Należy zdefiniować i wdrożyć zasady skutecznego stosowania kryptografii, w tym zarządzania kluczami kryptograficznymi.
Klucze prywatne (wyłącznie klucze RSA 4096-bitowe) nigdy nie opuszczają tokena sprzętowego, a każda operacja wymaga fizycznego wpisania PIN-u i potwierdzenia dotknięciem. Nawet przejęta stacja robocza nie ma dostępu do kluczy.
Certyfikaty Let's Encrypt odnawiają się automatycznie co 3 miesiące. Klucze kontrolera Sealed Secrets są rotowane co miesiąc. Bez ręcznej rotacji i bez incydentów z wygasłymi kluczami.
Wymuszamy podpisywanie commitów kluczem YubiKey — w przeciwnym razie commity nie zostaną wypchnięte, bo zablokują je runnery Gitea.
Wymagamy, aby wszystkie commity były podpisane naszymi kluczami GPG na YubiKey. Commity niepodpisane lub podpisane kluczami lokalnymi są odrzucane przez runnery Gitea, co zapewnia pochodzenie, autentyczność i odporną na manipulacje historię zmian w całym kodzie.