“无密钥”指的是没有需要存储、轮换或可能泄露的长期密钥：密钥只为一次签名操作而存在，Fulcio 签发的 10 分钟证书把它绑定到某个身份，例如来自 GitHub Actions 的 repo:org/name 或一个电子邮件地址。Rekor 的包含证明（或 RFC 3161 时间戳）表明签名是在证书有效期内生成的，因此多年后仍能完成验证。
信任转移到了身份提供商、Fulcio 和日志上，也转移到了验证者的策略上：哪些身份和颁发者是可接受的。被攻陷的 CI 工作流或 OIDC 账号仍然可以签名；透明日志能让监控程序发现这类签名，而所有者应当切实运行这样的监控。