Geen langlevende deploysleutels.
• Deployomgevingen. Secrets per omgeving, branchbeperkingen, verplichte reviewers als poort.
• SIEM-doorsturen. Audit-events met HMAC-handtekening via POST naar je Splunk/QRadar/Sentinel/Datadog-endpoint.
• Fix-by-SLA. Je stelt per ernst zelf het aantal dagen in waarbinnen een bevinding opgelost moet zijn; bevindingen over hun termijn verschijnen als meldingen onder de bel. Optioneel geef je bevindingen die niet bereikbaar zijn meer tijd; bekend misbruikte houden altijd de volledige SLA.
• Publieke REST-API. Dezelfde API die mensen gebruiken. PAT + OAuth 2.0 client credentials. Klaar voor AI-agents.
• AI-integraties (eigen sleutel). PR-review, uitleg bij Renovate, AI-fix voor geselecteerde SAST-bevindingen (standaard uit), /ai/complete om zelf aan te roepen. Neem je eigen sleutel mee – Anthropic, OpenAI, Mistral, Vertex Gemini of elke OpenAI-compatibele URL. Datapad & soevereiniteit →
• Publieke repos ondersteund. Standaard privé.
• Export met één klik, aantoonbaar ongewijzigd. Repos, LFS, Actions-logs, auditfragment, attestaties – gezipt met een SHA-256-manifest.
• Bewaring van het auditlog tot 2 jaar. Per tenant in te stellen (90 / 180 / 365 / 730 dagen). De hashgekoppelde index blijft voor altijd bewaard; de inhoud verloopt volgens je beleid. WORM-verankerd met een replica in een andere regio.
• Extra opslag. € 0,20 per GB per maand op de betreffende pool, achteraf gefactureerd.