Attestazione
Definizione rapida
Metadato, spesso firmabile, che descrive come un artefatto è stato prodotto o quali controlli ha superato.
Spiegazione
Un'attestazione accompagna un'immagine o un altro artefatto senza sostituirlo. Può documentare la provenienza della build, l'elenco dei componenti, i test eseguiti o un risultato di sicurezza.
Esempio pratico
Una build pubblica un'immagine insieme a un'attestazione di provenienza e a una SBOM che il destinatario può verificare.
Spiegazione tecnica
Le attestazioni sono registrate come metadati associati al risultato di build e possono usare formati interoperabili come in-toto, SLSA o SPDX. Il digest dell'artefatto è il riferimento che lega la dichiarazione al contenuto corretto.
Da non confondere con
Non è una garanzia assoluta che il software sia sicuro: descrive fatti verificabili, ma il valore dipende dalla qualità della pipeline e dei controlli.