Les épingles sont en général le condensat de la SubjectPublicKeyInfo (sha256/… dans OkHttp et dans la configuration de sécurité réseau d’Android) : un certificat renouvelé avec la même clé correspond donc toujours. Épingler la clé d’une AC ou d’un intermédiaire est plus robuste qu’épingler un certificat feuille ; tout jeu d’épingles a besoin d’au moins une clé de secours qui n’est pas en production.
Le web a renoncé à l’épinglage dynamique : HTTP Public Key Pinning (RFC 7469) a provoqué des pannes auto-infligées et de l’« épinglage hostile », Chrome l’a supprimé dans la version 72 (2019) et Firefox l’a désactivé par défaut dans la version 72 (2020). Les navigateurs conservent une petite liste d’épingles intégrée pour les domaines de leurs éditeurs. Certificate Transparency et CAA couvrent l’essentiel de la menace que visait HPKP.
Dans les applications mobiles et l’IoT, l’épinglage reste courant mais comporte le même risque : la durée de vie des certificats qui raccourcit, les rotations des clés des AC (Let’s Encrypt a changé d’intermédiaires en 2024 et en 2026) et les retraits de confiance envers des AC cassent les clients qui épinglent et ne peuvent pas être mis à jour rapidement. Le générateur d’empreintes SPKI calcule des épingles à partir de certificats ou de clés.