Les packages

BORDEREAU + fichiers
tarball: archive
commence par le BORDEREAU (plist)

chaque fichier est checksummé
il suffit de signer le BORDEREAU

Signatures vérifiées "just-in-time"