Door e.r.: Het stomme is, er is niet echt een serieus probleem wat hiermee opgelost wordt, maar het kost wèl veel tijd en energie. Globale CAs zijn nu nog maar 200 dagen geldig, in 2027 100 dagen en in 2028 47 dagen, niet 45. Het is de "elke zoveel dagen password wijzigen" versie voor TLS . En met dezelfde reden - zorgen dat een (mogelijkerwijs onmerkbaar) gelekt certificaat maar een beperkte tijd bruikbaar is, plus uitfaseren van OCSP . https://blog.ascertia.com/ocsp-and-the-web-pki-whats-changing (voor degenen die het niet wisten : een browser deed voor elk webbezoek naar "ergens" ook even een lookup bij de Certificate authority van die site om te kijken of het certificaat nog geldig was. Lekker private browsen ... Het is erg veel later wat gemitigeerd ) Het intrekken van een certificaat is een slecht schaalbaar model - (inclusief privacy probleem dat een browser telkens roept naar een CA waar hij wilde gaan kijken ) - en intrekken wordt alleen gedaan wanneer mensen _weten_ dat een certificaat ...