Mediante CryptoKit (SecureEnclave.P256.Signing.PrivateKey, SecureEnclave.P256.KeyAgreement.PrivateKey) o el llavero (kSecAttrTokenIDSecureEnclave), las aplicaciones obtienen una clave que nunca sale del hardware; lo que guardan es una referencia opaca vinculada al dispositivo. Para algoritmos clásicos, el enclave solo admite NIST P-256, y esa es una de las razones por las que ES256 y COSE −7 dominan en las llaves de acceso y en las credenciales vinculadas al dispositivo.
Desde iOS 26 y macOS 26 (2025), CryptoKit también ofrece ML-KEM y ML-DSA compatibles con el Secure Enclave. Los indicadores de control de acceso (.biometryCurrentSet, .userPresence) pueden exigir una aprobación biométrica o con el código de acceso en cada uso de la clave.
Las firmas salen codificadas en DER, como las de otros almacenes de claves de las plataformas; los consumidores de JWS y COSE necesitan r‖s en bruto. Las claves se pierden con el dispositivo salvo que el protocolo de la aplicación admita la recuperación: las llaves de acceso sincronizadas son un diseño distinto y se guardan en el Llavero de iCloud, no en el enclave.