J'auditerai votre fichier uv lockfile python contre les attestations signées de pypi

Savez-vous si les packages Python que vous distribuez ont été réellement construits à partir des dépôts qu'ils prétendent provenir ? Cet audit vérifie cela pour chaque package dans votre uv.lock, en utilisant les enregistrements de publication signés (attestations Sigstore) que PyPI conserve déjà.

Vous obtenez une ligne par package : combien de fichiers pinés portent un enregistrement signé, le dépôt nommé dans la signature, le dépôt déclaré par le package, et un verdict (MATCH, MISMATCH, NO-REPO-DECLARED, UNATTESTED, VERIFY-FAILED ou SKIPPED). Chaque signature est vérifiée par rapport au hash exact du fichier que votre lockfile fixe, donc un fichier différent de celui qui a été signé apparaît comme un échec. Optionnel : une vérification contre votre propre liste de dépôts attendus, un test plus strict que de faire confiance aux métadonnées du package. De plus, une lecture courte écrite des packages non signés et non conformes, avec des recommandations pour chacun, et une nouvelle vérification après vos modifications dans les 30 jours.

Ce dont j'ai besoin : votre uv.lock. Rien n'est installé ni exécuté dans votre projet ; l'audit lit uniquement le lockfile et les enregistrements publics de PyPI.

Limites : MATCH est une vérification de cohérence, pas une preuve qu'un package est sûr. Les index non-PyPI sont listés comme SKIPPED. Les fichiers de verrouillage pip et Poetry ne sont pas encore supportés.