„Keyless“ heißt: kein langfristiger Schlüssel, den du speichern oder rotieren musst und der abfließen könnte. Der Schlüssel existiert nur für einen einzigen Signiervorgang, und das 10-Minuten-Zertifikat von Fulcio bindet ihn an eine Identität wie repo:org/name aus GitHub Actions oder eine E-Mail-Adresse. Der Inclusion Proof von Rekor (oder ein Zeitstempel nach RFC 3161) zeigt, dass die Signatur erstellt wurde, während das Zertifikat gültig war, sodass die Prüfung auch Jahre später funktioniert.
Das Vertrauen verlagert sich auf den Identity Provider, Fulcio und das Log sowie auf die Richtlinie des Verifizierers: welche Identitäten und Aussteller akzeptabel sind. Ein kompromittierter CI-Workflow oder ein kompromittiertes OIDC-Konto kann weiterhin signieren; das Transparenzlog macht solche Signaturen für Monitore sichtbar, und solche Monitore sollten die Eigentümer auch tatsächlich betreiben.