Firma de código y documentos
Antes de ejecutar una versión, comprueba qué es en realidad. Verifica bundles de Sigstore y la procedencia de npm hasta el repositorio, el flujo de trabajo y el commit que los generaron, lee atestaciones SLSA e in-toto, comprueba commits de Git y archivos firmados con SSH según allowed_signers, e inspecciona las firmas de ejecutables de Windows, APK de Android y archivos Java (JAR). También documentos y contenido multimedia: verifica firmas PDF (PAdES, LTV) y correo firmado (S/MIME) sin subir nada, decodifica sellos de tiempo RFC 3161, lee las credenciales de contenido (Content Credentials, C2PA) de imágenes y videos, y demuestra que una clave se generó en una YubiKey. Los archivos y las claves se quedan en tu navegador; el comprobador de npm consulta al registro público el paquete que indicas, y la segunda comprobación opcional de Sigstore envía a nuestro servidor solo el bundle y el resumen del archivo.
12 herramientas
Verificador de bundles de Sigstore
Bundles de cosign, npm y de atestación de GitHub
Verifica un bundle de Sigstore con el archivo que firma y la identidad que esperas: el certificado de Fulcio y sus SCT, la entrada de Rekor con su prueba de inclusión y su checkpoint, los sellos de tiempo firmados y RFC 3161, y las firmas DSSE y de mensaje, todo sin conexión, como cosign verify-blob.
Abrir herramientaComprobador de procedencia de npm
Dónde se compiló de verdad un paquete npm
Escribe un paquete y una versión: tu navegador obtiene las atestaciones del registro y aquí se verifican —la procedencia SLSA firmada con Sigstore y la atestación de publicación del registro— hasta el repositorio, el flujo de trabajo y el commit con los que se compiló el tarball.
Abrir herramientaVisor de atestaciones in-toto
Procedencia SLSA, DSSE y .intoto.jsonl
Pega un sobre DSSE, un archivo .intoto.jsonl, un bundle de Sigstore o la lista de atestaciones de npm: mira los sujetos de la declaración y lo que dice su predicado (procedencia SLSA, resúmenes de verificación, SBOM) y verifica las firmas con tus claves o con el certificado incrustado.
Abrir herramientaVerificador de firmas SSH
Archivos de ssh-keygen -Y, commits y etiquetas firmados
Comprueba una firma SSHSIG hecha con ssh-keygen -Y sign, o un commit o una etiqueta de Git firmados con una clave SSH, frente a un archivo allowed_signers: espacios de nombres, principals, periodos de validez y certificados SSH, con las mismas reglas que ssh-keygen.
Abrir herramientaInspector de Authenticode
Firmas de archivos EXE, DLL y SYS de Windows
Suelta un ejecutable de Windows: se recalcula su hash de imagen Authenticode y se verifica cada firma (certificado y cadena del firmante, firmas SHA-1 y SHA-256 anidadas, sellos de tiempo RFC 3161 y contrafirmas), con advertencias sobre datos ocultos tras la firma.
Abrir herramientaInspector de firmas APK
Esquemas de firma de APK de Android v1–v4
Suelta un APK (y su .idsig): se verifica cada esquema de firma como lo hace apksigner —los firmantes v2, v3 y v3.1 con sus resúmenes del contenido, rangos de SDK y linaje de rotación de claves, el árbol de Merkle v4 y la firma JAR v1—, con la huella digital del certificado por la que Android identifica la aplicación.
Abrir herramientaInspector de firmas JAR
Archivos JAR, WAR y EAR firmados, entrada a entrada
Suelta un JAR, WAR o EAR: se comprueba cada entrada con el manifiesto, cada archivo de firma con el manifiesto y cada bloque PKCS #7 con su archivo de firma, junto con los sellos de tiempo y la cadena del firmante; es el veredicto de jarsigner -verify -strict, entrada a entrada.
Abrir herramientaVerificador de firmas PDF
Comprueba firmas PDF sin subir el archivo
Suelta un PDF firmado para ver qué cubre cada firma, si el documento cambió después de la firma, quién lo firmó y cuándo. PAdES, CMS, los sellos de tiempo RFC 3161 y los datos LTV se comprueban en tu navegador: el archivo nunca se sube.
Abrir herramientaVerificador de firmas S/MIME
Comprueba localmente un correo firmado
Pega un correo firmado o abre el archivo .eml, .p7m o .p7s: la firma CMS, el certificado del firmante, su dirección de correo frente al encabezado From: y la cadena de certificados se comprueban en tu navegador.
Abrir herramientaInspector de tokens de sello de tiempo
Decodifica y verifica tokens RFC 3161
Pega un token, una respuesta o una solicitud de sello de tiempo: se decodifica TSTInfo, se compara la huella del mensaje con tu archivo y el nonce con la solicitud, y se verifican la firma y la cadena de certificados de la TSA, todo en tu navegador.
Abrir herramientaInspector de credenciales de contenido C2PA
Lee y verifica credenciales de contenido
Suelta una foto, un video o un archivo de audio para leer sus credenciales de contenido: quién lo firmó, qué herramientas lo crearon y editaron, si intervino la IA, a partir de qué se hizo y si el archivo cambió desde que se firmó. Se lee en tu navegador con la implementación de referencia de C2PA.
Abrir herramientaVerificador de atestación de YubiKey
Demuestra que una clave se generó en una YubiKey
Pega una atestación PIV de YubiKey y el certificado f9 del dispositivo: se verifica la cadena hasta la CA de Yubico y se leen la ranura, el firmware, el número de serie y las políticas de PIN y de toque, para que puedas exigir una clave generada en hardware antes de emitir un certificado.
Abrir herramienta