La firma delle release è il processo di applicazione di una firma crittografica alle build software, ai pacchetti o ai metadati degli aggiornamenti prima della loro distribuzione. La firma consente agli utenti, ai gestori di pacchetti e ai sistemi di aggiornamento di verificare che la release provenga dall'editore previsto e che non sia stata alterata dopo la compilazione.
Questo è importante perché la distribuzione del software dipende dalla fiducia. Se gli aggressori possono modificare una release durante il transito, potrebbero cercare di inserire malware, backdoor o aggiornamenti manomessi. Una firma valida aiuta i difensori a rilevare questo tipo di interferenza, mentre una chiave di firma compromessa può consentire a un aggressore di produrre false release apparentemente credibili. In pratica, la firma delle release è affiancata dalla protezione delle chiavi, dalla rotazione delle chiavi e da strumenti di verifica come GPG o infrastrutture di code signing. I processi di release robusti trattano le chiavi di firma come segreti di alto valore, perché perderne il controllo può compromettere la fiducia in ogni build che proteggono.