Beim ephemeren Schlüsselaustausch per (EC)DHE oder KEM signiert der private Schlüssel des Servers nur den Handshake; ein Angreifer, der ihn später stiehlt, kann aufgezeichneten Datenverkehr nicht entschlüsseln. Beim statischen RSA-Schlüsseltransport in TLS 1.2 entschlüsselt derselbe Diebstahl jede aufgezeichnete Sitzung, deshalb hat TLS 1.3 ihn entfernt.
Forward Secrecy ist nur so gut wie das Löschen der Secrets: Schlüssel zur Verschlüsselung von Session Tickets, zwischengespeicherte Sitzungen und langlebige 0-RTT-Schlüssel können sie aushebeln, rotiere die Ticket-Schlüssel also häufig. Gegen einen Angreifer mit Quantencomputer, der Datenverkehr aufzeichnet und später den ephemeren Schlüsselaustausch selbst bricht, schützt sie nicht; dagegen hilft ein hybrider Post-Quanten-Schlüsselaustausch.