Signature sans clé

Signature sans clé (en anglais keyless signing) : mode de signature de Sigstore sans clé à long terme : une clé éphémère est certifiée pour une identité OIDC par l'autorité Fulcio, et la signature est inscrite au journal Rekor.

En CI, l'identité est celle du workflow (dépôt, fichier, branche), obtenue avec le droit id-token: write. La vérification exige l'identité et l'émetteur attendus : accepter n'importe quelle identité ne prouverait rien.