質問: github では、 gpg キーでコミットを署名すると、そのコミットに対しては "Verified" のマークが付与されます。 しかし、 gpg のキーには例えば有効期間の概念があり、なので未来永劫同じキーを使い続けるような運用には、無理があります。 ### 質問 * github 上にて、コミットの "Verified" 判定はどのタイミングで行われますか? + それは、一度 "Verified" になればその後も "Verified" になり続ける、という理解で正しいですか?
回答: GPGキーはGitHub側にもあらかじめ登録する必要があるはずなので、**コミットのpush時**に 「コミットの署名」と「GitHubに登録されたキー」が一致しているか、で判定ではないでしょうか。