Adesso si deve inserire una propria "pass-phrase". Una pass-phrase è un insieme di termini e simboli che può avere un significato oppure no, fondamentalmente è una vera e propria password. Il termine "frase chiave" sottolinea che una semplice parola non basta: sulla robustezza della pass-phrase si basa tutta la robustezza di PGP, quindi è opportuno sceglierne una impossibile da indovinare. Per fortuna esistono alcuni trucchi per riuscire ad impostare pass-phrase sicure:

• usate una combinazione di caratteri alfabetici e numerici (meglio ancora, inserite almeno un segno di interpunzione o un carattere speciale);
• sostituite alle lettere standard numeri o simboli che le ricordino ( ad esempio, usate 5 o $ al posto di S, 1 al posto di L e così via);
• non usate mai il vostro nome, in qualunque forma, o quello del consorte, di un figlio, di un animale domestico.

Mentre inserite la pass-phrase, PGP vi darà un'indicazione visiva della sua qualità.

Attenzione: il programma di generazione delle chiavi indica la bontà della pass-phrase in base al proprio vocabolario inglese e quindi i valori ottenuti non ne rispecchiano completamente la vera robustezza.

Al termine della generazione si consiglia di scriverla subito in luogo sicuro. E' bene ricordare che la robustezza di PGP è un'arma a doppio taglio: se perderete la pass-phrase non riuscirete mai più a rileggere i documenti che avrete cifrato ed i messaggi cifrati che vi avranno inviato. La pass-phrase andrà inserita a mano ogni volta che dovrete usare la vostra chiave privata per decifrare un documento o per firmarlo digitalmente.

Una volta confermata la pass-phrase, il sistema invia le chiavi al server (solitamente ldap://certserv.pgp.com). Questo server non è altro che un contenitore in cui tutti gli utenti inseriscono la propria chiave privata con il proprio certificato, allo scopo di essere riconoscibili e raggiungibili dagli altri utenti. Una volta inviate le chiavi il sistema ne fa una copia, che deve essere salvata su disco, in modo da poter essere utilizzata nel caso in cui gli originali si rovinino.

A questo punto un nuovo utente è stato creato con i dati inseriti sul server ldap://certserv.pgp.com e da adesso chiunque può ricevere da voi e-mail cifrate o firmate.