Usage typique sans clé : cosign sign registry/image@sha256:… dans la CI, puis cosign verify --certificate-identity https://github.com/org/repo/.github/workflows/release.yml@refs/tags/v1.2.3 --certificate-oidc-issuer https://token.actions.githubusercontent.com registry/image@sha256:…. Les signatures et les attestations sont stockées dans le registre, à côté de l’image (sous forme d’artefacts OCI, et de plus en plus sous forme de bundles Sigstore via l’API referrers).
Signez et vérifiez toujours par condensat, pas par tag, et épinglez toujours à la fois l’identité et l’émetteur (ou utilisez sciemment les variantes à expression régulière). Des contrôleurs d’admission comme le policy-controller de Sigstore et Kyverno imposent la vérification cosign dans Kubernetes.