As chaves do implantador devem ser completamente não confiáveis e tratadas como descartáveis. Mesmo para um protocolo atualizável, uma chave deve ser implantada, configurada e depois desistir permanentemente do controle. Em seguida, a governança principal pode verificar e aceitar o novo código.