Le NIST (National Institute of Standards and Technology) a recommandé que la fonction de hachage SHA-1 ne soit plus considérée comme sûre à partir de janvier 2014. Mais avec toujours 98% des certificats générés dans le monde basés sur ce standard, un changement immédiat n'est pas possible. Pour sa part, Microsoft a fait le choix de donner jusqu'au 1er janvier 2017 aux sites web pour remplacer leurs certificats SSL par une version plus sûre.
Les éditeurs d'applications qui doivent signer numériquement leur code sont aussi affectés. Ils ont jusqu'au 1er janvier 2016 pour acquérir et utiliser des nouveaux certificats de signature. "Les certificats de signature de code SHA1 qui ont un timestamp (horodatage) avant le 1er janvier 2016 seront acceptés jusqu'à cette date, à laquelle Microsoft considérera que SHA1 est vulnérable à une attaque en pré-image".
Ces politiques sont sujettes à revue en mi-2015. Deux des facteurs clefs qui peuvent affecter la ligne de conduite de Microsoft sont :
si SHA1 est toujours considéré comme résistant aux attaques en pré-image par la communauté de sécurité, et si une part significative de l'écosystème n'est pas capable de passer à SHA2. Les systèmes legacy et le monde de l'embarqué peuvent en particulier être concernés. Nous continuerons à analyser les données statistiques sur ces écosystèmes pour suivre la tendance.
Dans la rédaction actuelle de la Politique de Déprécation de SHA1, elle s'applique à Windows Vista, Windows Server 2008 et les OS suivants. Ceux qui sont toujours sous Windows XP auront au moins besoin de passer au Service Pack 3 afin d'utiliser SHA2. Enfin, le Service Pack 2 de Windows Server 2003 supporte aussi SHA2.