PKCS#11
Een standaard-API, bekend als Cryptoki, waarmee software een HSM of smartcard cryptografie laat uitvoeren zonder dat de sleutel de hardware verlaat.
PKCS#11 stamt af van de Public-Key Cryptography Standards van RSA Security en wordt sindsdien onderhouden door OASIS. De interface is een C-bibliotheek waarin de applicatie een module vraagt te ondertekenen, te versleutelen of een sleutel in te pakken. De sleutel zelf is een handle die de module zelden verlaat, en dat is precies de bedoeling van een hardware security module.
De standaard is oud en vol eigenaardigheden. Twee leveranciers kunnen dezelfde vlag verschillend lezen en elke HSM heeft zijn eigen afwijkingen. Een groot deel van het werk met PKCS#11 bestaat uit het lezen van de documentatie van de leverancier om te achterhalen wat een functieaanroep werkelijk doet, een vaardigheid op zich.