git verify-commit

Inspección y comparación

Comprueba la firma GPG de los commits

El comando 'git verify-commit' comprueba la firma criptográfica de los commits hechos con git commit -S. Imprime lo que informa GPG (o SSH): quién firmó y si la firma es buena. Sale con error en commits sin firmar o mal firmados, así que puede proteger despliegues y fusiones.

Sinopsis

git verify-commit [-v | --verbose] [--raw] <commit>...
[ ] opcional| o<arg> valor a sustituir... repetible--flag opción

Ejemplos

Verificar el último commit

git verify-commit HEAD

Muestra el estado de la firma.

Ver las firmas en el log

git log --show-signature -3

La misma comprobación para varios commits.

Ejemplos de flujos de trabajo

1
git config --global user.signingkey <key-id>

Elegir tu clave

2
git commit -S -m "Release"

Firmar el commit

3
git verify-commit HEAD

Comprobarlo

Solución de problemas

gpg: Can't check signature: No public key

Causa: No tienes la clave pública del firmante

Impórtala: gpg --recv-keys <key-id>

Consejos y trampas

Buenas prácticas

  • ✓Firma los commits y tags de versión; verifícalos en CI.

Errores comunes

  • ✗Esperar una firma en commits hechos sin -S ni commit.gpgSign=true.

Preguntas frecuentes

A:

Sí, desde Git 2.34: git config gpg.format ssh.