O Que É o Fulcio?
O Fulcio é a autoridade certificadora do Sigstore que emite certificados de assinatura de código de curta duração vinculados a uma identidade verificada de um provedor OIDC. Em vez de guardar uma chave privada por meses, quem assina prova quem é, recebe um certificado válido por minutos e assina dentro dessa janela. O certificado expirado é inofensivo se vazar.
Por que isso importa
Chaves de assinatura de longa duração são um passivo permanente; um único vazamento compromete todos os artifacts futuros. O Fulcio troca esse modelo por certificados efêmeros vinculados à identidade, o que é ideal em CI, onde um workflow pode apresentar um token OIDC para provar sua identidade e assinar sem nenhum segredo armazenado. Os verificadores confiam na identidade no certificado em vez de na impressão digital de uma chave.