La provenienza della release è la traccia di evidenze che mostra da dove proviene una release software, come è stata costruita e chi ha controllato il processo. Può includere la cronologia del repository dei sorgenti, i registri del sistema di build, le chiavi di firma, i metadati delle dipendenze e le approvazioni della release. Insieme, questi dettagli aiutano a dimostrare che un binario corrisponde al sorgente previsto ed è stato prodotto da una pipeline affidabile.
Nella sicurezza informatica, la provenienza è importante perché gli attaccanti spesso prendono di mira la supply chain invece dell'applicazione stessa. Se un avversario riesce a alterare l'ambiente di build, a rubare le chiavi di firma o a impersonare un fornitore, può distribuire un aggiornamento malevolo che sembra legittimo. I difensori usano controlli di provenienza per verificare gli aggiornamenti, rilevare manomissioni e ridurre la fiducia in build non firmate o non tracciabili. Una provenienza solida è particolarmente importante per strumenti forensi, agenti endpoint e altri software ad alta fiducia, dove una release difettosa può influire su molti sistemi contemporaneamente.