trusted_root.json

{
  "_placeholder": false,
  "mediaType": "application/vnd.dev.sigstore.trustedroot+json;version=0.1",
  "status": "AUTO-MATERIALIZED IN CI — release.yml job sign-verify materializes on first tag push.",
  "decision": "DEC-006 (Sigstore keyless + verificación offline con raíces fijadas).",
  "purpose": "Raíces de Fulcio/Rekor fijadas para `cosign verify-blob --trusted-root`. El workflow release.yml materializa automáticamente en el job 'sign-verify' usando `cosign trusted-root create --dst trusted_root.json`.",
  "how_to_materialize": [
    "1. En CI (runner Ubuntu con cosign): `cosign trusted-root create --dst trusted_root.json`",
    "2. Commit y push el trusted_root.json resultante al repositorio (o mantener como artefacto de release).",
    "3. Registrar URL (https://tuf-repo-cdn.sigstore.dev), fecha de captura y caducidad como evidencia VAL (ADR-0008: procedencia con caducidad).",
    "4. El workflow release.yml verificará offline automáticamente tras materialización."
  ],
  "verify_command": "cosign verify-blob --trusted-root trusted_root.json --certificate <fichero>.pem --signature <fichero>.sig <fichero>",
  "references": [
    "docs/00-governance/decision-register.md (DEC-006)",
    "docs/02-architecture/adr/ADR-0008-catalogos-firmados-y-procedencia.md",
    "docs/02-architecture/adr/ADR-0009-actualizacion-firmada-mvp.md",
    "docs/08-security/supply-chain-policy.md",
    "docs/08-security/updater-threat-model.md",
    "docs/10-delivery/packaging-release.md (apéndice I11)",
    ".github/workflows/release.yml (job sign-verify: materialización automática)"
  ],
  "ci_materialization_job": "sign-verify (auto-materializa con cosign trusted-root create si detecta placeholder)"
}