L'identità immutabile è un identificatore permanente che rimane invariato anche se cambia il nome visualizzato di un repository, progetto o account. A differenza di un'etichetta comprensibile per l'utente, è pensata per essere stabile, univoca e sicura da cui i sistemi possano fidarsi nel tempo.
Nella sicurezza informatica, l'identità immutabile è importante perché l'autorizzazione dovrebbe seguire l'entità che possiede davvero una risorsa, non un nome che può essere modificato, riutilizzato o riassegnato. Se un registro di pacchetti, un sistema CI o un servizio cloud vincola la fiducia a un'etichetta mutabile, un aggressore potrebbe sfruttare questa lacuna per pubblicare codice, richiedere credenziali o impersonare un flusso di lavoro legittimo sotto il nome sbagliato. I difensori riducono questo rischio controllando ID stabili, non solo i nomi dei repository, e usando controlli consapevoli dell'identità come le attestazioni OIDC, le allowlist dei publisher e i controlli di provenienza. Nella sicurezza della supply chain, l'identità immutabile aiuta a garantire che una release provenga davvero dalla fonte affidabile che il sistema intendeva approvare.