Bảo mật phát hành phần mềm

• Release Governance — Mỗi Release được quản lý theo Product, Version, Platform, Release ID/Version và trạng thái phát hành tương ứng.
• PUBLISHED là trạng thái phát hành chính thức — Build nội bộ, bản thử nghiệm, RC hoặc Artifact chưa được phê duyệt không được coi là bản chính thức dành cho khách hàng.
• No Rebuild after release freeze — Artifact đã được khóa để phát hành phải được nhận diện bằng Version/Digest/Checksum phù hợp. Artifact đã được phê duyệt không được tự ý rebuild rồi vẫn coi là cùng một bản phát hành.
• Code Signing — Package phát hành có thể được ký bằng cơ chế Code Signing phù hợp với Platform để hỗ trợ xác minh nguồn phát hành và tính toàn vẹn.
• Package Verification — Trước khi cài đặt hoặc Update, Package có thể được kiểm tra chữ ký, metadata, Digest/Checksum hoặc thông tin Release phù hợp với Platform.
• Artifact Integrity — Các thành phần phát hành được kiểm soát nhằm bảo đảm Artifact đưa vào phân phối là Artifact đã được phê duyệt, không bị thay thế hoặc thay đổi ngoài quy trình.
• Immutable identification — Release chính thức phải có định danh bất biến phù hợp như Version, Release reference, Digest hoặc Checksum để phục vụ xác minh và truy vết.
• Platform-specific publishing — Windows và macOS sử dụng Package riêng theo Platform; Android phát hành qua Google Play; iOS/iPadOS phát hành qua Apple App Store.
• Không phân phối chéo Package — Package của Platform này không được sử dụng làm Package chính thức cho Platform khác.
• Release Verification — Vietnam Office có thể xác minh Product, Version, Platform, Release status và Artifact identity trước khi cho phép Download, Update hoặc Activation.
• Secure Update Path — Update chỉ được phân phối từ Release chính thức và phải phù hợp với Platform và Version Entitlement của khách hàng.
• Release Notes — Release Notes ghi nhận Version, Release Date, Platform, thay đổi chính, Fixed Issues, Security Update và Known Issues để hỗ trợ minh bạch và truy vết thay đổi.
• Security Release — Khi Release xử lý vấn đề bảo mật, Vietnam Office có thể công bố mức độ cần thiết và hướng dẫn Update thông qua Security Update hoặc Release Notes.
• Không sử dụng Artifact ngoài hệ thống phát hành — Khách hàng không nên sử dụng Build nội bộ, bản thử nghiệm, Package được chia sẻ không chính thức hoặc Artifact không xác minh được nguồn phát hành.
• Truy vết Release — Vietnam Office duy trì quan hệ giữa Release và các thông tin cần thiết như Platform, Version, Package, Artifact identity và trạng thái phát hành để hỗ trợ kiểm tra khi cần.

Nguyên tắc Release Security: build được kiểm soát → Artifact được xác định bất biến → kiểm tra/Code Signing → phê duyệt → trạng thái PUBLISHED → phân phối qua kênh chính thức → Package Verification trước hoặc trong quá trình cài đặt/Update.