Depuis août 2025, Docker a mis fin à Docker Content Trust (DCT) et à Notary v1, longtemps utilisés pour vérifier l’authenticité des images. Face à l’évolution des menaces et aux nouveaux standards de la supply chain logicielle, ces signatures ne fonctionnent plus sur les images officielles. Pour les équipes DevOps, la vraie question n’est plus “faut-il migrer ?”, mais “comment migrer rapidement sans perturber nos pipelines ?”.
La fin d’une ère : pourquoi Docker abandonne Content Trust
Content Trust avait le mérite de poser les bases de la confiance dans les conteneurs. Mais ses limites sont devenues évidentes. Clés difficiles à gérer, manque de flexibilité, absence de support natif pour les SBOM et autres métadonnées modernes : dans un contexte de menaces croissantes, ce mécanisme était devenu trop fragile.
Docker a choisi de prendre une décision radicale : basculer vers un système plus robuste, plus simple à intégrer dans les pipelines et aligné avec les standards ouverts du marché. En d’autres termes, Content Trust appartient désormais au passé.
Ce que cela change pour vos pipelines CI/CD
Si vos pipelines s’appuyaient encore sur DCT, vous avez sans doute déjà rencontré des erreurs au moment de tirer ou de déployer des images officielles. Les signatures Notary v1 ne sont plus disponibles, et toute étape qui les valide échoue immédiatement.
Cela signifie qu’il faut revoir vos processus de build et de déploiement pour intégrer un nouvel outil de confiance. Les audits de conformité, eux, n’attendront pas. SBOM, provenance, attestations : autant de pièces désormais essentielles pour prouver que vos images sont fiables, traçables et conformes aux exigences réglementaires.
Cosign : la nouvelle norme dans Docker
Dans cet écosystème renouvelé, un nom s’impose : cosign. Porté par la fondation Sigstore et adopté massivement par la communauté open source, cosign n’est pas simplement un remplaçant. C’est une refonte totale de l’approche signature.
Avec cosign, la signature des images est simplifiée, les clés peuvent être gérées avec des solutions modernes (KMS, HSM, cloud providers), et les signatures s’intègrent directement dans les registres OCI, aux côtés des images. Mieux encore, cosign ne s’arrête pas aux signatures : il permet aussi d’attacher des attestations, des SBOM et toute une gamme de métadonnées de sécurité, ouvrant la voie à une traçabilité complète.
Autrement dit : avec cosign, vos conteneurs ne sont pas seulement “signés”, ils sont certifiés, audités et vérifiables de bout en bout.
Envie de solidifier vos compétences DevOps ? Notre formation Docker avancé vous permettra d’optimiser vos builds, d’automatiser vos déploiements et de gagner en performance sur vos environnements conteneurisés.
Migrer sans douleur : par où commencer ?
La bonne nouvelle, c’est que la transition peut être progressive. Commencez par inventorier vos images critiques et mettez en place cosign dans vos pipelines de build. La commande est simple, et l’intégration avec Docker Buildx ou GitHub Actions se fait en quelques minutes.
Ensuite, ajoutez une étape de vérification lors des déploiements. Ainsi, toute image non signée sera automatiquement rejetée. Ce mécanisme crée une barrière de sécurité qui protège vos environnements de production contre les intrusions et les erreurs humaines.
Enfin, formez vos équipes. La sécurité des conteneurs n’est pas qu’une question d’outils : c’est un état d’esprit. En donnant à vos DevOps les bons réflexes, vous transformerez cette contrainte en avantage compétitif.
Un cas concret : d’un risque latent à une supply chain maîtrisée
Prenons l’exemple d’une entreprise fictive, mais représentative. Pendant des années, elle utilisait DCT par habitude, sans vraiment vérifier les signatures. Lors d’un audit, elle découvre que plusieurs images critiques n’avaient jamais été vérifiées correctement. Avec l’abandon de DCT, l’équipe est forcée de revoir son approche.
En migrant vers cosign, non seulement elle rétablit la vérification des signatures, mais elle ajoute aussi la génération automatique de SBOM à chaque build. Résultat : non seulement elle est conforme aux nouvelles normes, mais elle gagne aussi en visibilité sur les composants de ses images, réduisant drastiquement ses temps de réaction en cas de faille de sécurité.
Conclusion
La fin de Docker Content Trust n’est pas une mauvaise nouvelle : c’est une opportunité.
En adoptant cosign, vous modernisez vos pratiques, vous alignez vos pipelines sur les standards de l’industrie, et vous renforcez la résilience de votre supply chain logicielle.
Attendre n’est pas une option : chaque image non signée est une porte ouverte à la compromission. Commencez petit, migrez vos premières images, puis élargissez progressivement. Dans quelques mois, vous vous demanderez comment vous avez pu travailler autrement.
