La migrazione dei certificati è la sostituzione controllata di materiale crittografico di fiducia più vecchio con certificati più recenti. In pratica, significa aggiornare sistemi, dispositivi o firmware in modo che continuino a fidarsi delle chiavi di firma corrette senza interrompere la verifica. In termini di sicurezza, si tratta di un'attività di manutenzione della catena di fiducia: se un certificato scade o diventa obsoleto, il software che dipende da esso può smettere di convalidare correttamente codice, aggiornamenti o componenti di avvio.
Questo è importante perché gli aggressori spesso prendono di mira le radici di fiducia. Se i vecchi certificati vengono lasciati in uso troppo a lungo, i difensori possono trovarsi ad affrontare convalide fallite, fiducia indebolita nell'avvio sicuro o lacune nella distribuzione degli aggiornamenti. La migrazione è comune nei sistemi operativi, nella PKI, nella firma del codice e nei rollout del firmware, dove gli amministratori pianificano i cambiamenti con attenzione e verificano la copertura prima che il vecchio materiale di fiducia scada. Se eseguita bene, preserva la continuità chiudendo al contempo i percorsi di fiducia obsoleti che gli aggressori potrebbero sfruttare.