А, все, вспомнил как делал я, корневым сертификатом подписывал родительский сертификат на 10 лет для бэка, им подписывал сертификаты уже для конкретных серваков (dev qa prod и т.п.) на год, и в клиент на андроид зашивал родительский сертификат (на 10 лет который). Соответственно если сертификат закончится или его просто надо будет перевыпустить (ключ с сервака утечет например), его можно перевыпустить без проблем, и клиент обновлять не нужно
Ключ от родительского сертификата держим вместе с рутовым в отдельном хранилище без доступа к сети