Keyless Delegation は、策定が進む委任クレデンシャル（delegated credentials）標準（RFC 9345 ↗）の Cloudflare 実装です。委任クレデンシャルの利用を許可する特別な拡張を持つ証明書を Keyless 用にアップロードすると、Cloudflare は委任クレデンシャルを自動で生成し、この機能に対応するクライアントに対してエッジで使います。ハンドシェイクは Keyless Server への往復による追加遅延なしで完了します。アルゴリズム選択の柔軟性にも 追加の利点 ↗ があります。
裏側では、委任クレデンシャルを定期的に作成し、Keyless 経由で署名します。署名には、Keyless 利用時にサーバーが送る Certificate Verify メッセージと同じ仕組みを使います。クレデンシャルの有効期間は短く、Keyless を無効にすると作成済みのクレデンシャルは 24 時間以内に無効になります。対応クライアントはクレデンシャルを検証し、サーバーは生成した鍵で TLS ハンドシェイクの応答に署名できるため、往復は不要です。
セキュリティ上の理由から、証明書には委任クレデンシャル用の特別な識別子が必要です。中身が NULL の任意の X509 拡張で、OID は 1.3.6.1.4.1.44363.44 です。CA 側で委任クレデンシャルに対応するためのコード変更が必要になる場合があります。
現時点で委任クレデンシャルに対応するクライアントはごく少なく、この拡張付き証明書を発行する認証局もわずかです。DigiCert では利用できています。Firefox 77 以降が委任クレデンシャルに対応しています。