Certificate pinning
Fijar por código qué certificado TLS (o CA) debe aceptar un cliente — seguridad extra más allá del sistema de CA.
Habitual en apps móviles (bancos, cripto). Defiende frente a una CA comprometida. Riesgo: la app deja de funcionar cuando se renueva el certificado — los pines deben rotarse. HPKP para la web se abandonó (demasiado arriesgado). Variante moderna: CT (Certificate Transparency).