کلاینت hash‌ی SHA-256 کلید عمومی سرور (SPKI) را نگه می‌دارد و هر کلید دیگری را رد می‌کند، حتی اگر CA مورد اعتماد امضایش کرده باشد. اثر یک گواهی اشتباه را محدود می‌کند، اما چرخش کلید را سخت‌تر می‌کند؛ پس با دقت و با یک pin پشتیبان استفاده کنید.