Альтернативы OpenTimestamps: управляемое проставление временных меток для Git

Вы уже приняли предпосылку: вы хотите, чтобы ваши коммиты Git были заякорены в Bitcoin, чтобы конкретное состояние вашего репозитория доказуемо существовало на конкретную дату. Эта часть не подлежит обсуждению.

Настоящее решение о покупке — это кто управляет конвейером.

Протокол OpenTimestamps — это стандарт, на котором построено большинство таких систем, и он действительно хорош: открытый, независимый от вендора, проверяемый непосредственно по Bitcoin. Но протокол — это набор инструментов, а не продукт. Где-то между «протокол существует» и «мои коммиты штампуются каждую ночь, и мой комплаенс-руководитель может скачать PDF-сертификат» должна произойти масса работы. Эта статья сравнивает реалистичные варианты проставления временных меток для Git в 2026 году, чтобы вы могли решить, где должна жить эта работа: на плечах вашей команды или за GitHub App, который вы устанавливаете один раз.

Решение о покупке: зачем смотреть за пределы чистого OpenTimestamps?

OpenTimestamps решает сложную криптографическую задачу: он превращает хеш в доказательство существования, заякоренное в блокчейне Bitcoin, используя публичные календарные серверы, чтобы вы не платили комиссию за транзакцию за каждую метку.

Чего он не решает:

• Обнаружение коммитов. Протокол понятия не имеет, что такое Git. Кто-то должен решить, какие коммиты штампуются.
• Экономика пакетной обработки. Штамповать одно доказательство на коммит расточительно. Реальные схемы объединяют хеши ежедневно в дерево Меркла и якорят только корень.
• Хранение ключей и доказательств. Квитанции .ots малы, но они должны где-то храниться надёжно — там, где юрист сможет найти их через три года.
• UX проверки. «Скачайте файл и проверьте его по Bitcoin» — это не рабочий процесс, который примут большинство комплаенс-команд.
• Постоянная эксплуатация. Причуды календарных серверов, пути обновления и вопрос о том, кто дежурит, когда ночная задача молча перестаёт создавать доказательства.

Это скрытая стоимость DIY: не криптография, а инфраструктура вокруг неё. Выбор в том, продолжать ли эксплуатировать протокол или внедрить сервис, который автоматизирует его от начала до конца. Timestamp GIT — это управляемый вариант в данном сравнении: он прячет протокол за GitHub App и ночной задачей, так что ни один разработчик никогда не касается команды проставления меток.

Одна фраза честности перед сравнением: да, вы можете достичь всего этого вручную с помощью открытого протокола и cron-задачи. Эта статья сравнивает этот путь с альтернативами; она не проводит вас через его построение.

Ландшафт: какие варианты существуют для проставления временных меток в Git?

Вы встретите четыре формы решения.

1. Подход на чистом OpenTimestamps. Вы устанавливаете клиентские инструменты, пишете собственный скрипт сбора коммитов, управляете взаимодействием с календарями, храните доказательства самостоятельно и проверяете вручную по Bitcoin. Максимальный контроль, максимальная площадь поверхности. Это не Git-нативно, и это не поставляется с дашбордом, бейджем или аудиторским отчётом.

2. Платформы проставления временных меток в блокчейне с API. Они дают вам HTTP-эндпоинт, который принимает хеш и возвращает квитанцию. Лучше, чем чистые инструменты, но они универсальны — они штампуют что угодно, поэтому интеграция с Git — ваша проблема. Вы всё ещё строите логику отслеживания коммитов, пакетную обработку и слой хранения.

3. Управляемые сервисы проставления временных меток для Git. Это категория, которую занимает Timestamp GIT: установите GitHub App, выберите репозитории, и каждый коммит собирается автоматически. Каждую ночь воркер пакетирует хеши коммитов за день, строит дерево Меркла и якорит корень в Bitcoin через публичные календари OpenTimestamps. Доказательства возвращаются в ваш собственный репозиторий.

4. Самостоятельно размещённые лицензированные развёртывания. Управляемое удобство не обязательно означает чужие серверы. Timestamp GIT поставляется как Docker-образ, который вы можете запустить сами — актуальный вариант для изолированных сред и строгих политик безопасности.

