L'integrità downstream è la fiducia che i sistemi successivi ripongono negli artefatti software creati in precedenza nella catena di distribuzione, come binari compilati, pacchetti, immagini di container o bundle di aggiornamento. In una pipeline sana, ogni fase presume che la fase precedente abbia prodotto un artefatto legittimo e ne abbia preservato il contenuto senza modifiche non autorizzate.
Questo è importante perché una compromissione di un server di build, di un repository sorgente o di una pipeline di rilascio può corrompere tale fiducia. Se un attaccante altera le fasi di compilazione, inserisce codice, ruba chiavi di firma o sostituisce gli artefatti prima che vengano pubblicati, i sistemi downstream possono distribuire software dannoso trattandolo come autentico. I difensori proteggono l'integrità downstream con un controllo degli accessi rigoroso, la firma degli artefatti, registri di provenienza, ambienti di build isolati, build riproducibili e verifiche al momento dell'installazione o della distribuzione. L'obiettivo è garantire che ogni consumer possa verificare da dove proviene un artefatto e se è cambiato dopo essere stato compilato.