Résumé

  • La signature relie des octets à une opération cryptographique, pas à un mandat permanent.
  • L’acceptation durable joint identité, rôle, temps fiable, transparence et révocation.

Le voyant vert qui survit au rôle

Un artefact peut encore être vérifié après le départ d’un mainteneur. RFC 5280 borne la validation à une ancre, une politique et un instant; RFC 3161 lie une empreinte à une heure fiable; RFC 6962 rend l’émission observable. Aucun de ces mécanismes ne connaît à lui seul la matrice d’approbation du projet. Fulcio, Rekor et la politique de vérification Sigstore rendent précisément visibles ces couches séparées.

Le dossier d’acceptation doit donc conserver l’empreinte, la signature, l’identité, l’émetteur, le rôle autorisé, l’approbation, la chaîne, l’heure de validation, la preuve de transparence et les éléments de révocation.

Sources