Etiqueta
Después de años acumulando SBOMs, el cuello de botella es filtrar qué CVEs afectan de verdad. VEX aparece como la pieza que convierte el ruido en señal, y en 2025 empieza a tener adopción real en pipelines de supply chain.
SLSA v1.0 divide la seguridad de la cadena de suministro en tres pistas (Build, Source y Dependencies), de las que solo Build está estabilizada, con tres niveles: L1, L2 y L3. Si compilas en GitHub Actions, llegar a L2 con procedencia firmada por Sigstore lleva pocas horas y es el punto de partida que recomiendo a cualquier equipo.
Sigstore se ha consolidado como estándar de firma para artefactos OCI. GHCR es el registro mejor integrado; Harbor 2.5+ y Quay ofrecen soporte nativo; AWS ECR empuja su propio esquema KMS. La verificación vale en tres puntos: admission controller del cluster, capa GitOps y pipeline CI/CD. El Rekor público tiene rate limits que, a partir de cierto volumen, obligan a instalar una instancia propia.
