NuGet Paket İmzalama

NuGet paket imzalama, .nupkg dosyasını kod imzalama sertifikasıyla imzalayarak paketin yayıncısını ve bütünlüğünü doğrulanabilir kılar. nuget.org, yayıncıların imzalama sertifikasını hesaplarına kaydetmesine izin verir; kayıtlı sertifikayla imzalı paketler "signed" olarak işaretlenir.

Sertifika gereksinimleri

• Code Signing uzatılmış anahtar kullanımı (EKU) bulunmalı.
• RSA 2048 bit veya üzeri anahtar.
• Geçerli süre içinde olmalı (zaman damgası sayesinde sonrası da geçerli kalır).

İmzalama

nuget sign MyPaket.1.0.0.nupkg -CertificateFingerprint <SHA256_PARMAK_IZI> -Timestamper http://time.certum.pl

dotnet nuget sign MyPaket.1.0.0.nupkg --certificate-path sertifika.pfx --certificate-password <PAROLA> --timestamper http://time.certum.pl

Sertifika mağazada veya token'da duruyorsa parmak izi yöntemini tercih edin; böylece .pfx dosyası diske çıkmaz.

Doğrulama

nuget verify -Signatures MyPaket.1.0.0.nupkg
dotnet nuget verify MyPaket.1.0.0.nupkg

nuget.org'a kayıt

1. Hesap ayarlarında sertifika (.cer) dosyasını kaydedin.
2. Paketi imzalayıp yükleyin; yalnızca kayıtlı sertifikayla imzalanmış sürümler kabul edilir.

Sık hatalar

• "Zaman damgası zorunlu/erişilemiyor": timestamper adresini ve ağ erişimini kontrol edin.
• EKU'da Code Signing bulunmaması.
• İmzadan sonra paketin yeniden paketlenmesi; imza geçersiz olur.

Kurumsal kullanım

• Şirket içi NuGet sunucusunda yalnızca imzalı paketleri kabul eden bir politika belirleyebilirsiniz.
• Güvenilen imzalayıcıları nuget.config içindeki trustedSigners bölümünde tanımlayın.
• Yayın hattında imzalama ve doğrulama adımlarını ayrı aşamalar yapın.
• Sertifika yenilendiğinde yeni parmak izini hem kayıt defterine hem istemci yapılandırmalarına ekleyin.

Hangi sertifikanın uygun olduğu için kod imzalama sayfasına, genel kavramlar için bilgi bankasına bakabilirsiniz. İstemci tarafında signatureValidationMode ayarını require yaparak imzasız paketleri de reddedebilirsiniz.

Özet: NuGet imzalama, paketin kaynağını ve bütünlüğünü tedarik zinciri boyunca doğrulanabilir kılar. Zaman damgası, doğru EKU ve kayıtlı sertifika ile imzalı paketler hem geliştiriciler hem kurumsal tüketiciler için güven sağlar.