« Sans clé » signifie qu’il n’existe aucune clé à long terme à stocker, à renouveler ou qui puisse fuiter : la clé n’existe que le temps d’une opération de signature, et le certificat de 10 minutes de Fulcio la lie à une identité comme repo:org/name, fournie par GitHub Actions, ou une adresse e-mail. La preuve d’inclusion de Rekor (ou un horodatage RFC 3161) montre que la signature a été faite pendant la validité du certificat, si bien que la vérification fonctionne encore des années plus tard.
La confiance se déplace vers le fournisseur d’identité, Fulcio et le journal, ainsi que vers la politique du vérificateur : quelles identités et quels émetteurs sont acceptables. Un workflow CI ou un compte OIDC compromis peut toujours signer ; le journal de transparence rend ces signatures visibles aux outils de surveillance, que les propriétaires devraient effectivement exploiter.