Paquete de evidencias

Un ZIP firmado por Deployment o Data Change con todo lo que pide un auditor, y el informe consolidado del cambio en PDF.

Cómo descargarlo

Abre el Deployment o Data Change y elige Paquete de evidencias en su menú ⋮. El paquete se arma en el momento con los mismos datos que muestra la pantalla, así nunca cuentan historias distintas.

  • Disponible para los roles que incluyen «Descargar el paquete de evidencias de auditoría de un Deployment o Data Change».
  • Descargar PDF, en el mismo menú, entrega por separado el informe consolidado del cambio.
  • Cada descarga queda registrada en el log de auditoría, con la huella del paquete que generó.

Qué contiene

  • ChangeRequest.pdf: el informe consolidado —avance por fases, personas, cronograma, aprobaciones, pruebas, desarrollo, validaciones, evidencias e historial—.
  • BusinessCase.pdf y Requirements.pdf: el caso de negocio y los requerimientos de los que proviene el cambio.
  • PullRequests.pdf y Commits.pdf: el código detrás del cambio y sus ejecuciones de CI, desde GitHub, GitLab o Azure DevOps.
  • TestResults.pdf, las actas de comité de un Deployment o las autorizaciones de un Data Change, y el plan de rollback.
  • Validations: el PDF de cada checklist relacionado con el cambio.
  • Los adjuntos, en carpetas por fase, más AuditTrail.csv con cada cambio registrado. 
PAGOS-DPY-2026-00482-AUDIT/
├── ChangeRequest.pdf
├── BusinessCase.pdf · Requirements.pdf
├── PullRequests.pdf · Commits.pdf · TestResults.pdf
├── Committee-PRE.pdf · Committee-PROD.pdf
├── Rollback-Plan.pdf · DataChanges.pdf
├── Validations/  PRE-Evidence/  PROD-Evidence/  Other-Evidence/
├── AuditTrail.csv · README.txt
└── Manifest.sha256 · Manifest.sig · SigningKey.pem

Integridad y verificación

Manifest.sha256 lista el SHA-256 de todos los demás archivos y Manifest.sig lo firma con una clave Ed25519; la clave pública viaja en el paquete y además se publica en /.well-known/devgob-evidence-key. Cada adjunto se coteja con la huella registrada al subirlo: uno que ya no coincide se excluye y se lista, nunca se empaqueta en silencio.

sha256sum -c Manifest.sha256
openssl pkeyutl -verify -pubin -inkey SigningKey.pem \
  -rawin -in Manifest.sha256 -sigfile Manifest.sig
El paquete documenta evidencia para tu propia auditoría y mapeo de controles; no es una certificación.

Límites

  • Hasta 200 adjuntos y 64 MB por paquete; lo que exceda se lista en README.txt.
  • Hasta diez paquetes cada diez minutos por persona, para que armar uno nunca ralentice el espacio de trabajo.

Siguientes pasos

Gobierno de despliegues Cómo viaja una liberación de código a producción: sus fases, la evidencia que pide cada una, dos autorizaciones de comité y una respuesta automática ante un rollback. Modificaciones de datos Los cambios en datos de producción tienen su propio flujo gobernado, con la autorización de negocio y la técnica separadas. Seguridad y aislamiento de datos Cómo la información de un espacio de trabajo sigue siendo solo suya.