Firmare il codice risponde a una domanda che i download non fanno mai da soli: questo artefatto viene davvero da chi dice, ed è arrivato intatto? Un hash pubblicato accanto al file verifica l'integrità ma non l'origine (chi altera il file altera anche l'hash); la firma crittografica lega l'artefatto a un'identità.
Gli strumenti per strato: GPG per commit e tag git (il badge "verified"), sigstore/cosign per container e release – con la novità che ha sbloccato l'adozione: le firme keyless legate all'identità OIDC della build, niente chiavi private da custodire per sempre – e le attestazioni di provenance (SLSA) che certificano come e da quale pipeline l'artefatto è nato.
Nel portfolio si pratica ciò che si predica: zion è SLSA L3, proxxx firma con sigstore e pubblica SBOM, tanstack-compromise-checker si verifica con gh attestation prima dell'uso. Contesto completo: supply chain security.