Los pines suelen ser hashes de SubjectPublicKeyInfo (sha256/… en OkHttp y en la configuración de seguridad de red de Android), así que un certificado renovado con la misma clave sigue coincidiendo. La fijación de la clave de una CA o de un certificado intermedio es más resistente que la de un certificado hoja; cualquier conjunto de pines necesita al menos una clave de respaldo que no esté en producción.
La web abandonó la fijación dinámica: HTTP Public Key Pinning (RFC 7469) provocó caídas autoinfligidas y la «fijación hostil» (hostile pinning); Chrome lo eliminó en la versión 72 (2019) y Firefox lo desactivó por defecto en la versión 72 (2020). Los navegadores mantienen una pequeña lista de pines integrada para los dominios de sus propios fabricantes. Certificate Transparency y CAA cubren la mayor parte de la amenaza a la que apuntaba HPKP.
En las aplicaciones móviles y en IoT la fijación sigue siendo habitual, pero conlleva el mismo riesgo: la vida útil más corta de los certificados, las rotaciones de claves de CA (Let's Encrypt cambió de certificados intermedios en 2024 y 2026) y las retiradas de confianza rompen los clientes con fijación que no pueden actualizarse rápidamente. El generador de pines SPKI calcula los pines a partir de certificados o claves.