应用通过 CryptoKit（SecureEnclave.P256.Signing.PrivateKey、SecureEnclave.P256.KeyAgreement.PrivateKey）或钥匙串（kSecAttrTokenIDSecureEnclave）获得一个永远不会离开硬件的密钥；应用保存的只是一个不透明的、与设备绑定的句柄。在经典算法中，Secure Enclave 只支持 NIST P-256，这也是 ES256 和 COSE −7 在通行密钥和设备绑定凭证中占主导地位的原因之一。
从 iOS 26 和 macOS 26（2025年）开始，CryptoKit 还提供支持 Secure Enclave 的 ML-KEM 和 ML-DSA。访问控制标志（.biometryCurrentSet、.userPresence）可以要求每次使用密钥前都通过生物识别或设备密码确认。
与其他平台密钥库一样，它输出的签名采用 DER 编码；JWS 和 COSE 的使用方需要原始的 r‖s。除非应用的协议支持恢复，否则设备丢失时密钥也随之丢失：同步通行密钥是另一种设计，保存在 iCloud 钥匙串中，而不是 Secure Enclave 里。