gpg --detach-sign file записывает file.sig (в двоичном виде), а с --armor — file.asc; команда gpg --verify file.asc file проверяет подпись. Так же устроены подписи SSH (ssh-keygen -Y sign), бандлы Sigstore, JWS с отсоединённой полезной нагрузкой и части S/MIME multipart/signed. Проверяющая сторона должна получить ровно те же байты, которые были подписаны; изменение концов строк или повторное сжатие ломают проверку.
Верная отсоединённая подпись доказывает лишь то, что эти байты подписал какой-то ключ: проверяющей стороне ещё нужно решить, принадлежит ли ключ ожидаемому издателю, — в идеале по закреплённому отпечатку или удостоверению, а не по тому ключу, который указан в подписи.