Jämför kodsäkerhet
Kodsäkerhet som ingår, inte som köps till.
Alla skannrar ingår i 30 € per användare.GitHub Enterprise med båda säkerhetstilläggen: $70 i månaden för varje medlem som pushar kod.
fremforge skannar hemligheter, kod, beroenden, container-images och infrastruktur som kod på varje pull request, rangordnar fynden efter om de utnyttjas och om din kod når dem, och fixar dem med pull requests, även på dina release-brancher. Det körs i Tyskland på T Cloud Public. Den här sidan jämför det med GitHub Advanced Security, GitLab Ultimate och GitHub med Snyk och SonarQube Cloud, och säger var de ligger före.
Vad en utvecklare kostar i månaden
Listpriser från varje leverantörs egen prissida, lästa den 3 november 2026. Där en leverantör inte publicerar något pris står det ”på begäran”.
fremforge
30 € per användare, eller 25,50 € vid årsfakturering. Alla skannrar, all prioritering och alla fixar på den här sidan ingår. Skanning omfattas av skälig användning utan överdebitering: över kvoten väntar en skanning till natten, den nekas aldrig. Priser
GitHub + GHAS
$70 för en medlem som pushar: Enterprise $21 per användare (priser), plus Secret Protection $19 och Code Security $30 per aktiv committer (säkerhetsplaner), alltså någon som har pushat de senaste 90 dagarna (fakturering). AI Scan och agentisk autofix drar AI-krediter utöver det.
GitLab Ultimate
På begäran. GitLabs sida säger ”Get custom pricing” för Ultimate; Premium kostar $29 per användare vid årsfakturering (priser). AI-baserad åtgärd av sårbarheter kräver dessutom GitLab Duo Enterprise (dokumentation).
GitHub + Snyk + SonarQube Cloud
$21, plus två mätare. Snyk Team kostar $25 i månaden för upp till 10 utvecklare; Enterprise är krediter à $1, med 1,0 kredit för Code och Open Source och 0,33 för IaC per aktiv bidragsgivare och dag (Snyks planer). SonarQube Cloud prissätts efter antal kodrader, från $34 i månaden för 100 000 rader; Enterprise och Advanced Security på begäran (Sonars priser).
Priser i USD anges så som de publiceras; vi har inte räknat om dem. Snyks kreditsatser gäller per dag, så en månad beror på månadens längd och på Snyks villkor för att köpa krediter.
Översikten
Konkurrenterna: vad deras egna sidor säger, lästa den 3 och 4 november 2026. fremforge: vad som ingår för varje användare, och vilken brytare en ägare slår på.
| Funktion | GitHub + GHAS | GitLab Ultimate | GitHub + Snyk + SonarQube Cloud | fremforge |
|---|---|---|---|---|
| Hemligheter nekas vid push | JaMed tillägget Secret Protection (dokumentation) | JaSecret push protection, Ultimate (dokumentation) | DelvisLägg till GitGuardian: på github.com körs dess hook på varje utvecklares dator (dokumentation); dess serverhook är för GitHub Enterprise Server (dokumentation) | JaVid varje push, kan inte stängas av; även dina egna mönster (dokumentation) |
| Lösenord utan tokenformat | JaAI-upptäckta hemligheter i aviseringar; vid push i förhandsversion, på AI-krediter (planer) | NejIngen AI-detektering i dokumentationen för hemlighetsdetektering; Duo kan flagga troliga falska positiva (dokumentation) | DelvisLägg till GitGuardian: en generisk lösenordsdetektor för variabler som heter som ett lösenord (dokumentation) | JaAI-assisterad, i kod och konfigurationsfiler, med en angiven konfidens; rapporteras i pull requestens check och fäller den i varje organisation från den 17 november 2026; rapporteras också, utan att blockera, i den veckovisa genomgången av historiken (dokumentation) |
| Egna mönster för hemligheter | JaUpp till 500 per organisation och 100 per repository, med en AI-generator för reguljära uttryck, i Secret Protection (dokumentation, AI) | DelvisEgna regeluppsättningar i pipelinens secret detection, Ultimate; push protection tar bara undantag (dokumentation, push) | DelvisLägg till GitGuardian: egna detektorer på Enterprise, fem förfrågningar åt gången, kontrollerade av dess ingenjörer (dokumentation) | Ja500 per organisation och 100 per repository, tillämpade vid push; Draft with AI använder din egen modellnyckel (dokumentation) |
