Checksums und Integrität für Releases
Ein Release-Artefakt, das unbemerkt verändert wurde, ist gefährlicher als ein offensichtlich fehlgeschlagener Build. SHA256-Checksums, GPG-Signaturen und automatische Verifizierungsschritte in der GitLab-Pipeline schließen diese stille Angriffsfläche für Magento-Deployments.
Inhaltsverzeichnis
- 1. Warum Artefakt-Integrität ein echtes Risiko ist
- 2. Checksums: SHA256 und wie sie entstehen
- 3. Checksums automatisch in der Pipeline erzeugen
- 4. Checksums vor dem Deploy verifizieren
- 5. GPG-Signierung für Release-Pakete
- 6. GitLab Release API und Checksum-Anhang
- 7. SLSA und Provenance: woher kommt das Artefakt?
- 8. Composer-Integrität und composer.lock als Basis
- 9. Vergleich: ohne vs. mit Integritätssicherung
- 10. Zusammenfassung
- 11. FAQ