Критерии выбора: что разработчики и комплаенс-команды должны оценивать

Когда вы сравниваете варианты, протокол под ними значит меньше, чем операционная модель над ними. Шесть критериев несут большую часть решения:

• Усилия на настройку. Установка GitHub App в один клик против установки инструментов, написания скриптов и настройки планировщика.
• Уровень автоматизации. Система сама замечает новые коммиты или человек должен помнить об этом?
• Безопасность и приватность. Может ли сервис выполнять свою работу, не читая ваш исходный код? Есть ли режим, в котором ваш код никогда не покидает вашу инфраструктуру?
• Поверхность интеграции. Интеграция с хостингом Git, бейджи README, REST-эндпоинты, CSV-журналы аудита, PDF-сертификаты.
• Модель стоимости. Бесплатный тариф для публичных репозиториев, прозрачные цены по тарифам для приватных и лицензия для самостоятельного размещения, когда нужен суверенитет.
• Проверяемость и привязка к вендору. Может ли третья сторона проверить ваше доказательство с помощью стандартных инструментов и данных блоков Bitcoin, без участия вашего вендора?

Этот последний критерий команды недооценивают. Временная метка, которую вы не можете независимо проверить, — это просто строка в базе данных с хорошим маркетингом.

Сравнение бок о бок: чистый протокол против управляемых сервисов

Обратите внимание на закономерность в средней колонке: API убирает криптографическую работу, но оставляет работу с Git. Именно здесь часто застревают DIY-проекты — не потому, что якорение сложно, а потому, что сбор коммитов, пакетная обработка и доставка достаточно скучны, чтобы их вечно откладывать.

Вердикт: кому какой вариант выбрать?

Разработчикам-одиночкам и мейнтейнерам open-source. Если вам нравится инфраструктура и ваши репозитории всё равно публичны, чистый протокол оправдан. Но бесплатный тариф Timestamp GIT покрывает публичные репозитории, так что честный вопрос — лучше ли потратить ваше время на ваш проект, чем на поддержание конвейера доказательств. Как минимум это устраняет режим отказа «я автоматизирую это как следует в следующем месяце».

Стартапам и агентствам. Выбирайте управляемый путь. Аргументы о prior art не заботятся о том, что вы могли бы заштамповать те коммиты — их заботит, что вы сделали это, последовательно, в течение месяцев до спора. Последовательность — это функция продукта, и ночная автоматизация обеспечивает её гораздо лучше, чем благие намерения. Если вы доказываете даты поставки во время спора об оплате, смотрите Protecting Agency Code Deliverables With Blockchain Proof.

Предприятиям со строгими политиками безопасности. Standard Mode плюс путь Enterprise ZK, или лицензия на самостоятельное размещение в Docker, дают вам нужный контроль без пересборки протокола самостоятельно. Режим Enterprise ZK — это то, к чему стоит прибегнуть, когда исходный репозиторий не должен быть читаемым сервисом: GitHub Action отправляет хеш коммита из вашей собственной инфраструктуры. Если ваша забота — патентная экспозиция, а не разрешения репозитория, Git Commit Timestamp Proof for Patent Disputes покрывает этот сценарий.

Короткая версия: Timestamp GIT — это не просто альтернатива запуску протокола, это версия протокола, которую вам не нужно эксплуатировать.

Как Timestamp GIT работает как управляемая альтернатива

Вот весь рабочий процесс, обращённый к разработчику.

1. Установите GitHub App один раз. Ничего не нужно устанавливать на машины разработчиков. Приложение читает только хеш коммита HEAD отслеживаемых репозиториев; ваш исходный код никогда не читается, не копируется и не хранится. В Standard Mode приложению требуется как минимум доступ только для чтения к исходному репозиторию (в модели разрешений GitHub нет разрешения «только хеш») и доступ для чтения-записи к целевому репозиторию, куда записываются доказательства.

2. Коммиты собираются автоматически. Либо GitHub App обнаруживает новые коммиты через вебхуки, либо — в Enterprise ZK Mode — GitHub Action из 12 строк отправляет только хеш коммита в API Timestamp GIT. В ZK Mode доступ для чтения к исходному репозиторию не требуется, но вы устанавливаете Action. Ожидающие хеши лежат в хранилище «ключ-значение» в памяти, ожидая пакета.

3. Ночной cron-воркер якорит пакет. Каждую ночь воркер группирует все ожидающие хеши, строит файлы манифеста .txt по репозиториям, конструирует дерево Меркла, создаёт доказательства OpenTimestamps с помощью публичных календарей OTS и якорит корень Меркла в блокчейне Bitcoin. Подтверждение Bitcoin обычно занимает около трёх часов, поэтому доказательства появляются через несколько часов после запуска пакета.

