feat(devsecops): firmar la imagen del frontend con Cosign

Firma la imagen (solo el tag versionado, no :latest) después del push
exitoso, usando la llave privada desde secrets de Gitea Actions
(COSIGN_PRIVATE_KEY/COSIGN_PASSWORD, nunca en el repo ni en disco).
Verifica la firma como smoke test en el mismo pipeline contra
workloads/ecommerce/cosign.pub (pública, commiteada a propósito).

Firma solo con el par de llaves propio, sin publicar en el
transparency log público de Sigstore (--use-signing-config=false
--tlog-upload=false / --insecure-ignore-tlog=true) — registry privado,
no tiene sentido esa fuga de metadata.

Par de llaves generado y validado end-to-end (firma + verificación,
incluyendo que verificar con la llave incorrecta falla como se espera)
contra un registry local descartable antes de tocar nada real. Docs en
docs/devsecops/cosign.md, incluyendo qué falta para que un admission
controller verifique esto en el cluster (no implementado todavía).

This commit is contained in:

devops

2026-08-14 21:55:03 -05:00

parent b6038e06ca

commit c1b5f72a68

4 changed files with 183 additions and 0 deletions

									
										workloads/docs-portal/mkdocs.yml
									
		+1
		
												View File
												
				@@ -103,6 +103,7 @@ nav:

				      - Trivy (imagen + IaC): devsecops/trivy.md

				      - SAST (Semgrep): devsecops/sast.md

				      - SBOM (Syft): devsecops/sbom.md

				      - Cosign (firma de imágenes): devsecops/cosign.md

				extra:

				  social: