Una sottochiave di firma è una chiave crittografica secondaria usata per un ruolo specifico di firma, separata da una chiave principale o primaria. In GPG e in sistemi simili, la chiave principale può identificare il proprietario, mentre la sottochiave gestisce la firma quotidiana di release, aggiornamenti o artefatti. Poiché può essere ruotata o revocata in modo indipendente, una sottochiave offre ai team un maggiore controllo sulla gestione delle chiavi.
Questo è importante nella sicurezza informatica perché il software firmato è considerato affidabile solo se la chiave di firma rimane sotto controllo. Se una sottochiave di firma viene esposta in un repository, rubata da un sistema di build o copiata da una macchina di sviluppo, i difensori possono revocarla e emetterne una sostitutiva per preservare la fiducia nelle release future. Gli attaccanti prendono di mira le chiavi di firma perché possono far sembrare legittimo software malevolo; i difensori usano la separazione delle sottochiavi per limitare i danni e ускорare il ripristino quando un segreto viene compromesso.