Un dépôt statique peut suffire au début
Une première version robuste peut publier des fichiers signés dans une arborescence simple : métadonnées TUF, canaux stable/rc/nightly, éditions, bundles RAUC, ISO, SBOM, preuves, notes et SHA256SUMS.
Manifeste comme source de vérité
Chaque release relie identifiant de build, version, édition, canal, audience, URL, taille, SHA-256, signature, SBOM, notes, preuves et éventuelle révocation.
Publication et licence
La signature cryptographique est obligatoire pour tous les artefacts. Une licence peut contrôler l’accès à un canal privé, mais elle ne remplace jamais l’authenticité du fichier.