sbom-provenance

name	sbom-provenance
description	Produire un SBOM et signer les artefacts de release. Use this skill whenever the user asks about sbom provenance in an open-source maintenance context — including phrasing like "générer un sbom", "signer une release", "prouver la provenance du build" — even if they don't name the skill directly.
version	1.0.0
pilier	security_supply_chain
triggers	["générer un sbom","signer une release","prouver la provenance du build"]
chains_to	["governance/license-choice"]
compatibility	IA-agnostique (Claude, GPT, Gemini, Copilot, ou lecture humaine directe) — aucune dépendance à un vendor.

Quand invoquer ce skill

Produire un SBOM et signer les artefacts de release.

L1 — Réflexe de base

Générer un SBOM basique (syft ou équivalent) à chaque release et le joindre aux artefacts.

L2 — Pratique professionnelle par défaut

Signer les releases avec Sigstore/cosign (signature sans gestion de clé privée manuelle, transparence via le log public Rekor).

L3 — Maîtrise d'architecte

Viser SLSA niveau 3 : build isolé et reproductible en CI, provenance non falsifiable, empêchant qu'un artefact publié diffère du code source review.

Chaînage

Si ce skill révèle un besoin relevant d'un autre pilier, enchaîner automatiquement sur : governance/license-choice.