01
Commencer par une question vérifiable
Quel code a produit cet artefact et quelles vérifications a-t-il traversées ? Cette question paraît simple. Elle oblige pourtant à relier des éléments souvent répartis entre le dépôt, la CI, le registre et la plateforme. Un résultat de scan sans identifiant d’artefact ne suffit pas à expliquer ce qui a été livré. Le point de départ utile est un parcours que l’équipe peut rejouer sur une version précise.
02
Donner une place à chaque preuve
Le SSDF du NIST propose des pratiques de sécurité à intégrer au cycle de développement. SLSA décrit des garanties progressives pour la chaîne logicielle, notamment autour de la provenance. Ces références répondent à des questions complémentaires : comment organiser les pratiques et comment attester l’origine de ce qui est produit. Elles ne remplacent ni la compréhension du système ni les décisions de l’équipe.
03
Construire une chaîne lisible
Dans une mise en œuvre, associer le commit, le digest de l’image, le SBOM, les résultats de contrôle et la décision d’admission permet une investigation plus précise. Chaque contrôle doit avoir un responsable et une réponse prévue en cas d’échec. Une exception mérite le même soin : motif, périmètre, date de réexamen et propriétaire. Sans cela, le contournement finit par devenir la règle.
04
Prévoir ce qui se passe après
Un déploiement peut être conforme à ses contrôles et échouer en exploitation. La vérification doit aussi inclure les signaux utiles, la procédure de retour arrière et la conservation des traces. Kube Aegis Forge illustre cette articulation dans un démonstrateur public. Le projet est une base de lecture et de vérification locale. Il ne constitue pas une attestation de conformité d’une plateforme cliente.
Sources et portée
Note de méthode, rédigée à partir des références ci-dessous et de l’approche d’ingénierie présentée sur ce site. Les propositions d’application sont une synthèse éditoriale, pas une certification par les organismes cités.
NIST — Secure Software Development Framework ↗SLSA — Specification v1.2 ↗