典型的无密钥用法：在 CI 中运行 cosign sign registry/image@sha256:…，然后运行 cosign verify --certificate-identity https://github.com/org/repo/.github/workflows/release.yml@refs/tags/v1.2.3 --certificate-oidc-issuer https://token.actions.githubusercontent.com registry/image@sha256:…。签名和证明与镜像一起存放在镜像仓库中（以 OCI 制品的形式，并且越来越多地借助 referrers API 以 Sigstore bundle 的形式存放）。
签名和验证时始终按摘要而不是按标签引用镜像，并始终同时固定身份和颁发者（或者有意识地使用对应的正则表达式参数）。在 Kubernetes 中，Sigstore policy-controller 和 Kyverno 等准入控制器会强制执行 cosign 验证。