Ça protège plus que juste sur la clef. Un pin sur le certificat empèchera par exemple une interception MitM via un faux certificat généré avec la même clef.
Donc dans le cas ou un pirate aurait volé la clef sur ton serveur, mais n'aurait pas été capable de récupérer le certificat lui-même, pourtant public puisque non seulement présent sur ton serveur avec des permissions d'accès au moins aussi larges, mais en plus fourni à chaque connexion TLS.
Si tout l'intérêt de l'épinglage par certificat, c'est de se prémunir contre ce cas inexistant, autant dire que ça ne sert à rien.
[^] # Re: 90 jours, et alors?
Posté par 🚲 Tanguy Ortolo (site web personnel) . En réponse au message Let's Encrypt en prod en entreprise. Évalué à 4. Dernière modification le 22 septembre 2016 à 15:05.
Donc dans le cas ou un pirate aurait volé la clef sur ton serveur, mais n'aurait pas été capable de récupérer le certificat lui-même, pourtant public puisque non seulement présent sur ton serveur avec des permissions d'accès au moins aussi larges, mais en plus fourni à chaque connexion TLS.
Si tout l'intérêt de l'épinglage par certificat, c'est de se prémunir contre ce cas inexistant, autant dire que ça ne sert à rien.