Un SBOM à chaque construction
La nomenclature logicielle est produite par la construction elle-même, pas reconstituée après coup à partir d’un artefact.
Pilier
Sûreté de la chaîne
La chaîne devient vérifiable de bout en bout parce que la plateforme tient les deux extrémités.
En détail
Signature et journal de transparence
Signature COSE / DSSE et journal chaîné en ajout seul. Le champ « signé » vaut inconnu tant qu’une vérification n’a pas eu lieu : aucun champ de sûreté n’a de valeur par défaut favorable.
Dépendances et secrets
Analyse des dépendances et détection de secrets à la construction comme à la poussée. Un résultat non mesuré est déclaré non mesuré.
Politiques d’admission
Une politique décide de ce qui entre en production, et le refus porte un motif nommé. Une politique qui ne peut pas refuser ne prouve rien.