As chaves do implantador devem ser completamente não confiáveis e tratadas como throwaways. Mesmo para um protocolo atualizável, uma chave deve implantar, configurar e, em seguida, desistir permanentemente do controle. Em seguida, a governança principal pode verificar e aceitar o novo código.