По мне так это абсолютно бесполезная технология. Мелкие сайты она не защитит, а сертификаты популярных (Google, Facebook) уже встроены в браузер. Суть в том, что эта технология не защищает при первом заходе. Посмотри на статистику любого сайта, кроме любимой социалочки - процент новых пользователей больше 50%. Т.е. сегодня ты включаешь HTTP_Public_Key_Pinning и защищаешь те 30% пользователей, которые пришли не первый раз, но уже завтра среди этих 30% не новых заходов будут те, кто пришел сегодня и получил данные через MITM.

Ну, или другое объяснение - любая ссылка на сайт, на котором ты еще не был потенциально может быть загружена через MITM прокси. Посмотри в истории своего браузера сколько сегодня новых сайтов ты посетил и сколько тех, где бываешь регулярно. У HTTP_Public_Key_Pinning эффективность меньше 10%.