Git e CI/CD: sicurezza, firma e secrets
Verifica firme GPG/SSH, scansione secrets pre-commit, crittografia con SOPS e audit supply chain. Ogni comando è verificato e copiabile; in chat basta descrivere cosa vuoi fare.
4 comandi in questa pagina
# Come verifico la firma crittografica dell'ultimo commit Git?
git log -1 --show-signatureMostra lo stato di convalida della chiave crittografica (GPG o SSH) che ha firmato l'ultimo commit.
Approfondisci: Come si configurano i commit firmati in Git con chiavi SSH invece di GPG?Come si configurano le branch protection rules per blindare main e impedire force push?
# Come scansiono i secrets nei file in staging prima del commit?
gitleaks protect --staged --verboseBlocca chiavi API e token in staging prima che vengano scritti nella cronologia git locale.
Approfondisci: Come si configurano hook di pre-commit con Gitleaks o Trufflehog per bloccare il push di credenziali nei repository Git?Come si gestiscono i secrets (e perché mai in git)?
# Come cifro un file di secrets con SOPS e age?
sops --encrypt --age <age-public-key> secrets.enc.yaml > secrets.enc.yamlCifra selettivamente i valori mantenendo in chiaro le chiavi strutturate per diff e merge review puliti.
Approfondisci: Qual è la differenza tra git-crypt e SOPS con age per cifrare secrets nei repository Git?Come si gestiscono i secrets (e perché mai in git)?
# Come verifico la firma di un'immagine container OCI con cosign?
cosign verify --key cosign.pub <registry>/<immagine>:<tag>Convalida il payload della firma OCI e i claim Rekor attestando l'integrita della build.
Approfondisci: Come si usano Cosign e Sigstore per firmare e verificare immagini container in OCI registry?Cos'è la supply chain security del software (SBOM, SLSA)?