Artefakty vydaní a overenie¶

Táto stránka uvádza artefakty vydaní Weblate a udržiavané distribučné kanály a vysvetľuje, ako overiť artefakty, ktoré zahŕňajú publikované podpisy, osvedčenia a SBOM. Pre podporované verzie a pokrytie bezpečnostných aktualizácií pozri Vydania a podporované verzie. Pre monitorovanie závislostí a skenovanie zraniteľností kontajnerov pozri Závislosti.

Inventár artefaktov vydaní¶

Vydania Weblate a udržiavané distribučné kanály sa publikujú prostredníctvom niekoľkých kanálov. Tento inventár uvádza artefakty popísané týmto repozitárom a miesto, kde sa udržiavajú dôkazy o ich publikovaní. Pre artefakty udržiavané v sesterských repozitároch vlastnených Weblate tabuľka uvádza repozitár, kde sa nachádza automatizácia zostavenia a vydania.

Artefakt alebo kanál	Vlastniaci repozitár alebo umiestnenie	Cieľ publikovania	Dôkaz repozitára	Poznámky
Zdrojové vydania a assety vydaní GitHub	`WeblateOrg/weblate`	Vydania GitHub	`.github/workflows/setup.yml`, `scripts/create-release`, `scripts/prepare-release` a Vydávanie Weblate	Assety vydaní zahŕňajú archívy distribúcie Python, poznámky k vydaniu a SBOM vydania.
Balík Python	`pyproject.toml`, `setup.py` a `MANIFEST.in`	weblate	Pracovný postup distribúcie zostavuje, validuje, podpisuje a publikuje balík pomocou dôveryhodného publikovania PyPI.	Metadáta balíka a závislosti sa udržiavajú v tomto repozitári.
Obrazy Docker	Repozitár Weblate Docker	Docker Hub a Register Docker GitHub Packages	Weblate Dockerfile, Pracovný postup obrazu Weblate Docker, Pracovný postup CI kontajnera Weblate Docker, Inštalácia pomocou Dockeru, Vydávanie Weblate a `security.yaml`	Pracovný postup zostavuje multiarchitektonické obrazy, spúšťa testy kontajnerov, skenuje pomocou Anchore a Trivy a publikuje do Docker Hub a GitHub Packages. Digesty publikovaných obrazov sú podpísané pomocou Cosign a zostavenie publikuje osvedčenia BuildKit SBOM a pôvodu.
Graf Kubernetes Helm	Repozitár Weblate Helm	Koncový bod repozitára Weblate Helm a Artifact Hub	Graf Weblate Helm, Pracovný postup vydania Weblate Helm, Pracovný postup testovania Weblate Helm, Pracovný postup kontroly závislostí Weblate Helm a Inštalácia na Kubernetes	Pracovný postup vydania grafu používa Helm chart-releaser pri zmenách pod `charts/**`. Testovanie grafu kontroluje lint a inštaluje graf. Podpisovanie grafu, pôvod grafu a dôkazy SBOM grafu neboli nájdené v kontrolovaných pracovných postupoch Helm.
Dokumentácia	`docs/`, `docs/conf.py` a `.readthedocs.yml`	Dokumentácia Weblate	`.github/workflows/docs.yml` a `.readthedocs.yml`	Nastavenia projektu Read the Docs nie sú uložené v tomto repozitári.
Balík a vydania Weblate Client	Repozitár Weblate Client	wlc a Vydania Weblate Client na GitHub	Pracovný postup distribúcie Weblate Client, Metadáta Weblate Client a Klient Weblate	Pracovný postup zostavuje a validuje zdrojové a wheel artefakty, publikuje do PyPI pomocou dôveryhodného publikovania, vytvára vydania GitHub pre tagy, pripája súbory SBOM balíka k vydaniam GitHub a vytvára osvedčenia o pôvode balíka a SBOM.
Obraz Docker Weblate Client	Repozitár Weblate Client	Obraz Docker Weblate Client a Register GHCR Weblate Client	Weblate Client Dockerfile, Pracovný postup Docker Weblate Client a Klient Weblate	Pracovný postup zostavuje multiarchitektonické obrazy, testuje obraz klienta príkazového riadka, skenuje pomocou Anchore a Trivy a publikuje do Docker Hub a GitHub Packages. Digesty publikovaných obrazov sú podpísané pomocou Cosign, SBOM obrazov CycloneDX sa generujú pomocou Syft a osvedčenia o pôvode obrazu a SBOM sa odosielajú do registrov.

The development Docker files in dev-docker/ are development and testing infrastructure, not production release artifacts.

Súbory Docker Compose, vrátane repozitára Weblate Docker Compose a príkladov lokálnych prepisov, sú príkladmi konfigurácií nasadenia, nie artefaktmi vydaní. Prevádzkovatelia ich zvyčajne prispôsobujú pre svoje vlastné nasadenia a aktualizujú Weblate primárne výberom alebo stiahnutím tagov obrazov Docker. Nie sú pokryté podpismi vydaní, SBOM ani vyhláseniami o pôvode na tejto stránke.

