Wisec

Des attestations qu'un tiers vérifie sans compte Wisec.

Qu'est-ce qui a été construit, à partir de quoi, et quelle est votre position sur chaque vulnérabilité ?

Pour chaque build, Wisec émet une provenance SLSA et un VEX au format OpenVEX, signés, ancrés sur IPFS et inscrits dans Rekor, le journal public de Sigstore.

SLSA Provenance v1OpenVEX v0.2.0DSSE et Rekor
1 · L'artefact

Ce que le build a produit.

Le sujet de la provenance est le fichier livré, par son empreinte SHA-256, ou vos images de conteneurs, figées par leur empreinte. Sans fichier déclaré, c'est la révision source qui est attestée.

2 · La provenance

Ce qui a servi à le construire.

La déclaration liste les dépendances résolues sous forme de PURL, et les empreintes du SBOM et des rapports de scanners signés par l'agent. Elle ne contient aucune donnée personnelle.

3 · La signature

Signée, puis inscrite au journal public.

L'enveloppe DSSE est signée avec la clé d'attestation Wisec, ancrée sur IPFS avec une copie en stockage non modifiable, et son empreinte est inscrite dans Rekor. C'est Rekor qui la date, pas nous.

4 · Le VEX

Une position sur chaque vulnérabilité.

Le VEX dit, pour chaque CVE trouvée, si votre produit est affecté, non affecté, corrigé ou en cours d'analyse. Chaque décision de triage le régénère et le signe de nouveau.

En cours d'analyseNon affectéAffectéCorrigé
Le niveau, dit précisément

SLSA Build L1.

La provenance est générée et signée par Wisec à partir de ce que l'agent rapporte depuis votre CI. Ce n'est pas le niveau 2 au sens strict, qui demande une provenance signée par la plateforme de build hébergée elle-même, ni le niveau 3. Un tiers vérifie seul que l'attestation est intacte, sa date dans Rekor et l'empreinte de l'artefact ; son contenu reste une déclaration signée par Wisec.

Sans compte Wisec

Ce qu'un tiers vérifie, avec des outils standards.

  • L'intégrité. La signature DSSE couvre chaque octet de la déclaration.
  • La date. L'entrée Rekor est horodatée par le journal public de Sigstore.
  • L'artefact. L'empreinte du fichier reçu (sha256sum) doit être celle du sujet de la provenance.
  • La conservation. L'enveloppe se récupère par son identifiant IPFS, et une copie est conservée trois ans en stockage non modifiable.
Le VEX

Un VEX qui dit vrai, et que votre gate écoute.

Une vulnérabilité

Un seul énoncé.

Une CVE signalée par plusieurs outils est un seul énoncé, nommé par son identifiant CVE, avec ses autres noms en alias.

Non affecté

Une justification exigée.

Le statut demande une des justifications prévues par OpenVEX, et chaque décision est inscrite au journal d'audit.

Le gate

Ce qui est trié ne bloque plus.

Une CVE déclarée non affectée ou corrigée est retirée du gate de votre pipeline.

Le certificat

Une page de faits.

Chaque build a aussi son certificat PDF, avec un QR code vers la page de vérification publique.

Disponible avec les offres Business et Pro. Les attestations sont générées pour chaque build, sans changement de votre pipeline. Pour désigner le fichier livré ou vos images, une variable suffit.

Demander une démoVérifier une attestation