菜单
Produire un SBOM et signer les artefacts de release. Use this skill whenever the user asks about sbom provenance in an open-source maintenance context — including phrasing like "générer un sbom", "signer une release", "prouver la provenance du build" — even if they don't name the skill directly.
用 Codex 或 Claude 帮你安装 复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。
基于 SOC 职业分类
Reformuler, utiliser screenshots/logs, gérer les fuseaux. Use this skill whenever the user asks about empathie asynchrone in an open-source maintenance context — including phrasing like "répondre à un contributeur", "gérer une conversation asynchrone", "communiquer avec la communauté" — even if they don't name the skill directly.
Refuser une PR en proposant systématiquement une solution. Use this skill whenever the user asks about feedback constructif in an open-source maintenance context — including phrasing like "refuser cette pr", "décliner une contribution", "donner un feedback difficile" — even if they don't name the skill directly.
Répondre, reproduire et orienter vers les 'good first issue'. Use this skill whenever the user asks about triage issues in an open-source maintenance context — including phrasing like "trier les issues", "qualifier ce bug report", "good first issue" — even if they don't name the skill directly.
Traquer les régressions avec bisect. Use this skill whenever the user asks about bug track in an open-source maintenance context — including phrasing like "trouver quel commit a cassé", "bisect", "traquer une régression" — even if they don't name the skill directly.
Gérer les erreurs prod et les réversions. Use this skill whenever the user asks about cherry pick in an open-source maintenance context — including phrasing like "revert ce commit", "cherry-pick un hotfix", "porter un fix sur une autre branche" — even if they don't name the skill directly.
Naviguer dans les submodules et monorepos. Use this skill whenever the user asks about projecte master in an open-source maintenance context — including phrasing like "gérer mes submodules", "structurer un monorepo", "migrer vers un monorepo" — even if they don't name the skill directly.
| name | sbom-provenance |
| description | Produire un SBOM et signer les artefacts de release. Use this skill whenever the user asks about sbom provenance in an open-source maintenance context — including phrasing like "générer un sbom", "signer une release", "prouver la provenance du build" — even if they don't name the skill directly. |
| version | 1.0.0 |
| pilier | security_supply_chain |
| triggers | ["générer un sbom","signer une release","prouver la provenance du build"] |
| chains_to | ["governance/license-choice"] |
| compatibility | IA-agnostique (Claude, GPT, Gemini, Copilot, ou lecture humaine directe) — aucune dépendance à un vendor. |
Produire un SBOM et signer les artefacts de release.
Générer un SBOM basique (syft ou équivalent) à chaque release et le joindre aux artefacts.
Signer les releases avec Sigstore/cosign (signature sans gestion de clé privée manuelle, transparence via le log public Rekor).
Viser SLSA niveau 3 : build isolé et reproductible en CI, provenance non falsifiable, empêchant qu'un artefact publié diffère du code source review.
Si ce skill révèle un besoin relevant d'un autre pilier, enchaîner automatiquement sur : governance/license-choice.
