使用临时 (EC)DHE 或 KEM 密钥交换时，服务器私钥只用于对握手签名；日后窃取该私钥的攻击者无法解密已记录的流量。而使用 TLS 1.2 的静态 RSA 密钥传输时，同样是窃取私钥，攻击者却能解密每一个已记录的会话，这正是 TLS 1.3 移除静态 RSA 密钥传输的原因。
前向保密的效果取决于秘密值是否被真正删除：会话票据加密密钥、缓存的会话和长期有效的 0-RTT 密钥都可能使其失效，因此要经常轮换票据密钥。它无法防御这样的量子攻击者：先记录流量，日后再破解临时密钥交换本身；混合后量子密钥交换解决的正是这个问题。