| Är hemligheten fortfarande giltig? | JaGiltighetskontroller med partner (dokumentation) | JaGiltighetskontroller, Ultimate (dokumentation) | JaMed GitGuardian (dokumentation) | Delvisfrem.sh-tokens påslagna som standard och kontrolleras live; 43 andra utfärdare, var och en ett tillval (dokumentation) |
| Era inloggningsuppgifter läckta i publik kod | JaPublic monitoring, bara Enterprise, i förhandsversion (ändringslogg) | NejInget motsvarande i dokumentationen för hemlighetsdetektering | JaGitGuardian Public Monitoring, pris på begäran (priser) | Delvisfrem.sh:s egna inloggningsuppgifter i publik kod på github.com, återkallas som standard (dokumentation) |
| Kodskanning (SAST) | JaCodeQL-frågor mot en databas av din kod (dokumentation) | JaAdvanced SAST, taint-analys över filer, Ultimate (dokumentation) | JaSnyk Code (dokumentation) och SonarQube Clouds taint-analys (dokumentation) | DelvisVarje pull request, taint-regler inom en fil; taint över filer varje natt på standardbranchen, rullas ut från den 17 november 2026 (dokumentation) |
| Injektion i CI-workflowfiler | JaCodeQL-frågor för Actions-workflows: kodinjektion, utcheckning av opålitlig kod, artifact poisoning (dokumentation, frågor) | NejDess SAST-språk omfattar inga CI-konfigurationsfiler (dokumentation) | JaSonarQube Cloud analyserar GitHub Actions-filer, skriptinjektion inräknad (dokumentation, blogg) | DelvisSex regler på varje pull request: skriptinjektion, utcheckning av opålitlig kod, artifact poisoning, write-all; listas, blockerar inte (dokumentation) |
| AI-fixar och AI-granskning | JaAgentisk autofix, upp till 25 aviseringar per pull request, på AI-krediter, modeller som GitHub väljer (ändringslogg, hosting) | DelvisÅtgärd av sårbarheter kräver Ultimate och Duo Enterprise (dokumentation) | DelvisSnyk Agent Fix, i IDE:n; modellen namnges inte (dokumentation) | JaVarje SAST- och taint-regel i fem språk, upp till 25 i en utkast-pull request, och AI-granskning av pull requests; bara med din egen modellnyckel (dokumentation) |
| Pull requests som fixar beroenden | DelvisDependabots säkerhetsuppdateringar ”always use the default branch” (dokumentation) | DelvisAuto-remediation, Ultimate (dokumentation) | JaSnyk öppnar pull requests med fixar, manuellt eller automatiskt (dokumentation) | Ja12 ekosystem och CI-actions, transitiva pinningar och in i skyddade release-brancher (dokumentation) |
| Nåbarhet | DelvisBara Enterprise, i förhandsversion (planer) | DelvisPå paketnivå, för Python, JS/TS och Java, alla i beta, Ultimate (dokumentation) | JaSnyk: Java, JavaScript, TypeScript och Python; C# i tidig åtkomst (dokumentation) | JaFunktionsnivå för npm och Go, importnivå för Python och Java, med underlaget (dokumentation) |
| Kända utnyttjade först | DelvisEtt EPSS-filter på Dependabot-aviseringar (dokumentation) | JaKEV och EPSS på varje sårbarhet (dokumentation) | DelvisSnyks riskpoäng väger in EPSS och exploit-mognad, i tidig åtkomst (dokumentation) | JaEU:s EUVD och CISA KEV rangordnas, blockeras och fixas först, plus EPSS; en berörd version nekas vid nedladdning (dokumentation, proxy) |
| Container-images | DelvisVia tredjepartsskannrar som laddar upp resultat (dokumentation) | JaContainerskanning (dokumentation) | JaSnyk Container (dokumentation) | JaVarje image i registret, proxade images och de images som dina Helm-charts driftsätter (dokumentation) |
| Infrastruktur som kod | NejCodeQL listar inget IaC-språk (dokumentation) | JaIaC-skanning; den ”does not support adding or replacing rules” (dokumentation) | JaSnyk IaC (dokumentation) | JaDina egna Rego-kontroller, och fynd per CIS-benchmark och NIS2-område (dokumentation) |
| Skadliga paket nekas vid nedladdning | DelvisPaketbrandvägg, bara npm, i offentlig förhandsversion (ändringslogg) | DelvisDependency Firewall, i tidig åtkomst (blogg) | DelvisLägg till Socket: blockering vid installation, $25 eller $50 per utvecklare (priser) | JaVarje organisation, nio pakettyper och Terraform-moduler (dokumentation) |
