“Sem chave” (keyless) significa que não há chave de longo prazo para guardar, rotacionar ou vazar: a chave existe só durante uma operação de assinatura, e o certificado de 10 minutos do Fulcio a vincula a uma identidade, como repo:org/name do GitHub Actions ou um endereço de e-mail. A prova de inclusão do Rekor (ou um carimbo do tempo RFC 3161) mostra que a assinatura foi feita enquanto o certificado era válido, e por isso a verificação funciona anos depois.
A confiança passa para o provedor de identidade, o Fulcio e o log, e para a política do verificador: quais identidades e emissores são aceitáveis. Um workflow de CI ou uma conta OIDC comprometidos ainda podem assinar; o log de transparência torna essas assinaturas visíveis para os monitores, que os responsáveis deveriam de fato rodar.