Licenciamento · Tier Ultimate
Segurança e compliance como parte do pipeline, não como anexo.
Ultimate é o tier em que segurança deixa de ser uma etapa colada no fim e passa a ser parte do fluxo: scanners nativos em cada merge request, vulnerabilidade com dono e histórico, política que bloqueia o que não passa e evidência de compliance gerada pela própria plataforma. É o tier que faz diferença em ambiente regulado — e é onde a conta muda de figura, porque ele substitui um conjunto de ferramentas que você provavelmente já paga separado.
Licenciamento por assento, em ciclo anual. O valor depende de tier, volume de assentos e add-ons — dimensionamos antes de propor.
SAST, DAST, escaneamento de dependências, de containers e de IaC, além de fuzzing — rodando como estágio do pipeline, com resultado no próprio merge request. O desenvolvedor vê o achado onde já está trabalhando, não num relatório que chega depois.
Vulnerabilidade deixa de ser saída de log e passa a ter estado, dono, histórico e decisão registrada — incluindo aceite de risco justificado. É o que transforma volume de achado em trabalho tratável.
Política de execução de scan e de aprovação obrigatória definidas no nível de grupo, aplicadas a todos os projetos. Um controle central em vez de configuração replicada — e auditável.
Frameworks de compliance aplicáveis por projeto, centro de compliance e trilha de auditoria avançada. A evidência que a auditoria pede passa a ser consulta, não escavação em log de vários sistemas.
Análise de fluxo de valor e gestão de portfólio acima do time — para responder onde o trabalho realmente trava, com dado em vez de percepção.
Perfis de leitura e acompanhamento não consomem assento pago, o que costuma reduzir bastante o dimensionamento quando há muita gente de negócio ou auditoria só acompanhando.
Num programa de loyalty nacional em ambiente PCI DSS, implantamos DevSecOps com GitLab em um estate de cerca de 1.900 projetos. O resultado depois da esteira em operação: 26,3 mil vulnerabilidades detectadas, 7.362 resolvidas e economia estimada de R$ 1,78 milhão. O ponto não é o número de achados — é que sem gestão de vulnerabilidade e política central, 26 mil achados seriam ruído inutilizável em vez de fila de trabalho priorizada.
Na maior parte dos casos, sim para a camada de pipeline: SAST, dependências, containers e IaC passam a ser nativos, com a vantagem de o achado nascer dentro do merge request. Ferramenta especializada em nicho pode continuar fazendo sentido — no diagnóstico mapeamos o que sai, o que fica e o que passa a ser redundante, para a conta ser honesta.
Se todos os scanners forem ligados em tudo, sem critério, sim. A prática que usamos é escalonar: scan rápido no merge request e o mais pesado em agendamento, com paralelização e cache. Bem configurado, o custo de tempo é pequeno em relação ao que o achado tardio custa.
Não recomendamos. Ligar tudo de uma vez num estate grande gera um volume de achado que o time não consegue triar, e a reação previsível é ignorar o painel inteiro. Começamos pelo caminho crítico, estabelecemos a rotina de triagem e ampliamos — foi assim no case de PCI DSS.
As capacidades de IA são licenciadas como add-on, por cima do tier — não vêm incluídas por ser Ultimate. O que está disponível varia conforme o add-on e o tier de base, então trate como linha separada no orçamento.
Esta página descreve as fronteiras de capacidade entre os tiers, que são estáveis, e não reproduz a lista completa de recursos nem valores — os dois mudam ao longo do tempo. Para o inventário definitivo consulte a matriz oficial de recursos do GitLab e a página oficial de planos. Última revisão do conteúdo: .
Agende um diagnóstico gratuito de 30 minutos: levantamos assentos por perfil de uso, o tier que resolve o seu caso e o que é add-on — antes de qualquer proposta.