| Licenspolicy | JaAllmänt tillgänglig, Enterprise Cloud med Code Security (ändringslogg) | JaLicense approval policies (dokumentation) | DelvisSonarQube Advanced Security, en separat prenumeration (priser) | JaEn policy för både pull requests och nedladdningar (dokumentation) |
| CI-hemligheter per jobb, med logg över läsningar | DelvisHemligheter på organisations-, repo- och miljönivå; ingen logg över läsningar beskrivs (dokumentation) | JaSecrets Manager, Premium och Ultimate (dokumentation) | DelvisSom GitHub: tilläggen ändrar inte CI | JaAvgränsade till workflow, jobb, branch och händelse; en post i granskningsloggen per jobb (dokumentation) |
| Jobbtoken begränsad till vad workflowet deklarerar | JaNyckeln permissions, per workflow eller jobb (dokumentation) | DelvisFinkorniga behörigheter för jobbtoken, slås på per projekt (dokumentation) | JaSom GitHub | DelvisRullas ut: blocket permissions: upprätthålls i varje organisation från den 17 november 2026 (dokumentation) |
| Var det körs | DelvisEn EU-region på GHE.com med datalagring i Enterprise Cloud (dokumentation) | DelvisDedicated: en egen instans för en kund, i den AWS-region du väljer (dokumentation) | DelvisSnyks region i Frankfurt kräver Enterprise (dokumentation); SonarQube Cloud har en EU-region (dokumentation) | JaTyskland, på T Cloud Public, med sårbarhetsdatabaser offline (dokumentation) |
”Tillägg” är GitHub Enterprise med Snyk (Open Source, Code, Container och IaC) och SonarQube Cloud. Där en rad kräver ett tredje verktyg anges det i cellen.
Varför just de här tilläggen
Ett team som behåller GitHub men inte köper GitHubs säkerhetstillägg köper samma täckning från specialister. Det här är de som täcker varje del.
Snyk
En leverantör för beroenden, kod, container-images och IaC, med pull requests med fixar och nåbarhet. Den bredaste enskilda ersättaren för GitHub Code Security. Snyks planer
SonarQube Cloud
Finns ofta redan som kvalitetsgrind för koden och lägger till taint-analys och hemligheter på pull requests. Prissätts efter kodrader, inte per utvecklare. Sonars priser
GitGuardian, Semgrep eller Socket
Läggs till för en lucka var: GitGuardian för hemligheter och publika läckor (priser), Semgrep för SAST över filer för $30 per bidragsgivare för Code (priser), Socket för att blockera skadliga paket vid installation (priser).
Suverän från grunden
Din kod skannas där den lagras, av ett europeiskt bolag, och inget om den går till en amerikansk tjänst om du inte själv väljer en.
I Tyskland, bredvid din kod
Varje skanner körs på T Cloud Public i Tyskland, på samma plattform som dina repon. Funktioner i korthet
Sårbarhetsdatabaser offline
Beroenden matchas mot kopior som finns inne i fremforge; din paketlista skickas aldrig till en extern tjänst. Så fungerar matchningen
AI bara med er nyckel
AI-fixar och AI-granskning använder er organisations egen modellleverantör, under ert avtal. fremforge har ingen egen AI-nyckel. AI-integrationer
Ett personuppgiftsbiträde, inte fyra
En leverantör och ett personuppgiftsbiträdesavtal i stället för en forge plus tre skanningsleverantörer, var och en med sitt eget val av region.
Rangordnat efter vad som utnyttjas och vad din kod anropar
De fynd som spelar roll, först.
EU:s och USA:s listor över utnyttjade sårbarheter
Fynd som finns i EU Vulnerability Databases lista över utnyttjade sårbarheter eller i CISA:s KEV-katalog får ett märke, blockerar alltid och fixas först. EPSS rangordnar resten. Kända utnyttjade
Nåbarhet med underlag
Nåbart, ej nåbart eller okänt, med fil och rad: funktionsnivå för npm och Go, importnivå för Python och Java. Nåbarhet
Ett åtgärdsdatum per allvarlighetsgrad
Antal dagar per allvarlighetsgrad, aviseringar när tiden överskrids och en veckosammanfattning. Kända utnyttjade fynd får aldrig mer tid. SLA för åtgärd
Fixar där du behöver dem
Pull requests, granskade av en människa, aldrig mergade av sig själva.
