Chaque écosystème hache autre chose. OpenSSH affiche SHA256: suivi du base64 sans remplissage du SHA-256 du blob de clé (le format par défaut depuis OpenSSH 6.8 ; les outils plus anciens affichent un MD5 en hexadécimal séparé par des deux-points). Une empreinte X.509 est le condensat du certificat DER complet et non un champ de ce certificat : elle change donc à chaque renouvellement. Une empreinte SPKI (épingles HPKP, pin-sha256, recherches Certificate Transparency) ne hache que SubjectPublicKeyInfo et survit au renouvellement avec la même clé. Les empreintes JWK (RFC 7638) hachent une forme JSON canonique des membres obligatoires. Les empreintes OpenPGP v4 sont des SHA-1 (40 chiffres hexadécimaux) et les empreintes v6 des SHA-256 (RFC 9580).
Deux empreintes ne concordent que si le même algorithme a haché le même encodage : une empreinte SSH SHA256 et le sha256sum du fichier .pub diffèrent, tout comme l’empreinte d’un certificat et l’épingle SPKI de la même clé. Comparez les valeurs complètes : un attaquant peut générer des clés en masse jusqu’à reproduire un préfixe court ou un « key art ».