La signature de commits Git est devenue une pratique essentielle pour garantir l'authenticité du code source. Avec NixOS et Home Manager, cette configuration devient déclarative, reproductible et élégante. Cet article détaille comment configurer Git avec la signature SSH ED25519, à la place de gpg, particulièrement adaptée aux forges auto-hébergées comme Forgejo ou Gitea. Github et gitlab intègre l'affichage du controle de signature.

La signature de commits offre plusieurs avantages :

• Authenticité : garantit que c'est bien vous qui avez créé le commit
• Traçabilité : essentiel pour les projets sensibles ou collaboratifs
• Badge vérifié : sur Forgejo/Gitea, vos commits affichent un badge de vérification

Avec SSH, vous réutilisez vos clés existantes sans la complexité de GPG. L'apport principal de GPG étant la durée de vie des clés et la révocation, à vous de mesurer votre besoins.

A ce jour, je ne travail pas dans un contexte ou j'ai besoins des fonctionnalités de GPG, j'ai donc opté pour SSH, mais ce contexte pourrait changer dans un futur plus ou moins proche. Le changement pour GPG sera simple.

Si vous n'avez pas encore de clé ED25519 :

1
2
3
4
5
6

# Générer une nouvelle clé
ssh-keygen -t ed25519 -C "lucazeau.alexandre@gmail.com" \
  -f ~/.ssh/id_ed25519-2025

# Ajouter au ssh-agent
ssh-add ~/.ssh/id_ed25519-2025

La clé publique se trouve dans ~/.ssh/id_ed25519-2025.pub.

La configuration inclut plusieurs alias qui améliorent le workflow :

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16

alias = {
  # Commits rapides
  cim = "commit -m";
  cima = "commit -am";
  oups = "commit --amend --no-edit";
  
  # Gestion des branches
  nb = "checkout -b";
  bd = "branch -d";
  
  # Push sécurisé
  pushfl = "push --force-with-lease";
  
  # Statut compact
  st = "status -sb";
};

L'alias oups est particulièrement utile pour amender le dernier commit signé sans éditer le message.

La configuration utilise Delta comme pager pour des diffs plus lisibles :

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12

core = {
  pager = "delta";
};

interactive = {
  diffFilter = "delta --color-only --features=interactive";
};

delta = {
  navigate = true;
  line-numbers = true;
};

Delta nécessite d'être installé dans votre configuration NixOS :

1
2
3

home.packages = with pkgs; [
  delta
];

Pour vérifier les signatures de commits localement :

1
2
3
4
5

# Voir les signatures dans le log
git log --show-signature

# Vérifier un commit spécifique
git verify-commit HEAD

La sortie devrait afficher :

Good "git" signature for lucazeau.alexandre@gmail.com with ED25519 key SHA256:...

Avec NixOS et Home-Manager :

• Reproductibilité : même configuration sur toutes vos machines
• Versionnage : votre config Git est dans votre dépôt dotfiles
• Atomicité : activation/rollback instantané avec home-manager switch
• Documentation : la config est auto-documentée en Nix

Si vous utilisiez GPG auparavant, la migration est simple :

1
2
3
4
5
6
7
8
9

# Commentez l'ancienne config GPG
#signing.key = "3C8ADB07A8217BD3";
#signing.signByDefault = false;

# La nouvelle config SSH prend le relais
gpg = {
  format = "ssh";
  ssh.allowedSignersFile = "~/.ssh/allowed_signers";
};

Aucun impact sur vos anciens commits signés avec GPG, ils restent valides.

La signature SSH de commits avec NixOS offre le meilleur des deux mondes : la simplicité de SSH et la puissance de la configuration déclarative.

Pour aller plus loin :

• Activez la signature obligatoire sur vos dépôts Forgejo
• Configurez des hooks pre-commit pour vérifier les signatures
• Explorez git config --global tag.gpgSign true pour signer aussi les tags

• Documentation Gitea sur les clés SSH
• Options Home Manager pour Git
• Delta - Un meilleur diff Git

—

Configuration testée sur NixOS 25.11 avec Home-Manager et Forgejo 1.21