> man certificate pinning

о да, это очень полезная штука, например, для microsoft - прятать свои троянцы так, чтобы усложнить анализ, что именно они сливают (ios, вроде, удалось в этом месте поломать, правда, неизвестно, надолго ли, про андроед не знаю).

А для веба - абсолютно идиотская, во всяком случае, в его нынешнем исполнении. У тебя что-то случается с сертификатом, например, утек ключ (или возникли подозрения, типа, флэшка пять минут лежала на столе вне поля зрения, или очередной heartbleed случился) - был бы он нормальный, ты бы его просто перевыпустил, а так - никто не может попасть на твой чудо-сайт, неизвестно сколько времени, причем браузер пугает пользователей и не показывает в человекопонимаемом виде причину проблемы.

Пока в браузерах используется идиотская концепция "удостоверяющих центров" - проблема, увы, нерешаема. А она будет использована вечно, каждый хочет полететь туристом на МКС.