Fermé par défaut, chaîne logicielle signée.

Image distroless, non-root, multi-architecture ; SBOM, signature et attestation sans clé sur le digest ; une release re-tague le digest testé, sans reconstruire

Vérifier ce que vous téléchargez

Les commandes de la documentation, telles quelles : la signature de la somme de contrôle par cosign, puis chaque fichier par sa somme (SHA256SUMS, SHA256SUMS.sigstore.json).

v=$(gh release view -R flexwiz/flexway --json tagName -q .tagName | sed 's/^v//'); arch=amd64   # la dernière
gh release download "v$v" -R flexwiz/flexway -p "flexway_${v}_linux_${arch}.tar.gz" -p 'SHA256SUMS*'
cosign verify-blob --bundle SHA256SUMS.sigstore.json \
  --certificate-identity-regexp '^https://github.com/flexwiz/flexway/.github/workflows/release.yml@' \
  --certificate-oidc-issuer https://token.actions.githubusercontent.com SHA256SUMS
sha256sum --check --ignore-missing SHA256SUMS
tar -xzf "flexway_${v}_linux_${arch}.tar.gz" && sudo install "flexway_${v}_linux_${arch}/flexway" /usr/local/bin/

Pour une version précise, la première ligne devient celle de sa ligne du tableau ci-dessous. Le guide d'installation

Chaque version et ses fichiers

Image de conteneur : la documentation de sécurité de cette version décrit sa signature, son SBOM et son attestation sur le digest, sans donner de commande pour les vérifier ; le site n'en écrit pas à sa place.