Jedes Ökosystem hasht etwas anderes. OpenSSH zeigt SHA256: und danach den SHA-256-Hash des Schlüssel-Blobs in base64 ohne Padding (Standard seit OpenSSH 6.8; ältere Tools geben MD5 mit Doppelpunkten als Trennzeichen aus). Ein X.509-Fingerabdruck ist ein Hash über das gesamte DER-Zertifikat und kein Feld darin, deshalb ändert er sich bei jeder Erneuerung. Ein SPKI-Fingerabdruck (HPKP-Pins, pin-sha256, Abfragen in Certificate Transparency) hasht nur SubjectPublicKeyInfo und übersteht eine Erneuerung mit demselben Schlüssel. JWK-Thumbprints (RFC 7638) hashen eine kanonische JSON-Darstellung der Pflichtfelder. OpenPGP-Fingerabdrücke der Version 4 sind SHA-1 (40 Hexziffern), die der Version 6 SHA-256 (RFC 9580).
Zwei Fingerabdrücke stimmen nur überein, wenn derselbe Algorithmus dieselbe Kodierung gehasht hat: Ein SSH-Fingerabdruck im Format SHA256 und ein sha256sum der Datei .pub unterscheiden sich, ebenso der Fingerabdruck eines Zertifikats und ein SPKI-Pin für denselben Schlüssel. Vergleiche vollständige Werte; kurze Präfixe und „Key Art“ kann ein Angreifer per Brute Force nachbilden.