SignPath

SignPath est une plateforme d’intégrité logicielle dédiée à la signature de code pilotée par politique, fondée en 2017 et basée à Vienne. Elle sort la signature des postes de développement pour la confier à un service gouverné : les politiques de signature sont appliquées par projet et par version, les clés privées restent dans des HSM validés FIPS 140-2 niveau 3, hébergés par SignPath ou gérés par le client, et chaque signature est rattachée à une compilation vérifiée. La plateforme y ajoute le contrôle d’intégrité du pipeline et l’attestation logicielle, en produisant des enregistrements de provenance SLSA, des attestations in-toto et des SBOM signés, avec des intégrations natives pour GitHub, GitLab, Azure DevOps, Jenkins et TeamCity, ainsi qu’un accès REST et en ligne de commande. Son positionnement répond directement au règlement européen sur la cyberrésilience (CRA), au NIST SSDF et à l’IEC 62443, ce qui en fait un complément naturel de la gestion du cycle de vie des certificats pour les organisations qui doivent prouver l’origine d’un artefact signé.