Certificate-Pinning
Fest hinterlegen, welches TLS-Zertifikat (oder welche CA) ein Client akzeptieren soll — zusätzliche Sicherheit jenseits des CA-Systems.
Verbreitet in mobilen Apps (Banking, Krypto). Schützt vor einer kompromittierten CA. Risiko: Die App funktioniert nicht mehr, sobald das Zertifikat erneuert wird — der "Pin" muss mit rotiert werden. HPKP für das Web wurde wieder abgeschafft (zu riskant). Moderne Variante: CT (Certificate Transparency).