Auditaré tu archivo uv lock de python contra las attestaciones firmadas de pypi

¿Sabes si los paquetes de Python que distribuyes realmente fueron construidos desde los repositorios de los que dicen provenir? Esta auditoría verifica eso para cada paquete en tu uv.lock, usando los registros de publicación firmados (attestaciones Sigstore) que PyPI ya mantiene.

Obtienes una fila por paquete: cuántos archivos fijados llevan un registro firmado, el repositorio nombrado en la firma, el repositorio que declara el paquete y un veredicto (COINCIDE, NO COINCIDE, NO SE DECLARÓ REPOSITORIO, NO ATTESTADO, VERIFICACIÓN FALLIDA o OMITIDO). Cada firma se verifica contra el hash exacto del archivo que tu lock fija, por lo que un archivo que difiere del firmado aparece como fallo. Opcional: una verificación contra tu propia lista de repositorios esperados, una prueba más sólida que confiar en los metadatos del paquete. Además, una lectura breve por escrito de los paquetes sin firma y con discrepancias y qué hacer en cada caso, y una re-verificación después de tus cambios en 30 días.

Lo que necesito: tu uv.lock. No se instala ni ejecuta nada desde tu proyecto; la auditoría solo lee el lock y los registros públicos de PyPI.

Límites: COINCIDE es una verificación de consistencia, no una prueba de que un paquete sea seguro. Los índices que no sean PyPI se listan como OMITIDO. Aún no se soportan archivos de lock de pip y Poetry.