In i dina release-brancher
Varje skyddad release-branch skannas, och dess fixar går till just den branchen, inte bara till main. Release-brancher
Transitiva pinningar
Ett sårbart paket djupt ner i trädet pinnas i npm, pnpm, Yarn 1, uv, Poetry, Gradle, Maven och Go. Transitiva fixar
Basimages och image-taggar
En basimage flyttas till sin fixade version, och en image-tagg från uppströms till en nyare. Image-fixar
Hemligheter och IaC, utan AI
En hårdkodad inloggningsuppgift i Go, Python eller JavaScript blir en läsning från miljön, och sju vanliga felkonfigurationer i IaC får sitt säkra värde. Rotera hemligheten först. Regelbaserade fixar
AI-fixar, med din modell
För varje SAST- och taint-regel i Go, Python, JavaScript/TypeScript, Java och C#, när en ägare väljer det. Upp till 25 fynd i en utkast-pull request, omskannad innan den öppnas. AI-fix
AI-granskning av pull requests
Tillval per repo: din modell läser ändringen och letar efter säkerhetsproblem och lämnar kommentarer, inget mer. AI-säkerhetsgranskning
Leveranskedjan, redan vid dörren
Varje organisations paket går genom organisationens egen beroendeproxy, påslagen som standard.
Känd skadlig kod nekas
För varje organisation, i npm, PyPI, Maven, NuGet, Go, Cargo, Helm, RPM, container-images och Terraform-moduler. Beroendeproxy
Paketpolicy
Neka efter allvarlighetsgrad, EPSS, licens, minsta ålder eller saknad signatur. Prova i skuggläge först och upprätthåll sedan. Paketpolicyer
Skadlig kod som redan finns i din kod
Varje standardbranch och varje image matchas mot kända skadliga paket, varje dag. Skadliga paket
Kända utnyttjade versioner nekas
En version med en känd utnyttjad sårbarhet som har en åtgärdad version nekas vid nedladdning i npm, PyPI, Maven, NuGet, Go och Cargo, oavsett vilket läge din policy har. Ett undantag gäller i högst 30 dagar, för en organisation och en version. Kända utnyttjade
CI som bara får det den behöver
Det är på runnern som en stulen hemlighet gör mest skada.
Avgränsade hemligheter, loggade
En hemlighet når ett jobb bara när dess workflow, jobb, branch, händelse och miljö matchar, och varje leverans loggas med namn. Pull requests från forkar får aldrig någon. Avgränsade CI-hemligheter
Jobbtokens som deklarerat
Rullas ut: när ett workflow deklarerar permissions: får dess jobbtoken inget mer än så, i varje organisation från den 17 november 2026. Permissions-blocket
En privat fork för fixen
Fixa en rapporterad sårbarhet i en fork som bara personerna i säkerhetsmeddelandet ser, där CI körs utan hemligheter. Privat fix
Injektion i dina workflows
Sex regler läser dina Actions-workflowfiler på varje pull request: värden som klistras in i skript, utcheckning av opålitlig kod, förgiftade artefakter och write-all-tokens. Listas, blockerar inte. CI-workflowregler
Där andra ligger före
- Djupare kodanalys. CodeQL, GitLab Advanced SAST, Snyk Code och Semgreps regler över filer följer data mellan filer på pull requests. fremforges taint-regler arbetar inom en fil på pull requests, och över filer bara i den nattliga skanningen av standardbranchen (rullas ut från den 17 november 2026), utan känslighet för sökvägar eller fält. För Actions-workflows har CodeQL också fler frågor än fremforges sex regler.
- Bredare giltighetskontroller. GitHub, GitLab och GitGuardian kontrollerar fler tokentyper. fremforge kontrollerar sina egna tokens och 43 andra utfärdare, var och en ett tillval.
- AI utan egen nyckel. GitHub, GitLab och Snyk har en hostad modell. fremforges AI-funktioner körs bara med er organisations modellleverantör, så utan en sådan finns ingen AI-fix eller AI-granskning.
