> Вообще есть технология HTTP Public Key Pinning, там в DNS прописываются отпечатки
> сертификатов.
> Т.е. защита от подмены сертификата на другой, даже валидный.
> Но там очень легко выстрелить себе в ногу так, что оторвет голову.
> Если неправильно настроить, можно закешировать на клиентах запись о том, что ваш
> текущий сертификат - фигня.
> И все, нужен новый сертификат.

Я так понимаю Вы имеете ввиду HTTP Public Key Pinning (HPKP).
Это тоже не то, так как она, как Вы ране упомянули, кеширует у клиента отпечаток ключа, не давая возможности, до истечения срока кеша, изменить сертификат самому серверу, что очень не удобно.
Мне кажется это лишнее и ненужное действе. Не нужно кешировать слепок ключа, его нужно при каждом обращении сверять с ДНС, что бы сервер мог, при желании, хоть каждый день их менять, и при этом не у кого их не подписывать в ограниченном количестве. А пользователь будет уверен, что он общается с этим сервером.
А если клиент, то есть администратор ресурса, не доверяет своему собственному регистратору домена, то тут уже ничего не поможет, да и классическая схема от этого не защищает.