Нормальная практика letsencrypt перевыпускать сертификат раз в месяц, при этом срок жизни сертификата 3 месяца - выписываешь новый сертификат со, добавляешь слепок в заголовок со сроком жизни в 3 месяца продолжая обслуживать клиентов старым сертификатом до -1 день до окончания срока где и производишь ротацию, HPKP позволяет пиннить несколько сертификатов и срок жизни заголовка указывается в формате "дата до", соответственно никакой "невозможности" в использовании HPKP нету кроме условных сложностей при автоматизации.