- Publika läckor av vilken hemlighet som helst. GitHubs public monitoring och GitGuardian letar efter alla era hemligheter i publik kod. fremforge letar efter inloggningsuppgifter som frem.sh har utfärdat.
- Dynamisk testning. GitLab Ultimate kör DAST. Det gör inte fremforge.
- Egen drift och många års användning. GitHub Enterprise Server och GitLab Self-Managed körs i ditt eget datacenter, och de här verktygen har använts i många team i flera år. fremforge finns bara som hostad tjänst.
Frågor som köpare ställer
Var finns min kod och mina data?
I Tyskland, på Deutsche Telekoms T Cloud Public. Repon, skanningar och fynd stannar där, och skannrarna matchar mot sårbarhetsdatabaser som finns inne i fremforge. Undantagen väljer du själv: en giltighetskontroll från tredje part som du slår på skickar den hittade hemligheten till dess egen utfärdare, och AI-funktioner anropar den modellleverantör du har konfigurerat. Funktioner i korthet
Kan jag behålla GitHub medan jag flyttar?
Ja. Spegla dina repon och fortsätt arbeta på GitHub medan du flyttar; importverktyget kopierar historik, issues, pull requests och releaser när du är redo. Guide för migrering från GitHub
Vi använder Snyk eller SonarQube Cloud i dag. Vad ändras?
Skanningen startar när ett repo kommer in, och körs på varje pull request utan något pipelinesteg att lägga till. Nåbarhet och rangordningen av kända utnyttjade sårbarheter avgör vad ni tittar på först. Ni kan köra båda sida vid sida tills ert avtal löper ut. Checklista för att komma igång med säkerhet
Ser AI min kod?
Bara om du slår på det, och bara din egen leverantör. AI-fixar skickar raderna runt ett fynd, aldrig resten av repot. Den AI-assisterade lösenordskontrollen körs inne i fremforge utan nätverksåtkomst och är inte tränad på kunddata. Draft with AI för hemlighetsmönster skickar bara beskrivningen och de påhittade exempel du skriver. AI-fix
Hur mycket brus blir det?
Du väljer vilken allvarlighetsgrad som blockerar. Fynd som din kod inte når kan undantas från att blockera, kända utnyttjade blockerar alltid, och den AI-assisterade lösenordskontrollen låter troliga testdata stanna som rådgivande. Nåbarhet
Vad täcks inte?
Dynamisk testning (DAST), analys över filer på pull requests, mallar för Google Deployment Manager, OpenAPI, Pulumi och CDK, samt versioner av Terraform-moduler eller Helm-charts, eftersom det inte finns något sårbarhetsflöde för dem. Tabellerna på den här sidan visar var andra ligger före.
Vad kostar det?
30 € per användare och månad, eller 25,50 € vid årsfakturering, med alla funktioner på den här sidan och 1 000 CI-minuter per användare. Skanning omfattas av skälig användning utan överdebitering: över kvoten väntar en skanning av en pull request till natten och nekas aldrig. Läsare med enbart läsbehörighet är gratis. Priser
Räknar ni utvecklare som aldrig committar?
fremforge tar betalt per användare för varje medlem som kan pusha eller administrera; läsare med enbart läsbehörighet är gratis. GitHub tar betalt för sina säkerhetstillägg per aktiv committer, och Snyk per bidragande utvecklare; prisavsnittet ovan jämför dem.
Ingår i priset per användare
Alla skannrar, prioriteringsregler och fixar på den här sidan ingår i 30 € per användare, utan tillägg. AI-funktioner använder er egen modellnyckel, och en ägare slår på dem.
Jämför också: fremforge jämfört med GitHub, fremforge jämfört med GitLab och team av människor och AI-agenter.
Källor och varumärken
Varje påstående om GitHub, GitLab, Snyk, SonarQube Cloud, GitGuardian, Semgrep och Socket på den här sidan kommer från deras egna prissidor, dokumentation och ändringsloggar, länkade där det görs, lästa den 3 och 4 november 2026. Om något här är inaktuellt, skriv till oss på support@frem.sh så rättar vi det. GitHub är ett varumärke som tillhör GitHub, Inc. GitLab är ett varumärke som tillhör GitLab Inc. Snyk är ett varumärke som tillhör Snyk Limited. SonarQube är ett varumärke som tillhör SonarSource SA. GitGuardian, Semgrep och Socket är varumärken som tillhör sina respektive ägare. fremforge är inte knutet till någon av dem.