Softvérový zoznam materiálov (SBOM)¶

Weblate publikuje Softvérový zoznam materiálov (SBOM) vo formáte CycloneDX pre vydané verzie. SBOM je k dispozícii ako verzovaný súbor weblate-<version>-sbom.cdx.json v assetoch vydaní GitHub a je tiež pripojený k pôvodu vydania pomocou osvedčení artefaktov GitHub. Možno ho použiť na preskúmanie závislostí z hľadiska bezpečnostných problémov alebo súladu s licenciou.

SBOM vydania zaznamenáva metadáta na úrovni dokumentu pre minimálne prvky CISA 2025, vrátane autora SBOM, výrobcu softvéru, nástrojov na generovanie, časovej pečiatky, kontextu generovania a identity komponentu vydania Weblate. Podrobnosti o komponentoch závislostí sú emitované generátormi SBOM ekosystému použitými počas vydania. Úplnosť licencie a hashu komponentu Python preto závisí od podpory exportu CycloneDX v uv.

Overovanie artefaktov vydania¶

Pracovný postup vydania Weblate publikuje overovací materiál pre zdrojovú distribúciu Weblate Python a wheel v assetoch vydaní GitHub. Assety vydaní zahŕňajú archívy balíkov, balíky podpisov Sigstore, poznámky k vydaniu a SBOM vydania. Rovnaké archívy balíkov sa nahrávajú do PyPI pomocou dôveryhodného publikovania, ale súbory balíkov Sigstore sa do PyPI nenahrávajú, pretože pracovný postup vydania pred publikovaním odstráni súbory, ktoré PyPI neprijíma.

Overte súbory stiahnuté z assetov vydaní GitHub, keď potrebujete publikované podpisy, osvedčenia a SBOM. Súbory balíkov PyPI možno porovnať so zodpovedajúcimi assetmi vydaní GitHub podľa názvu súboru a digestu.

Podpisy vydaní¶

Archívy balíkov Weblate sú kryptograficky podpísané pomocou podpisov Sigstore. Balíky podpisov sú pripojené k vydaniu GitHub vedľa podpísaných súborov .tar.gz a .whl.

Overenie možno vykonať pomocou balíka sigstore. Nasledujúci príklad overuje wheel z vydania 5.4; upravte verziu a názvy súborov pre vydanie, ktoré kontrolujete:

sigstore verify github \
   --cert-identity https://github.com/WeblateOrg/weblate/.github/workflows/setup.yml@refs/tags/weblate-5.4 \
   --bundle Weblate-5.4-py3-none-any.whl.sigstore \
   Weblate-5.4-py3-none-any.whl

Osvedčenia vydaní¶

Pracovný postup vydania vytvára dva druhy osvedčení artefaktov GitHub pre archívy balíkov:

Osvedčenia o pôvode zostavenia generované súborom .github/workflows/setup.yml pomocou actions/attest-build-provenance.
Osvedčenia SBOM generované súborom .github/workflows/setup.yml pomocou actions/attest s SBOM vydania CycloneDX.

Osvedčenia možno overiť pomocou gh. Nasledujúci príklad kontroluje osvedčenie o pôvode zostavenia pre wheel 5.4:

gh attestation verify Weblate-5.4-py3-none-any.whl \
   --repo WeblateOrg/weblate \
   --source-ref refs/tags/weblate-5.4 \
   --signer-workflow WeblateOrg/weblate/.github/workflows/setup.yml

Použite typ predikátu CycloneDX na overenie osvedčenia SBOM pripojeného k rovnakému artefaktu balíka:

gh attestation verify Weblate-5.4-py3-none-any.whl \
   --repo WeblateOrg/weblate \
   --source-ref refs/tags/weblate-5.4 \
   --signer-workflow WeblateOrg/weblate/.github/workflows/setup.yml \
   --predicate-type https://cyclonedx.org/bom

SBOM a kontrolné súčty¶

SBOM vydania je súbor CycloneDX JSON s názvom weblate-<version>-sbom.cdx.json a je pripojený k assetom vydaní GitHub. Osvedčenie SBOM je pripojené k archívom balíkov, nie k súboru SBOM ako samostatný artefakt vydania.

Weblate v súčasnosti nepublikuje samostatný manifest kontrolných súčtov, ako je SHA256SUMS, pre artefakty vydaní.

Iné kanály vydaní¶

Inventár artefaktov vydaní v súčasnosti neidentifikuje podpisy, SBOM ani osvedčenia o pôvode pre grafy Helm. Pokyny na overenie v tejto sekcii sa vzťahujú na artefakty vydaní Weblate Python publikované týmto repozitárom. Metadáta dodávateľského reťazca obrazov Docker a Weblate Client sú publikované ich vlastniacimi repozitármi.