Слово «keyless» («без ключа») означает, что нет долговременного ключа, который нужно хранить и периодически заменять и который может утечь: ключ существует только на время одной операции подписи, а 10-минутный сертификат Fulcio привязывает его к удостоверению, например к repo:org/name из GitHub Actions или к адресу электронной почты. Доказательство включения из Rekor (или метка времени RFC 3161) показывает, что подпись создана, пока сертификат был действителен, поэтому проверка работает и спустя годы.
Доверие переносится на поставщика удостоверений, Fulcio и журнал, а также на политику проверяющей стороны: какие удостоверения и издатели допустимы. Скомпрометированный рабочий процесс CI или учётная запись OIDC по-прежнему могут подписывать; журнал прозрачности делает такие подписи видимыми для мониторов, и владельцам действительно следует их запускать.