Des règles pour l'utilisation efficace de la cryptographie, notamment la gestion des clés cryptographiques, doivent être définies et mises en œuvre.
Les clés privées (exclusivement des clés RSA de 4096 bits) ne quittent jamais le jeton matériel et exigent la saisie physique du PIN et une confirmation par pression pour chaque opération. Même un poste de travail compromis ne peut pas accéder aux clés.
Les certificats Let's Encrypt se renouvellent automatiquement tous les 3 mois. Les clés du contrôleur Sealed Secrets sont renouvelées chaque mois. Aucune rotation manuelle à gérer, aucun incident d'expiration de clé.
Nous imposons la signature des commits avec YubiKey ; sinon, les commits ne peuvent pas être poussés — ils sont bloqués par les runners Gitea.
Nous imposons que tous les commits soient signés avec nos clés GPG sur YubiKey. Les commits non signés ou signés avec des clés locales sont rejetés par les runners Gitea, ce qui garantit la provenance, l'authenticité et un historique des changements inviolable sur l'ensemble du code.