feat(ci): añadir SBOM CycloneDX, huellas y procedencia #3

Merged

andres20980 merged 2 commits from session/20260726-2300-sbom into main 2026-07-26 18:40:32 +00:00

Conversation 0 Commits 2 Files changed 2 +91 -2

andres20980 commented 2026-07-26 18:40:26 +00:00

Owner

Copy link

Validado por el gate no-mistakes.

Validado por el gate no-mistakes.

andres20980 added 2 commits 2026-07-26 18:40:27 +00:00

feat(ci): añadir SBOM CycloneDX, huellas y procedencia ... 2e7d179cc4

Nueva fase 'sbom' en la CI común, omitible con skip-sbom:

- Inventario CycloneDX generado por la herramienta del propio stack
  (npm sbom, cyclonedx-py, cyclonedx-gomod, cargo-cyclonedx). Sin acciones de
  terceros: el generador del inventario no debe ser el eslabón que comprometa
  la cadena que documenta.
- Huellas SHA-256 de los artefactos publicables presentes en el árbol.
- Procedencia in-toto/SLSA con el commit, la referencia, el workflow y el
  constructor. Es nivel 1: deja trazabilidad escrita, no atestación firmada.
  Firmar exige un constructor aislado (L2+), que este runner aún no ofrece.

El resultado agregado incluye ahora la fase sbom.

no-mistakes(review): fix: add sbom to resultado needs, pin SBOM tool versions c687b493cc

andres20980 merged commit 6acb8933a3 into main 2026-07-26 18:40:32 +00:00

andres20980 referenced this pull request from a commit 2026-07-26 18:40:34 +00:00

Merge pull request 'feat(ci): añadir SBOM CycloneDX, huellas y procedencia' (#3) from session/20260726-2300-sbom into main

Sign in to join this conversation.

Reviewers

No reviewers

Labels

Clear labels

No items

No labels

Milestone

Clear milestone

No items

No milestone

Projects

Clear projects

No items

No project

Assignees

Clear assignees

No assignees

1 participant

Notifications

Subscribe

Due date

The due date is invalid or out of range. Please use the format "yyyy-mm-dd".

No due date set.

Dependencies

No dependencies set.

Reference

andres20980/forgejo-ci!3

No description provided.