in-toto
Framework abierto para la integridad de la cadena de suministro. Define "links" — atestaciones firmadas sobre cada paso del pipeline (quién construyó, desde qué commit, hash de la salida). El "layout" define la secuencia esperada y los actores permitidos.
Proyecto de NYU Tandon desde 2016, CNCF Incubating en 2024. Impulsa implementaciones de SLSA: GitHub Actions, Tekton, Jenkins, Sigstore. En el momento del release, el consumidor verifica que todos los pasos intermedios tienen links válidos y encajan con el layout → las manipulaciones (una puerta trasera insertada entre build y release) quedan al descubierto. Usado en producción por Datadog y Adobe. Se combina con Cosign para la firma y Rekor como registro de transparencia. Implementarlo por completo es complejo — la mayoría de organizaciones empieza con GitHub OIDC más firma keyless de Cosign como primer paso.