Pelo CryptoKit (SecureEnclave.P256.Signing.PrivateKey, SecureEnclave.P256.KeyAgreement.PrivateKey) ou pelo Keychain (kSecAttrTokenIDSecureEnclave), os apps obtêm uma chave que nunca sai do hardware; o que eles guardam é um identificador opaco, vinculado ao dispositivo. Entre os algoritmos clássicos, o enclave aceita apenas a NIST P-256, um dos motivos pelos quais ES256 e COSE −7 dominam as chaves de acesso e as credenciais vinculadas a dispositivos.
A partir do iOS 26 e do macOS 26 (2025), o CryptoKit também oferece ML-KEM e ML-DSA com suporte ao Secure Enclave. Flags de controle de acesso (.biometryCurrentSet, .userPresence) podem exigir aprovação biométrica ou pelo código do dispositivo a cada uso da chave.
As assinaturas saem codificadas em DER, como as de outros repositórios de chaves da plataforma; consumidores de JWS e COSE precisam do r‖s bruto. As chaves se perdem com o dispositivo, a menos que o protocolo do app permita recuperação: as chaves de acesso sincronizadas seguem outro modelo e ficam guardadas nas Chaves do iCloud, e não no enclave.