Etiqueta
Semgrep ha crecido hasta convertirse en uno de los análisis estáticos más pragmáticos del ecosistema. Reflexión sobre por qué funciona donde otros SAST fracasan y cómo meterlo en un pipeline sin que se convierta en ruido.
Firmar imágenes y artefactos con Sigstore dejó de ser un experimento raro: proyectos como Kubernetes ya lo usan. El modelo keyless de cosign, Fulcio y Rekor elimina la gestión de claves privadas, pero solo protege de verdad si el despliegue verifica la identidad de quien firmó, no solo si existe una firma.
SLSA v1.0, publicado en abril de 2023, define cuatro niveles de madurez para proteger la cadena de suministro software, desde procedencia básica hasta build aislado. El nivel 3 exige que cada build corra en un entorno efímero sin estado previo, eliminando ataques como build contamination e insider threat, y es alcanzable con GitHub Actions y firma OIDC vía Sigstore.
