Reproducibilidad en PyPI: qué falta para lograr builds reproducibles
What's missing to have reproducible builds on PyPI
El autor analiza la falta de un mecanismo definido para builds reproducibles en PyPI, clave para la seguridad de la cadena de suministro. Propone registrar el código fuente y el software utilizado en la construcción, aprovechar los SBOM para wheels y resolver la limitación de los sdists. Además, sugiere que verificadores independientes puedan confirmar la reproducibilidad en PyPI, beneficiando a toda la comunidad.
Si registramos toda la información sobre el software utilizado para construir una distribución, podremos reproducir exactamente los mismos bits y demostrar que nada fue manipulado.