Kwetsbaarhedenscanner CodeQL van GitHub kost vanaf juli maandbedrag en credits

GitHub maakt zijn codekwetsbaarhedenscanner CodeQL volgende maand algemeen beschikbaar en rekent gebruikers dan 10 dollar per maand per gebruiker plus gebruikskosten. Dat laatste gebeurt in zogeheten AI-credits. Gebruikers die kosten willen voorkomen, moeten maatregelen nemen.

CodeQL (Code Quality) is sinds oktober vorig jaar beschikbaar als publieke preview voor gebruikers met een betaald abonnement op GitHub Enterprise Cloud of GitHub Team. Gebruik van CodeQL is gratis in de previewfase, maar het ontwikkelplatform rekent codescans wel af in minuten voor GitHub Actions. Dit verandert vanaf 20 juli, meldt GitHub in een blogpost en in e-mails aan gebruikers.

GitHub rekent voortaan 10 dollar per actieve committer per maand. Daarbovenop komen nog variabele kosten voor daadwerkelijk gebruik van de securityscanner. Dit zijn dan AI-credits voor AI-aangedreven mogelijkheden, zoals de codekeuringsfunctie van GitHub Copilot en de mogelijkheid van die AI-assistent om fouten automatisch te repareren.

Voor gebruik van Copilots codekeuringsfunctie is een licentie voor die AI-assistent nodig. Verder verbruikt de nieuwe scanner Actions-minuten voor zijn analyse van broncode. Deze analyse gebeurt op een gestructureerde wijze die herhaalbare resultaten geeft, want AI-gedreven keuring van softwarecode levert soms voor dezelfde code toch wisselende uitkomsten op.

Advies: breng gebruik in kaart

GitHub adviseert gebruikers van de CodeQL-preview om hun gebruik in kaart te brengen. Gebruikers die een accountteam bij GitHub of Microsoft hebben, kunnen daar hulp vragen over de prijzen en de kosten die vanaf 20 juli gelden. Gebruikers die niet willen betalen, moeten CodeQL vóór die datum loskoppelen van hun GitHub-repository's. Na die datum kan facturatie gebeuren via de lopende GitHub-abonnementen Enterprise Cloud en Team.

Reacties (13)

[Joost1981_2]

Wat een enorm slecht artikel. Pardon my French.

Je hebt al jaren GitHub Advanced Security. Daaronder valt onder andere Code Security. Dat is in essentie SAST (Static Application Security Testing) met als doel kwetsbaarheden in code op te sporen. De focus ligt dus op security. De prijs hiervoor is $30 per actieve committer per maand.

Daarnaast is er nu Code Quality, en daar gaat dit artikel over. Die dienst richt zich op codekwaliteit, met onderwerpen als maintainability en reliability. De prijs hiervan is $10 per actieve committer per maand.

Met Code Quality heeft GitHub feitelijk een concurrent voor SonarQube neergezet. SonarQube biedt nog steeds uitgebreidere rapportages en analysemogelijkheden, maar een oplossing die native in het GitHub-platform zit heeft uiteraard voordelen voor de developer experience. SonarQube is leuk maar ik ken helaas maar weinig organisaties die dit echt (ja echt echt en niet half) gebruiken

Onder de motorkap maken zowel Code Security als Code Quality gebruik van CodeQL; dat is de engine die de scans uitvoert.

[Reactie gewijzigd door Joost1981_2 op 17 juni 2026 19:15]

[WoutervOorschot]

Het artikel pretendeert nergens dat het om iets anders dan Code Quality, de AI-dienst, gaat.

Dat ze ook alternatieve goedkopere opties met andere mogelijkheden bieden verandert niks aan dit artikel, dat gaat over de prijsverhoging van deze specifieke dienst.

[Joost1981_2]

• "Kwetsbaarhedenscanner?" --> Nee Kwaliteitsscanner
• Security scanner? --> Nee!
• "De AI-dienst"? --> Nee, CodeQL is rule based (Waar zou QL toch voor staan?) en ja daar zitten ook wat AI dingen (auto fix) in inmiddels. Maar zeker geen pure AI dienst
• Prijsverhoging? --> Nee het was in gratis preview.
• Goedkopere opties? --> Nee die biedt GitHub niet

[Reactie gewijzigd door Joost1981_2 op 18 juni 2026 15:17]

[AJM94]

Dank voor de verheldering.
De link met Sonarqube schoot mij ook te binnen.

[LucasVanDijk758]

Praktische check: kijk niet alleen of CodeQL aanstaat, maar ook welke workflow hem triggert. In grotere repo’s kan een schedule + pull_request al snel dubbel tellen in Actions-minuten. Als je vóór 20 juli wilt opruimen, begin ik bij de repos waar code scanning alerting aanstaat maar niemand de alerts echt afhandelt; daar betaal je straks vooral voor ruis.

[GarBaGe]

Wij hebben ook CodeQL maar deze presteert minder goed dan SonarQube.
De suggesties zijn matig tot redelijk, maar eigenlijk niet nodig
Wat mij betreft stoppen we met die onzin.

[readefries]

Grappig! Ik heb juist een volledig omgekeerde ervaring, waarbij CodeQL veel bruikbaardere oplossingen geeft én duidelijkere paden door apps heen. Hangt wel een beetje vanaf hoe je CodeQL instelt en welke taal je gebruikt natuurlijk.

[Mars Warrior]

Ik snap het niet helemaal. Is dit wat anders dan dat vinkje wat je kunt zetten op GitHub om Code Quality te scannen?

Volgens de logging is dat Code QL. Dat is al een hele tijd beschikbaar. Gewoon gratis.

[Asitis]

Ja, en dat "gewoon gratis" gaat dus veranderen, daar gaat het artikel over?

[Mars Warrior]

Het punt is dat in ‘t artikel staat dat dit enkel beschikbaar is voor betalende gebruikers. En dat ben ik niet. Dus vandaar de vraag.

[jacobras]

Het is ook gratis voor open-source projecten, is dat misschien van toepassing?

CodeQL is free for research and open source.
(https://codeql.github.com/)

[michaelkamen]

Als het deze instelling is, dan is het inderdaad hetzelfde, en wordt het dus binnenkort betaald:

Disabling Code Quality for your repository

On GitHub, navigate to the main page of the repository.

Under your repository name, click Settings. If you cannot see the "Settings" tab, select the dropdown menu, then click Settings.

In the sidebar, under "Security", click Code quality to display the "Code quality" page.

Click Disable.

Click Save changes.

This stops all future Code Quality scans and associated billing for the repository.

[satya]

Het is logisch dat de prijzen omhoog gaan, tijdens de GitHub training gisteren werd er verteld dat GitHub door AI gebruik 50 miljoen dollar per maand verlies leed.

Developpers komen met een abbo van 100€/maand niet meer toe en gaan nu vaak naar 500€/maand.