Transparencia
Cada paso del proceso queda en un registro Merkle de solo-añadir. Aquí se ven sus cifras y se pueden descargar los ficheros para comprobarlos por tu cuenta.
Estado del registro
Checkpoint · bundle del checkpoint · prueba de inclusión · log.jsonl · LOG.md · manifest.json
Comprobar en este navegador
Política de confianza. Esta página comprueba matemáticas: que log.jsonl produce la raíz del checkpoint, que la prueba de inclusión lleva la entrada de la release a esa raíz y, si existe, que el árbol anterior es prefijo del actual. NO comprueba la firma Sigstore del checkpoint ni del manifiesto: para eso usa cosign verify-blob con la identidad publicada o la app MacGuard. Descargar y mostrar un JSON no es una verificación.
Dos registros distintos
Sigstore (Rekor) es un registro público de terceros donde queda anotada cada firma, y Fulcio emite el certificado de la identidad del workflow. El registro Merkle de MacGuard lo mantiene este repositorio: guarda los eventos legibles (descargas, rechazos, aprobaciones) y lo que se firmó en cada release. Se verifican por separado: el primero prueba quién firmó; el segundo, qué ocurrió y que nada se reescribió.
Entradas del registro
Cargando…
| # | Fecha (UTC) | Nivel | Código | Mensaje |
|---|