Clé d’éditeur

Chaque éditeur du marketplace (une organisation, ou un compte qui publie en son propre nom) dispose d’une clé d’éditeur. Chaque fichier de package que vous téléchargez, ou que récupère une plateforme connectée, est signé avec la clé de l’éditeur du package.

Où la trouver

Dans l’onglet Profil de l’espace d’une organisation, la carte Clé d’éditeur affiche :

Empreinte : un identifiant court de la clé, 16 caractères hexadécimaux comme 3f9c2a7be1d04c58 ;
Créée le : la date de création de la clé.

Avant la signature du premier fichier de l’organisation, la carte indique Pas encore de clé : elle est créée à la signature d’un premier fichier. Il n’y a rien à configurer : le marketplace crée la clé et la conserve. Sa partie privée n’est jamais affichée ni téléchargeable.

Ce que garantit la signature

Le marketplace se porte garant de chaque clé d’éditeur au moyen d’un certificat, présent dans chaque fichier de package. Lorsqu’une plateforme importe un fichier, elle vérifie :

que le certificat a été émis par le marketplace Auditix ;
que le fichier est signé par la clé désignée dans ce certificat, et n’a donc pas été modifié depuis sa publication ;
que l’éditeur inscrit dans le package est bien celui que désigne le certificat.

Un fichier qui échoue à l’une de ces vérifications est refusé (par exemple Ce paquet n’est pas signé par son éditeur). Un fichier valide est présenté sur la plateforme comme Signé par <éditeur> (<identifiant>), certifié par le marketplace Auditix, avec les logos du package et de l’éditeur. Voir Signatures côté plateforme.

Signature et certification sont deux choses différentes

	Signification
Signature (chaque package)	Le fichier provient réellement de cet éditeur, sans modification, via le marketplace. Elle ne dit rien de la qualité du contenu.
Publié par Auditix	L’éditeur est l’équipe Auditix.
Certifié par l’éditeur	Le constructeur dont le package couvre les équipements (une organisation de type Éditeur) l’a certifié.
Communauté	Signé par son éditeur, mais ni publié par Auditix ni certifié par un constructeur : examinez-le avant de l’utiliser en production.

Renouvellement de la clé

Si vous pensez que votre clé est compromise, contactez l’équipe Auditix : elle la remplace par une nouvelle. Les fichiers signés à partir de ce moment utilisent la nouvelle clé ; les fichiers téléchargés auparavant restent valables, car leur certificat est toujours signé par le marketplace.