Sigilo de encaminhamento
Propriedade de segurança: mesmo que a chave do servidor vaze depois, o tráfego interceptado antes não pode ser decifrado.
Tecnicamente: cada sessão ganha uma chave única e efêmera via Diffie-Hellman. DH efêmero = ECDHE. Defesa contra o esquema "capture agora, decifre depois". Obrigatório no TLS 1.3 — versões mais antigas do TLS costumavam não ter PFS.