Per licens. Per token. Eller en gång.
Kodsäkerhet prissätts på tre sätt: per utvecklare, per token eller en gång för hårdvaran. Per licens och per token straffar skanning. Lokalt gör det inte.
Verktyg för kodsäkerhet prissätts på tre sätt: per utvecklare, per token eller en gång för hårdvaran. Två av de tre tar mer betalt ju mer du faktiskt använder dem. Här är matematiken — och därför är "betala en gång och skanna så mycket du vill" den enda modellen som inte motarbetar dig.
Varje team som köper verktyg för kodsäkerhet väljer i själva verket en prismodell, och modellen styr beteendet mer än funktionslistan gör. Det finns tre:
- Per licens — den traditionella SAST-licensen. Du betalar för varje utvecklare, varje år.
- Per token — det nya molnbaserade AI-upplägget. Du betalar för varje miljon token som modellen läser och skriver.
- Per maskin — en lokal modell på din egen hårdvara. Du betalar en gång för maskinen och kör den sedan.
De två första delar en tyst svaghet: de tar betalt för precis det du vill göra mer av. Den tredje gör inte det. Den skillnaden avgör hur ofta du skannar, hur mycket kod du täcker och hur stor del av din säkerhetsbudget som dunstar bort innan den hittar en enda verklig bugg.
Per licens: du betalar för antal anställda, inte för säkerhet
Traditionell SAST — Checkmarx, Veracode, Snyk, Semgrep, Sonar — licensieras per utvecklare eller per företagsavtal. De offentliga siffrorna:
- Snyk Code: cirka $25/utvecklare/månad — ungefär $300/utvecklare/år, eller $7 500/år för ett team på 25 utvecklare.
- Semgrep: cirka $35/utvecklare/månad (cirka $420/år).
- Checkmarx / Veracode: ogenomskinliga företagsofferter, oftast $40 000–$200 000+/år, som växer med antalet licenser och avtalets storlek.
Lägg märke till vad du faktiskt betalar för: utvecklare. Inte hittade sårbarheter, inte skannade rader, inte minskad risk. Anställ tio ingenjörer så stiger räkningen, oavsett om verktyget hittade en enda ny bugg. Skanna en gång i kvartalet eller aldrig — du betalar lika mycket. Licensen är en fast avgift kopplad till antalet anställda, frikopplad från hur mycket säkerhet du faktiskt får.
Och licenserna du köpt bränns upp av verktygets eget brus. En skanner som översköljer utvecklarna med falska positiva resultat förbrukar precis den uppmärksamhet du betalar för — du köper 50 licenser och ser sedan halva deras säkerhetstid gå åt till att sålla bland fynd som aldrig gick att utnyttja. (Varför det bruset är det verkliga problemet: mönstermatchning hittar mönster, angripare hittar svagheter.)
Per token: du betalar för att titta
Molnbaserad AI-skanning flyttar prislappen från människor till token. Frontmodeller för säkerhet prissätts som Mythos, $25/$125 per miljon token in/ut — så att läsa ditt repo kostar pengar, och att läsa det igen kostar igen.
Siffrorna blir snabbt obehagliga. En uttömmande svepning av en kodbas i kärnstorlek kostar tusentals dollar i token med frontprissättning — vilket är just därför ingen kör en frontmodell över varje fil, och därför de publicerade Mythos-kostnaderna anges per bugg-jakt ($10 000–$20 000 per insats), inte per skanning. Vi gick igenom den matematiken i detalj här.
Så du ransonerar. Och det är fällan: ju grundligare skanning, desto större räkning, så team skannar mindre, senare och på färre filer. Prismodellen motarbetar själva säkerhetsmålet. Även en billig molnmodell på cirka $0,20/M tar betalt per gång — helt okej för ett helgexperiment, men varje CI-körning, varje commit, varje omskanning blir en post du kommer att frestas att skära bort.
Per maskin: du betalar en gång
En lokal modell vänder upp och ner på hela upplägget. Du köper hårdvaran en gång — en engångsinvestering, inte en löpande avgift — och marginalkostnaden för en skanning krymper till ungefär elen den drar.
Det förändrar vad du har råd med. Skanna varje fil. Skanna om vid varje commit. Kör flera specialistmodeller över samma fil. Svep hela monorepot varje natt. Räkningen ändras inte, för det finns ingen löpande kostnad — bara en maskin du redan äger. Beteendet som per licens gör meningslöst och per token gör dyrt är, lokalt, helt enkelt standard.
Och koden lämnar aldrig din perimeter — ingen uppladdning till en SaaS-tjänst per licens, inget repo skickat till ett token-API. (Därför lämnar din kod aldrig Europa.)
De tre modellerna sida vid sida
| Du betalar för | Räkningen växer med | En skanning till kostar | Lämnar koden? | |
|---|---|---|---|---|
| Per licens (SAST) | utvecklare | antal anställda | $0 — men du har redan betalat, och får kostnaden för falska positiva resultat på köpet | oftast (SaaS) |
| Per token (moln-AI) | token | kodmängd × skanningsfrekvens | tar betalt varje gång | ja |
| Per maskin (lokalt) | hårdvara, en gång | ingenting | ungefär elen | nej |
Måttet som faktiskt spelar roll
Ställ en enda fråga till vilket kodsäkerhetsverktyg som helst: vad kostar det att skanna hela kodbasen vid varje commit?
- Per licens: tekniskt tillåtet, men du begränsas av verktygets brus — mer skanning betyder bara fler falska positiva resultat att sålla bland, med de licenser du köpt.
- Per token: ekonomiskt absurt. Det du helst vill göra är precis det som prissättningen straffar hårdast.
- Per maskin: gratis. Det är inte bara prisvärt att skanna allt hela tiden — det är det billigaste du kan göra, eftersom alternativet är att låta en påslagen maskin stå sysslolös.
Det är hela poängen. Per licens sätter pris på ditt team. Per token sätter pris på din nyfikenhet. Per maskin sätter pris på en engångsinvestering i hårdvara och kliver sedan åt sidan — så att "skanna allt, hela tiden, och låt koden stanna hemma" slutar vara en budgetförhandling och blir standard. Det är det vi bygger på Codelight.
Källor
- CodeAnt, "How Much Do SAST Tools Cost in 2026?" — priser för SAST per utvecklare och för företag.
- "Snyk Pricing in 2026" — Snyk Codes prisnivåer per utvecklare.
- Anthropic Red Team, "Assessing Claude Mythos Preview's cybersecurity capabilities" — fronttokenpriser ($25/$125 per miljon token) och kostnader per insats.
Ämnen: #security #ai #data-sovereignty