「キーレス」とは、保管やローテーションが必要で漏洩のおそれもある長期の鍵が存在しないことを意味します。鍵は 1 回の署名操作のためだけに存在し、Fulcio が発行する有効期間 10 分の証明書が、その鍵を GitHub Actions の repo:org/name やメールアドレスなどの ID に紐付けます。Rekor の包含証明（または RFC 3161 タイムスタンプ）によって、証明書が有効な間に署名が作成されたことを示せるため、何年も後でも検証できます。
信頼の置き所は、ID プロバイダー、Fulcio、ログ、そして検証者のポリシー（どの ID と発行者を受け入れるか）に移ります。侵害された CI ワークフローや OIDC アカウントでも、署名はできてしまいます。透明性ログによって、そうした署名は監視ツールから見えるようになります。ただし、その監視ツールは所有者が実際に運用すべきものです。