La verifica lato client è un controllo eseguito dall'applicazione locale prima che installi o esegua il codice scaricato. Invece di fidarsi soltanto del nome di un repository, di un tag o di un'etichetta di marketplace, il client conferma che i file sul disco corrispondano al commit, alla versione o all'hash previsti.
Questo è importante perché gli attacchi alla supply chain spesso colpiscono il divario tra un riferimento attendibile e i byte effettivamente consegnati al dispositivo. Se il client non riesce a verificare il checkout finale, una dipendenza bloccata, un plugin o un'estensione possono essere sostituiti dopo la revisione e continuare comunque a sembrare legittimi all'utente. I difensori usano la verifica lato client per rilevare deriva di versione, manomissioni e contenuti firmati di nuovo o serviti di nuovo, e per imporre che l'albero di lavoro installato corrisponda alla release approvata. In pratica, i sistemi di aggiornamento robusti combinano pinning, controlli hash, convalida delle firme e verifica post-download per mantenere il codice installato allineato a ciò che è stato sottoposto a revisione.