La catena di approvvigionamento per sviluppatori è l'insieme di strumenti e sistemi utilizzati per creare, testare, firmare e distribuire software. Include il controllo del codice sorgente, i gestori di pacchetti, gli IDE, i server CI/CD, gli agenti di build, i repository di artefatti, gli archivi di segreti e le pipeline di distribuzione. Poiché questi sistemi gestiscono codice e credenziali, sono obiettivi di alto valore per gli aggressori.
Nella sicurezza informatica, la catena di approvvigionamento per sviluppatori è importante perché una debolezza in uno strumento affidabile può influire su molti sistemi a valle. Gli aggressori possono avvelenare i pacchetti, rubare token dai server di build, manomettere gli output di build oppure abusare di un plugin compromesso o di un canale di aggiornamento. I difensori riducono questo rischio inventariando gli strumenti di build, applicando rapidamente le patch, isolando gli ambienti di build, limitando i segreti, verificando gli artefatti e monitorando eventuali modifiche impreviste. Proteggere la catena di approvvigionamento per sviluppatori aiuta a proteggere il software consegnato agli utenti.