¿Por qué los certificados de seguridad de Let's Encrypt se invalidan antes de lo programado en los dispositivos Android afectados?

El artículo relevante es: https://letsencrypt.org/2023/07/10/cross-sign-expiration.html

El jueves 8 de febrero de 2024, dejamos de proporcionar la firma cruzada por defecto en las solicitudes realizadas a nuestro punto final API de certificado /acme. Para la mayoría de los Suscriptores, esto significa que su cliente ACME configurará una cadena que termina en ISRG Root X1, y su servidor web comenzará a proporcionar esta cadena más corta en todos los apretones de manos TLS. La cadena más larga, que termina en la firma cruzada que está a punto de expirar, aún estará disponible como una cadena alternativa que puede configurar su cliente para solicitar.

Por lo tanto, la firma cruzada sigue funcionando, pero por defecto la mayoría de los certificados de servidor ya no se crearán de una manera que haga uso de la cadena de certificados de firma cruzada, lo que desde la perspectiva del usuario significa que los certificados de Let's Encrypt que se hayan emitido después del 8 de febrero ya no funcionarán por defecto en Android 5.0-8.0 (en estado nativo).