As chaves de implantação devem ser completamente não confiáveis e tratadas como descartáveis. Mesmo para um protocolo atualizável, uma chave deve implantar, configurar e, em seguida, abrir mão permanentemente do controle. Então, a governança principal pode verificar e aceitar o novo código.