EU‑suverän CI/CD med Git inkluderat.

Det här får du

Allt i en plan för 30 € per plats. Inget ”Advanced Security”-tillägg, inga överraskande Actions-debiteringar, ingen Marketplace-fälla.

Åtkomstkontroll på enterprise-nivå

De kontroller som reglerade team efterfrågar, kopplade till en riktig policyuppsättning per organisation. Ändra någon av dem så skapas en granskningshändelse.

• SSO mot din IdP. OIDC: Entra ID, ADFS, Okta, Google Workspace, Authentik, Keycloak. Sessioner bundna per organisation; inloggningskälla per tenant med mappning från grupper till team inom tenanten.
• Riktig step-up-MFA. acr_values skickas vidare i authorize-begäran, och amr-claimet verifieras vid varje callback. En inloggad session bevisar faktiskt att MFA har skett – inte ett påstående begravt i första inloggningen.
• SCIM 2.0-provisionering. Skicka användare och grupper från Okta, Entra, Authentik eller valfri kompatibel IdP. Bearer-token-autentisering per tenant med rotation av två tokens.
• SSH-certifikatutfärdare. Använd en SSH-CA hostad av fremforge per organisation, eller ta med din egen. Certifikatförankrade nycklar bär livslängd, principals och återkallelse oberoende av själva nyckelmaterialet.
• Hårdvarubaserade nycklar. Enbart WebAuthn för 2FA (ingen TOTP som reserv). Kan krävas per organisation för tenants i reglerade branscher.
• IP-tillåtelselista. Begränsa inloggning och API-åtkomst för din organisation till företagets CIDR-intervall. Upprätthålls i API-grinden, inte bara i gränssnittet.
• Tillåtelselista för e-postdomäner. Medlemmar kan bara lägga till adresser av typen @acme.com som matchar dina mönster. Jokertecken stöds; OIDC-inloggning är undantagen (IdP:n intygar).
• Maximal livslängd för PAT. Sätt ett tak för personliga åtkomsttokens under plattformens standard på 90 dagar. Kan sättas per organisation.
• Krav på signerade commits. Blockera osignerade pushar redan i pre-receive-hooken. SSH-nyckelsignering är inbyggd i Forgejo; GPG stöds också.
• Branch-skydd för hela organisationen. En uppsättning standardvärden för varje repo – kräv pull request, obligatoriska godkännanden och statuskontroller, granskning från code owners – som tillämpas på befintliga repon så snart du sparar. Repon med försvagat skydd flaggas.

Säkerhet i detalj

GitHub säljer Secret Protection och Code Security som tillägg, 49 dollar i månaden för varje aktiv committer utöver platsen. Vi inkluderar det som spelar roll.

• Hemlighetsskanning i pre-receive. Mönster med hög tillförlitlighet avvisas innan commiten hamnar i den oföränderliga historiken.
• Push-skydd. Upptäckta secrets nekas vid push; hashbaserat system för undantag med operatörsgranskning över alla tenants; val av felläge per tenant (fail-open för utvecklingstakt, fail-closed för reglerade).
• Beroendeskanning på PR:er. Trivy + osv-scanner över repots beroenden; fynd som PR-kommentarer; merge blockeras vid den allvarlighetsgrad du väljer.
• Nåbarhet. Varje fynd i beroenden och images markeras som nåbart, ej nåbart eller okänt, med fil och rad eller funktion som underlag, och listorna sorteras efter det. Go: govulncheck på binärerna i dina images. JavaScript och TypeScript: Jelly. Python, Java och Kotlin: på importnivå. Inget döljs eller avfärdas automatiskt; att inte blockera på ej nåbara fynd är något du själv väljer att slå på.
• Kända som utnyttjade först. Sårbarheter som listas i ENISA:s EU Vulnerability Database eller CISA:s KEV-katalog får ett märke, rangordnas över andra fynd med samma bedömning och allvarlighetsgrad, får aldrig en förlängd SLA och får sina fix-pull requests först.
• Pull requests med säkerhetsfixar. Med ett klick öppnas en pull request som höjer ett sårbart paket (npm, Go, PyPI, Maven, Gradle, NuGet, Cargo) eller en images basimage till den lägsta version som åtgärdar sårbarheten; med Åtgärda alla gör du det för ett helt repo, eller automatiskt för de fynd som betyder mest. En pull request per paket; kända som utnyttjade först, sedan nåbara, sedan efter allvarlighetsgrad. Som standard väntar de på granskning av en person, och de mergas när kontrollerna går igenom bara om du väljer det (aldrig över en huvudversion, aldrig under en releasefrysning). Du behöver inte slå på versionsuppdateringar.
• Statisk analys (SAST) på PR:er. OpenGrep körs på varje pull request; fynd som PR-kommentar + commit-status; påslaget som standard.
• Licensskanning. SPDX-baserad tillåtelselista per repo; fynd på PR:en; policyn kan ärvas från organisationens standard.
• Skanning efter skadlig kod vid paketuppladdning. ClamAV framför varje uppladdning av paket och container-images, även från CI; avvisade uppladdningar hamnar aldrig i objektlagringen.
• SBOM per build. Syft-SBOM skapas för varje image som runnern bygger, signeras med cosign och bifogas releasen.
• SLSA-provenance. Hostade runners skapar signerad provenance; verifiera med slsa-verifier.
• Signerade commits. SSH-nyckelsignering som standard (Forgejo verifierar inbyggt); GPG stöds också. Ingen spridning till tredjepartsloggar.
• Låsning av workflows. Ett klick skriver om varje uses: actions/checkout@v4 i dina workflows till den låsta SHA-digesten.
• RBAC i tre nivåer. Grundkontroller på plattformsnivå, organisationens standardpolicy satt av ägare/administratör och undantag per repo som fritt kan skärpa reglerna.
• Efterlevnad. Efterlevnadsrapport, kontrollbevis och en signerad leverantörsattestering i HTML/JSON på begäran, om din tenants granskningskedja och säkerhetsläge. Skapas från aktuellt läge och kan lämnas till en kund, revisor eller tillsynsmyndighet utan skärmdelning.

