无密钥签名的流程如下：签名者创建临时密钥对，通过 OIDC 证明身份（GitHub Actions 工作流、Google 或 Microsoft 账号），获得一张有效期 10 分钟、把该密钥绑定到这一身份的 Fulcio 证书，然后对制品签名，把签名上传到 Rekor，并丢弃密钥。验证时依据 Sigstore 根检查证书链，检查身份和颁发者是否符合验证者的预期，并检查日志包含证明或经过签名的时间戳，确认签名发生在证书有效期内。
结果以 Sigstore 签名包（bundle）的形式传递（媒体类型 application/vnd.dev.sigstore.bundle.v0.3+json），其中包含证书、签名或 DSSE 信封，以及透明日志证据；信任根通过 TUF 分发。基于瓦片（tile）的日志 Rekor v2 已于2025年正式发布。使用者包括 npm 来源证明、PyPI 证明、Homebrew、Kubernetes 发布版本、用 cosign 签名的容器镜像以及 GitHub 制品证明。
安全决策从“哪个密钥？”变成了“哪个身份？”：验证者必须同时固定证书身份（例如工作流路径）和 OIDC 颁发者，否则任何 Sigstore 用户的签名都能通过验证。Sigstore 签名包验证工具会在本地依据预期身份检查签名包。