«Sin claves» (keyless) significa que no hay ninguna clave de larga duración que guardar, rotar o filtrar: la clave solo existe durante una operación de firma, y el certificado de 10 minutos de Fulcio la vincula a una identidad como repo:org/name de GitHub Actions o una dirección de correo electrónico. La prueba de inclusión de Rekor (o una marca de tiempo RFC 3161) demuestra que la firma se hizo mientras el certificado era válido, así que la verificación funciona años después.
La confianza se desplaza al proveedor de identidad, a Fulcio y al registro, y a la política del verificador: qué identidades y emisores son aceptables. Un flujo de trabajo de CI o una cuenta OIDC comprometidos pueden seguir firmando; el registro de transparencia hace visibles esas firmas para los monitores, que los propietarios deberían ejecutar de verdad.