Les clés du déployeur doivent être totalement non fiables et traitées comme des objets jetables. Même pour un protocole évolutif, une clé doit être déployée, configurée, puis céder définitivement le contrôle. Ensuite, la gouvernance principale peut alors vérifier et accepter le nouveau code.