Verificación de firmas al sincronizar

Una firma en un commit liga el contenido y la autoría a una clave. Si el controlador la verifica antes de aplicar, rechaza lo que no venga de una clave de la lista de confianza. En Flux, el recurso de fuente (GitRepository) lo declara con spec.verify: un modo (HEAD, Tag o TagAndHEAD) y una referencia a un secreto con las claves públicas permitidas. En Argo CD, la documentación oficial indica hoy que la verificación con GPG está obsoleta y que se retirará en la próxima versión mayor; antes de basarse en ella conviene consultar qué ofrece la versión instalada.

Lo que una firma válida no prueba es que el cambio sea bueno, ni que alguien lo haya revisado: prueba que lo firmó una clave de confianza.

Abre fuentes-flux.txt y que-despliega-cada-fuente.txt. En la primera ves qué fuentes tienen verify; en la segunda, a qué clúster llega lo que cada una trae. Una fuente sin verificación en un clúster de pruebas es un riesgo menor; la misma configuración en una que llega a producción no lo es, aunque no sea la fuente «de las aplicaciones».

commits-prod-firmas.txt lista los commits recientes del repositorio de producción con el estado de cada firma: válida, sin firma, firma inválida o clave desconocida. Los tres últimos estados son distintos: «sin firma» no la tiene; «firma inválida» no coincide con el contenido; «clave desconocida» está firmada por una clave que no figura en la lista de confianza.

Cuenta los commits cuyo estado no sea válido.

Una lista de claves de confianza es un permiso: cada clave puede firmar cambios que el controlador aceptará. Cuando una persona deja la empresa, su clave debe salir de la lista el mismo día que sale su acceso al repositorio. Compara la columna de situación laboral de claves-confiables-prod.txt.

La fuente de producción usa el modo HEAD: verifica el commit en el que termina la rama tras el último cambio. En el historial, el commit más reciente tiene una firma válida, y varios anteriores no. La fuente, por tanto, no ha rechazado nada.