Nama dan e-mel pada commit Git boleh diisi oleh sesiapa. Dalam pasukan, itu bermakna paparan pengarang sahaja tidak cukup untuk membuktikan siapa yang benar-benar membuat perubahan. Commit bertanda tangan menggunakan kunci untuk mengaitkan commit dengan identiti yang telah disahkan oleh platform.
Sebelum mengaktifkannya untuk semua orang, tentukan kaedah yang pasukan boleh gunakan dan pulihkan jika peranti hilang. GitHub menyokong beberapa cara menandatangani commit; panduan rasminya menerangkan status pengesahan dan hadnya. Sediakan arahan setup yang boleh diikuti pembangun baharu, bukan sekadar polisi yang membuat push mereka gagal.
Tanda tangan bukan bukti kod itu baik
Commit yang sah masih boleh mempunyai pepijat, dependency berisiko atau keputusan produk yang salah. Review, ujian dan kawalan akses tetap diperlukan. Jika kunci seseorang terdedah, pasukan perlu tahu cara membatalkan serta menggantinya. Peraturan keselamatan yang berguna mempunyai laluan pemulihan, bukan hanya suis untuk dihidupkan.
Peraturan signed commit perlu diuji pada keadaan pemulihan: pembangun menukar laptop, kunci tamat tempoh atau akaun diganti. Jika prosesnya menyebabkan kerja terhenti beberapa hari, dokumentasi belum lengkap. Keselamatan yang baik menjaga identiti sambil menyediakan cara yang terkawal untuk kembali bekerja.
Untuk projek seorang, langkah ini mungkin tidak mendesak seperti 2FA dan secret yang dijaga baik. Pilih mengikut risiko, kemudian tambah lapisan apabila proses asas sudah kukuh.