一个公钥须和固定公钥相符，这样客户端才认为该证书链是有效的。RFC 7469规范发布时只允许SHA-256算法。HTTP公钥固定中的哈希算法也可通过RFC 7469规范的附录A中所提到的命令行或其他第三方工具来生成。网站维护者可以选择将特定CA根证书公钥固定——只有该CA和其签发的中级证书才视同有效，而且可以选择将一个或多个中级证书固定，或将末端证书固定。但是，至少得固定一个备用密钥以便更换现有的固定密钥。在没有备用密钥（备用密钥须不在现有证书链中）时，HTTP公钥固定并不会生效。HTTP公钥固