Каждая экосистема хеширует своё. OpenSSH показывает SHA256: и base64 без дополнения от SHA-256 двоичного представления ключа (так по умолчанию начиная с OpenSSH 6.8; более старые инструменты выводят MD5 в шестнадцатеричном виде с двоеточиями). Отпечаток X.509 — это хеш всего сертификата в DER, а не поле внутри него, поэтому он меняется при каждом продлении. Отпечаток SPKI (пины HPKP, pin-sha256, поиск в журналах Certificate Transparency) хеширует только SubjectPublicKeyInfo и сохраняется при продлении с тем же ключом. Отпечатки JWK (RFC 7638) хешируют каноническое JSON-представление обязательных полей. Отпечатки OpenPGP v4 — это SHA-1 (40 шестнадцатеричных цифр), а отпечатки v6 — SHA-256 (RFC 9580).
Два отпечатка совпадают, только если один и тот же алгоритм хешировал одну и ту же кодировку: отпечаток SHA256 ключа SSH и sha256sum файла .pub различаются, как и отпечаток сертификата и пин SPKI для одного и того же ключа. Сравнивайте значения целиком: короткие префиксы и изображения ключа (key art) атакующий может подобрать перебором.