Правильнее не отзывать сертификат, если закрытый ключ закончил свое действие, а сертификат ещё не закончился. Пусть сертификат будет иметь стаутс "действующий". И его будут использовать для проверки подписи. А вот закрытый ключ должен быть уничтожен после окончания своего срока действия, т.е. подписи с ним уже делать никто не будет. И сертификат сам окончит своё действие в положенный ему срок.