in-toto.

Cadre ouvert qui atteste cryptographiquement chaque étape d'une chaîne d'approvisionnement logicielle pour que les consommateurs vérifient que l'artefact a été produit et manipulé exactement comme le propriétaire du projet l'a prévu. Cette notion relève de la catégorie Sécurité applicative en cybersécurité.

Cadre ouvert qui atteste cryptographiquement chaque étape d'une chaîne d'approvisionnement logicielle pour que les consommateurs vérifient que l'artefact a été produit et manipulé exactement comme le propriétaire du projet l'a prévu.

in-toto, hébergé par la CNCF, modélise la chaîne logicielle comme une séquence d'étapes (clone, test, build, signature, publication, etc.) avec entrées, sorties et acteurs autorisés déclarés. Chaque étape produit un fichier de métadonnées signé ("link") consignant matériaux et produits ; un "layout" global signé par le propriétaire définit qui doit exécuter chaque étape et comment les artefacts circulent. Un vérificateur prend l'artefact final et les attestations correspondantes et vérifie que la chaîne respecte la politique. Les attestations in-toto expriment la provenance SLSA, les résultats de scan, les preuves de tests et d'autres prédicats signés, souvent distribués via des registres OCI et signés avec Sigstore. C'est une brique fondatrice des chaînes logicielles vérifiables et alignées SLSA.

Les défenses contre in-toto combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Noms alternatifs courants : in-toto.