Article · Continuum Attest
Trust is not evidence — Un pipeline vert n’est pas une preuve
Un pipeline vert est une information utile pour l’équipe qui fabrique le logiciel. Une fois le fichier livré, son destinataire a besoin de pouvoir examiner ce qui a été produit et les éléments qui le décrivent.
Le statut reste dans la plateforme
Imaginez une compilation réussie un lundi. L’archive est copiée, renommée puis transmise. Trois mois plus tard, quelqu’un demande si le fichier conservé correspond bien à cette compilation.
Une capture d’écran verte ne relie pas les octets du fichier à l’exécution. Un lien vers le job peut aider à retrouver le contexte, mais il dépend encore de l’accès à la plateforme, de ses permissions et de la conservation de ses journaux.
Le problème n’est pas la couleur du statut. C’est l’information qui manque pour comparer une livraison à ce qui a été enregistré lors du build.
Donner un objet à la vérification
Une provenance de build décrit le périmètre enregistré : entrées, étapes et artefacts. Le reçu Continuum Attest rassemble ces informations. Avec la signature activée, il devient un document dont l’intégrité peut être contrôlée avec une clé approuvée.
Ce document peut être conservé avec les fichiers. Il permet de sortir la vérification de l’écran du producteur et de donner au destinataire un objet précis à examiner.
La confiance garde une place explicite
« Trust is not evidence » n’implique pas l’absence de confiance. Il faut choisir les clés approuvées et comprendre le processus qui a enregistré la fabrication. La signature ne transforme pas une déclaration fausse en déclaration exacte.
La différence est que les hypothèses deviennent examinables : qui signe, quels fichiers sont déclarés et quels contrôles peuvent être rejoués ? Le format du receipt documente ce contrat technique.
Essayer avec une livraison
Prenez un build simple. Déclarez ses entrées et sorties, produisez un reçu signé, puis vérifiez-le depuis un autre environnement. Modifiez ensuite un fichier déclaré et observez le résultat du contrôle d’empreinte. L’expérience permet de distinguer une preuve présente d’une preuve effectivement utilisée.
Pour choisir les documents qui doivent accompagner cette expérience, poursuivez avec SBOM, provenance et attestation : trois notions souvent confondues.