Nyckellös commit-signering finns via fremverks egen Sigstore-stack på T Cloud Public eu-de (Fulcio + TSA; ingen spridning till Rekors transparenslogg). Endpoints: sign.frem.sh och tsa.frem.sh. Ingen begäran passerar Linux Foundations publika Sigstore-instans. Kunder slår på det per tenant under Autentiseringspolicy → Kräv OIDC-signerade commits. Se docs.frem.sh/get-started/keyless-commit-signing.

Dependency proxy

Publika paket och container-images hämtas via frem.sh, cachas för din organisation och kontrolleras mot din paketpolicy. Påslaget som standard för alla organisationer och används av de hostade runnerna.

Känd skadlig kod (OSV-advisories av typen MAL-*) nekas för alla organisationer, och en paketpolicy i läget Tillämpa nekar det som bryter mot den. Cachat innehåll fortsätter att levereras när ett register uppströms ligger nere. Om proxyn inte går att nå när ett runner-jobb startar installerar och hämtar jobbet i stället från de publika registren. Docker Hub och Red Hats autentiserade register använder din organisations egen inloggning, som en ägare lägger till. Se docs.frem.sh/develop/packages/dependency-proxy.

Leverans och drift

Det driftgränssnitt ett SRE-team behöver för att faktiskt köra det här i produktion.

• Driftsättningsmiljöer. Namngivna miljöer (prod / staging / preview) med secrets, branch-begränsningar och krav på granskare per miljö. Godkännanden syns i PR:ens kontroller och i operatörskonsolen.
• SIEM-vidarebefordran. Skicka (POST) fremforges granskningshändelser till din Splunk/QRadar/Sentinel/Datadog-endpoint. HMAC-signerad nyttolast, lagring per endpoint, testhändelse från administrationsgränssnittet, stäng av per endpoint utan att behöva konfigurera om.
• Åtgärdsfrist (SLA). Ange antal dagar för åtgärd per allvarlighetsgrad (standard 7 / 30 / 90 för kritisk / hög / medel). Fynd som passerat fristen visas som aviseringar och i säkerhetssammanfattningen.
• Säkerhetssammanfattning. Veckovis (eller daglig) sammanfattning via e-post av öppna fynd + nyinkomna kritiska CVE:er. Varje användare väljer själv att slå på den.
• Granskningskedja. SHA-256-hashlänkad kedja över varje tillståndsändring, per tenant. Förankras i WORM-lagring varannan minut och replikeras mellan regioner.
• Konfigurerbar lagring av granskningsdata. Händelsedata sparas i 90 / 180 / 365 / 730 dagar per tenant; det hashlänkade indexet sparas för alltid. Uppfyller ISO 27001 A.8.15 och motsvarande krav på registerföring i DORA.
• Katastrofåterställning. Point-in-time-återställning för RDS i 7 dagar. Nattliga age-krypterade databasdumpar till eu-nl. Kopia av granskningskedjans WORM-ankare i en annan region. Dokumenterat schema för återställningsövningar.
• Export med ett klick som avslöjar manipulering. Signerad tarball: repon + LFS + Actions-loggar + utdrag ur granskningsloggen + attestationer + SHA-256-manifest. Om du någon gång vill lämna: standardformat rakt igenom.

Publikt API för AI-agenter

Varje administratörsåtgärd är en dokumenterad REST-endpoint. AI-kodagenter arbetar mot samma yta som människorna, med samma autentiseringsmodell.

frembench – din agent fortsätter jobba när du fäller ihop laptopen

En Linux-maskin som du hyr per minut och når från webbläsaren. Ta med din egen agent – Claude Code, Codex, opencode. 39 € per plats och månad, 200 timmar ingår.

39 € per plats och månad inkluderar 200 timmars körtid på benchen. Därutöver 0,20 € per timme – och din faktura kan aldrig överstiga 99 € per plats på en månad, hur hårt du än kör den. Timmarna delas mellan platserna, precis som CI-minuter. Alla priser · Dokumentation

Var det körs

All automatiserad behandling drivs av bolag utan amerikanskt moderbolag.

Se sidan Förtroende för den fullständiga listan över underbiträden, ärvda certifieringar (T Cloud Public: ISO 27001, 27017, 27018, BSI C5 Type 2, TISAX), planen för egen certifiering (ISO 27001 Stage 1-revision inom 18 månader, certifiering inom 24 månader, enligt DPA §12.1) och personuppgiftsbiträdesavtalet för den avtalsmässiga hållningen.

Vad det inte är

Frågor