Ein Pin ist meist ein Hash der SubjectPublicKeyInfo (sha256/… in OkHttp und in der Netzwerksicherheitskonfiguration von Android), sodass ein erneuertes Zertifikat mit demselben Schlüssel weiterhin passt. Pinning auf den Schlüssel einer CA oder eines Zwischenzertifikats ist robuster als Pinning auf ein Leaf-Zertifikat; jedes Pin-Set braucht mindestens einen Backup-Schlüssel, der nicht im Produktivbetrieb verwendet wird.
Das Web hat dynamisches Pinning aufgegeben: HTTP Public Key Pinning (RFC 7469) führte zu selbst verschuldeten Ausfällen und „Hostile Pinning“, Chrome entfernte es in Version 72 (2019), und Firefox deaktivierte es in Version 72 (2020) standardmäßig. Browser bringen eine kleine eingebaute Pin-Liste für die Domains ihrer Hersteller mit. Certificate Transparency und CAA decken den größten Teil der Bedrohung ab, gegen die sich HPKP richtete.
In mobilen Apps und im IoT-Bereich ist Pinning weiterhin verbreitet, birgt aber dasselbe Risiko: Kürzere Zertifikatslaufzeiten, Rotationen von CA-Schlüsseln (Let's Encrypt wechselte die Zwischenzertifikate 2024 und 2026) und Vertrauensentzüge für CAs legen gepinnte Clients lahm, die sich nicht schnell aktualisieren lassen. Der SPKI-Pin-Generator berechnet Pins aus Zertifikaten oder Schlüsseln.