4. Доказательства доставляются в ваш репозиторий. Файлы манифеста и квитанций .ots отправляются обратно в выделенную ветку timestamps или теневой репозиторий. С этого момента временная метка неизменна — никакая сущность, включая Timestamp GIT, не может её изменить или подделать.

5. Вы проверяете и публикуете. Встраиваемые бейджи README показывают статус проверки и ссылаются на публичную страницу проверки. Дашборд статуса репозитория раскрывает долговечность доказательств, самую раннюю дату якорения, ежедневную регулярность, данные блока и транзакции Bitcoin, календарную тепловую карту, а также скачиваемые CSV-журналы аудита и PDF-сертификаты. Сама проверка выполняется локально в браузере по цепочке Меркла — никаких вычислений на нашей стороне, никто не видит, что вы проверяете. Если вы хотите механики в деталях, читайте How to Verify a Git Repository’s Bitcoin Timestamp.

Для автоматизации за пределами дашборда есть публичные эндпоинты:

curl https://timestampgit.dev/api/statusSummary/your-org/your-repo
curl https://timestampgit.dev/api/statusLast/your-org/your-repo
curl -O https://timestampgit.dev/api/audit/your-org/your-repo

Приватные репозитории добавляют к своим URL зашифрованный HMAC, специфичный для экземпляра сервера, так что только авторизованные пользователи могут читать их статус.

Вариант самостоятельного размещения

Для максимальной безопасности и изолированных сред Timestamp GIT доступен как Docker-образ. Быстрый старт с Docker Compose выглядит так:

services:
  timestampgit:
    image: rue1401/timestampgit:prod
    ports:
      - "8080:8080"
    volumes:
      - ./data:/app/data
    restart: unless-stopped
  valkey:
    image: valkey/valkey:8
    restart: unless-stopped

docker compose pull
docker compose up -d
docker compose logs -f timestampgit

Приложение доступно по адресу http://localhost:8080. При первом запуске мастер настройки проведёт вас через подключение вашего GitHub App и настройку экземпляра. Ограниченная по времени демо-лицензия доступна при отправке формы запроса на странице Docker License с вашим именем, компанией, email и необязательным номером телефона; затем файл лицензии можно скачать.

FAQ

Нужно ли мне запускать какие-либо команды OpenTimestamps?

Нет. Timestamp GIT — это управляемый сервис. Как только вы установите GitHub App, он автоматически обнаруживает коммиты и якорит их в Bitcoin каждую ночь. Вам никогда не нужно запускать CLI-инструменты или управлять протоколом самостоятельно.

Могу ли я проверять доказательства без Timestamp GIT?

Да. Файлы квитанций .ots и доказательства Меркла основаны на открытых стандартах. Вы можете проверить их независимо с помощью стандартных инструментов проверки OpenTimestamps по блокчейну Bitcoin или использовать локальную проверку Timestamp GIT в браузере, которая выполняет все вычисления на стороне клиента.

Что произойдёт, если Timestamp GIT прекратит деятельность?

Ваши доказательства заякорены в блокчейне Bitcoin и не зависят от вендора. Файлы .ots и доказательства Меркла можно проверить офлайн с помощью инструментов с открытым исходным кодом. Timestamp GIT не привязывает вас; криптографическое доказательство опирается исключительно на SHA-256 и данные блоков Bitcoin.

Раскрывается ли когда-либо мой исходный код?

Нет. Timestamp GIT работает по принципу нулевого разглашения. В Standard Mode GitHub App читает только хеш коммита, а не исходный код. В Enterprise ZK Mode GitHub Action отправляет только хеш коммита из вашей инфраструктуры, так что ваш исходный код никогда не покидает вашу среду.

Заключение

Каждый вариант в этом сравнении заканчивается в одном и том же месте: хеш SHA-256 внутри блока Bitcoin. Различается то, сколько инженерии, операционной дисциплины и институциональной памяти вам нужно предоставить, чтобы добраться туда — и является ли результат чем-то, что комплаенс-команда действительно может передать юристу.

Если вы хотите криптографических гарантий, не становясь мейнтейнером конвейера проставления меток, установите GitHub App один раз и позвольте ночному воркеру сделать остальное. Начните на бесплатном тарифе с публичным репозиторием, чтобы увидеть, как появляются доказательства, затем переведите приватные репозитории на Pro Agency, когда будете готовы. У ваших коммитов уже есть хеши; пусть у них будут и свидетели.

Похожие статьи

• Protecting Agency Code Deliverables With Blockchain Proof
• Git Commit Timestamp Proof for Patent Disputes
• How to Verify a Git Repository’s Bitcoin Timestamp