Cada ecossistema calcula o hash de algo diferente. O OpenSSH mostra SHA256: seguido do base64 sem padding do SHA-256 do blob da chave (o padrão desde o OpenSSH 6.8; ferramentas mais antigas exibem MD5 separado por dois-pontos). A impressão digital X.509 é o hash do certificado DER inteiro e não é um campo dentro dele, por isso muda a cada renovação. A impressão digital SPKI (pins do HPKP, pin-sha256, consultas de Certificate Transparency) calcula o hash apenas do SubjectPublicKeyInfo e sobrevive à renovação com a mesma chave. As impressões digitais (thumbprints) de JWK (RFC 7638) calculam o hash de um JSON canônico dos membros obrigatórios. As impressões digitais do OpenPGP v4 são SHA-1 (40 dígitos hexadecimais), e as da v6 são SHA-256 (RFC 9580).
Duas impressões digitais só coincidem se o mesmo algoritmo calculou o hash da mesma codificação: a impressão digital SHA256 de uma chave SSH e o sha256sum do arquivo .pub são diferentes, assim como a impressão digital de um certificado e o pin SPKI da mesma chave. Compare os valores completos; um atacante consegue gerar por força bruta chaves com os mesmos prefixos curtos ou a mesma “key art”.