Com a troca de chaves efêmera (EC)DHE ou por KEM, a chave privada do servidor apenas assina o handshake; um atacante que a roube depois não consegue descriptografar o tráfego gravado. Com o transporte de chaves RSA estático do TLS 1.2, o mesmo roubo descriptografa todas as sessões gravadas, e é por isso que o TLS 1.3 o removeu.
O forward secrecy depende de os segredos serem de fato apagados: chaves de criptografia de tickets de sessão, sessões em cache e chaves 0-RTT de longa duração podem anulá-lo, então faça a rotação das chaves de ticket com frequência. Ele não protege contra um adversário quântico que grava o tráfego e depois quebra a própria troca de chaves efêmera; a troca de chaves híbrida pós-quântica resolve isso.