Sim, esse é o básico de GIT, que 99% não faz. Assinem todas os seus commits com -s e -S, de preferência com um GPG com boa cadeia de confiança, armazenado em um dispositivo físico autenticado por biometria com certificado FIPS 140-3.
1
1
A questão não é assinar seus próprios commits.
A questão é validar se os commits dos outros foram assinados.
Mesmo que você assine todos seus commits, se eu conhecer seu email eu consigo injetar um commit com você sendo autor, e se um terceiro não verificar a assinatura, ele vai ter um problema.
A recomendação valida deveria ser: Só aceitem commits assinados.
1
Vale deixar explícita essa diferença entre os dois: -s adiciona o Signed-off-by e -S faz a assinatura criptográfica. Quem está começando pode achar que o signoff já resolve a verificação. A documentação separa as duas opções: https://git-scm.com/docs/git-commit