La rotazione delle chiavi è la sostituzione pianificata di una chiave crittografica esistente con una nuova. La transizione viene in genere coordinata in modo che i sistemi che dipendono dalla chiave possano conoscere e considerare attendibile la chiave successiva prima che quella vecchia venga ritirata.
Le rotazioni limitano il rischio che le chiavi in uso per periodi prolungati vengano esposte o diventino obsolete, ma possono causare malfunzionamenti quando i sistemi dipendenti non vengono aggiornati. In DNSSEC, per esempio, un resolver di convalida ha bisogno dell'ancora di attendibilità radice corrente per verificare i dati DNS firmati. Se non rileva una rotazione della chiave di firma della radice (Key Signing Key), la convalida può non riuscire e causare errori di ricerca o delle applicazioni. I difensori dovrebbero individuare i sistemi che usano la chiave, abilitare gli aggiornamenti gestiti quando disponibili e monitorare gli errori durante la transizione.