Assinatura de código e documentos

Antes de executar uma release, descubra o que ela realmente é. Verifique bundles do Sigstore e a proveniência do npm até o repositório, o fluxo de trabalho e o commit que os geraram, leia atestados SLSA e in-toto, confira, com base no allowed_signers, commits do Git e arquivos assinados com SSH e inspecione as assinaturas de executáveis do Windows, APKs do Android e arquivos Java (JAR). Documentos e mídias também: verifique assinaturas de PDF (PAdES, LTV) e e-mails assinados (S/MIME) sem enviar nada, decodifique carimbos do tempo RFC 3161, leia as Content Credentials (credenciais de conteúdo, C2PA) de imagens e vídeos e comprove que uma chave foi gerada em uma YubiKey. Arquivos e chaves ficam no seu navegador; o verificador de npm consulta no registro público o pacote que você indicar, e a segunda verificação do Sigstore, opcional, envia ao nosso servidor apenas o bundle e o digest do arquivo.

12 ferramentas

Verificador de bundles Sigstore (Sigstore Bundle Verifier)

Bundles do cosign, do npm e de atestados do GitHub

Verifique um bundle Sigstore em relação ao arquivo que ele assina e à identidade esperada: o certificado Fulcio e os SCTs dele, a entrada no log do Rekor com a prova de inclusão e o checkpoint, os carimbos do tempo assinados e RFC 3161, as assinaturas DSSE e de mensagem — offline, como o cosign verify-blob.

Abrir ferramenta

Verificador de proveniência npm (npm Provenance Checker)

Onde um pacote npm foi realmente gerado

Digite um pacote e uma versão: seu navegador busca os atestados do registro e eles são verificados aqui — a proveniência SLSA assinada com o Sigstore e o atestado de publicação do registro — até o repositório, o fluxo de trabalho e o commit que geraram o tarball.

Abrir ferramenta

Visualizador de atestados in-toto (in-toto Attestation Viewer)

Proveniência SLSA, DSSE e .intoto.jsonl

Cole um envelope DSSE, um arquivo .intoto.jsonl, um bundle do Sigstore ou a lista de atestados do npm: veja os subjects da declaração e o que o predicado dela diz — proveniência SLSA, resumos de verificação, SBOMs — e verifique as assinaturas com suas chaves ou com o certificado incorporado.

Abrir ferramenta

Verificador de assinaturas SSH (SSH Signature Verifier)

Arquivos do ssh-keygen -Y, commits e tags assinados

Verifique uma assinatura SSHSIG feita com ssh-keygen -Y sign, ou um commit ou tag do Git assinado com chave SSH, em relação a um arquivo allowed_signers — namespaces, principals, períodos de validade e certificados SSH, com as mesmas regras do ssh-keygen.

Abrir ferramenta

Inspetor de Authenticode (Authenticode Inspector)

Assinaturas de arquivos EXE, DLL e SYS do Windows

Arraste e solte um executável do Windows: o hash Authenticode da imagem é recalculado e cada assinatura é verificada — certificado e cadeia do signatário, assinaturas SHA-1 e SHA-256 aninhadas, carimbos do tempo RFC 3161 e contra-assinaturas —, com avisos sobre dados escondidos depois da assinatura.

Abrir ferramenta

Inspetor de assinaturas APK (APK Signature Inspector)

Esquemas de assinatura v1–v4 de APKs Android

Arraste e solte um APK (e o .idsig dele): cada esquema de assinatura é verificado como o apksigner faz — signatários v2, v3 e v3.1 com os digests de conteúdo, as faixas de SDK e a linhagem de rotação de chaves, a árvore de Merkle v4 e a assinatura JAR v1 —, com a impressão digital do certificado pela qual o Android identifica o app.

Abrir ferramenta

Inspetor de assinaturas JAR (JAR Signature Inspector)

Arquivos JAR, WAR e EAR assinados, entrada por entrada

Arraste e solte um JAR, WAR ou EAR: cada entrada é conferida com o manifesto, cada arquivo de assinatura com o manifesto e cada bloco PKCS #7 com o arquivo de assinatura correspondente, com os carimbos do tempo e a cadeia do signatário — o veredito do jarsigner -verify -strict, entrada por entrada.

Abrir ferramenta

Verificador de assinaturas de PDF (PDF Signature Verifier)

Verifique assinaturas de PDF sem enviar o arquivo

Arraste e solte um PDF assinado para ver o que cada assinatura cobre, se o documento mudou depois da assinatura, quem o assinou e quando. PAdES, CMS, carimbos do tempo RFC 3161 e dados LTV são verificados no seu navegador — o arquivo nunca é enviado.

Abrir ferramenta

Verificador de assinaturas S/MIME (S/MIME Signature Verifier)

Verifique um e-mail assinado localmente

Cole um e-mail assinado ou abra o arquivo .eml, .p7m ou .p7s: a assinatura CMS, o certificado do signatário, o endereço de e-mail dele (comparado ao cabeçalho From:) e a cadeia de certificados são verificados no seu navegador.

Abrir ferramenta

Inspetor de tokens de carimbo do tempo (Timestamp Token Inspector)

Decodifique e verifique tokens RFC 3161

Cole um token, uma resposta ou uma requisição de carimbo do tempo: o TSTInfo é decodificado, o resumo da mensagem (message imprint) é conferido com o seu arquivo, o nonce com a requisição, e a assinatura e a cadeia de certificados da TSA são verificadas — tudo no seu navegador.

Abrir ferramenta

Inspetor de credenciais de conteúdo C2PA (C2PA Content Credentials Inspector)

Leia e verifique credenciais de conteúdo

Arraste e solte uma foto, um vídeo ou um arquivo de áudio para ler as credenciais de conteúdo (Content Credentials): quem assinou, quais ferramentas o criaram e editaram, se houve uso de IA, de que ele foi feito — e se o arquivo mudou desde que foi assinado. A leitura é feita no seu navegador com a implementação de referência do C2PA.

Abrir ferramenta

Verificador de atestado da YubiKey (YubiKey Attestation Verifier)

Comprove que uma chave foi gerada em uma YubiKey

Cole um atestado PIV da YubiKey e o certificado f9 do dispositivo: a cadeia até a CA da Yubico é verificada, e o slot, o firmware, o número de série e as políticas de PIN e de toque são lidos — assim você pode exigir uma chave gerada em hardware antes de emitir um certificado.

Abrir ferramenta