Řešením přechodu z již neplatného mezilehlého X3 na nový R3 je restart Windows serveru s IIS po vypršení X3. Jinak totiž nelze dosáhnout, aby IIS použil pro automatický výběr mezilehlého certifikátu R3 (protože R3 je vydán dříve, je považován Windows za "starší", přestože má delší životnost). Odstranění X3 z cert storu mi nepomohlo (a není nutné) - je tam v mezilehlých i kořenových.
Tímto se obejde problém, že aplikace Bakaláři na Androidu pravděpodobně interně používá staré openssl (místo systémového cert storu Androidu).