Un gate di policy è un punto di controllo in una pipeline di delivery che blocca una release a meno che le regole di sicurezza predefinite non siano soddisfatte. Tali regole possono includere il superamento delle scansioni delle immagini, l'approvazione delle eccezioni, l'uso di immagini base attendibili o il raggiungimento di soglie di conformità. In pratica, il gate trasforma i risultati di sicurezza in un'azione: pubblicare, fermare o richiedere una revisione.
I gate di policy sono importanti perché spostano la sicurezza a sinistra, dall'osservazione all'applicazione. Una scansione che si limita a segnalare vulnerabilità può essere ignorata, ma un gate può impedire a un'immagine container vulnerabile di raggiungere la produzione. I difensori usano i gate per ridurre la probabilità che pacchetti esposti, configurazioni non sicure o artefatti non affidabili entrino in runtime. Gli attaccanti traggono vantaggio quando le pipeline non hanno questi controlli, perché un'immagine compromessa o obsoleta può essere promossa senza modifiche. I buoni gate di policy sono affiancati da registri di audit e dalla gestione delle eccezioni, così i team possono applicare gli standard senza bloccare ogni release legittima.