Retour au cours

sécurité des commits: signatures GPG et SSH

Assurez l’authenticité de vos contributions par la signature des commits/tags.

objectifs d’apprentissage

  • Générer une clé.
  • Configurer Git.
  • Signer et vérifier.

prérequis

  • gpg ou gitsign.
  • Compte forge configuré.

notions clés

  • web of trust.
  • SSH commit signing.
  • Verified badges.

démonstration guidée

étape 1

Générer une clé GPG et l’exporter.

gpg --full-generate-key
gpg --list-secret-keys --keyid-format=long
gpg --armor --export <KEYID>

étape 2

Signer un commit et un tag.

git config --global user.signingkey <KEYID>
git config --global commit.gpgsign true
git commit -S -m "feat: commit signé"
git tag -s v1.0.0 -m "release signée"

exercice

Activez la vérification de signatures sur votre forge et signez un tag.

correction

Affichage de la signature.

git show --show-signature v1.0.0

quiz éclair

  1. Quelle option force la signature d’un commit ?
  • a) -S
  • b) -G
  • c) -K

ressources

Sujets abordés