Pourquoi les 97 % d'applications mobiles sans code post-quantique ne sont pas toutes exposées

136 711 applications iOS et Android passées au crible, et 96,9 % d'entre elles sans la moindre trace de cryptographie post-quantique. Le chiffre, publié le 20 octobre par l'éditeur de sécurité mobile NowSecure, a de quoi inquiéter les responsables informatiques. Il mérite pourtant d'être lu de près, car il ne mesure pas forcément ce que l'on croit.

La cryptographie post-quantique désigne les algorithmes conçus pour résister à un futur ordinateur quantique capable de casser RSA et les courbes elliptiques. Le risque le plus immédiat s'appelle « collecter maintenant, déchiffrer plus tard » : un attaquant enregistre aujourd'hui des échanges chiffrés pour les lire dans quelques années.

Ce que NowSecure a vraiment mesuré

Selon le communiqué repris par The Quantum Insider, l'éditeur a analysé les applications vues sur 90 jours jusqu'au 5 octobre 2026, en inspectant leurs fichiers binaires à la recherche d'algorithmes ou de bibliothèques post-quantiques. Résultat : 4 241 applications seulement (3,1 %) en contiennent. Parmi les applications américaines les plus populaires, moins d'une sur dix en embarque.

NowSecure reconnaît lui-même la limite : l'absence de ce code dans l'application ne signifie pas l'absence de protection, qui peut venir du système d'exploitation, de la pile réseau ou du serveur. Et la présence de code ne prouve pas qu'il soit utilisé. L'étude n'a pas fait l'objet d'une revue indépendante, et son communiqué évoque tantôt une analyse statique, tantôt des tests à l'exécution.

Sur iPhone, le système chiffre déjà à la place de l'appli

Le cas d'Apple illustre bien cette limite. Selon le guide de sécurité de ses plateformes, sur iOS 26 et iPadOS 26, TLS 1.3 avec un échange de clés hybride résistant au quantique (X25519MLKEM768, qui combine une courbe elliptique classique et l'algorithme ML-KEM normalisé par le NIST) est activé par défaut pour les interfaces réseau URLSession et Network. Une application qui passe par ces interfaces en profite sans contenir une ligne de code post-quantique, à condition que le serveur en face accepte cet échange de clés.

Sur Android et pour les applications qui embarquent leur propre bibliothèque de chiffrement, la situation dépend de la pile utilisée : c'est là que l'inventaire a le plus de valeur.

Que vérifier dans vos applications ?

Pour les entreprises qui publient ou déploient des applications mobiles, le chiffre de NowSecure sert surtout de point de départ :

• Identifiez quelle pile réseau chaque application utilise : interfaces du système, ou bibliothèque embarquée (OpenSSL, BoringSSL, client HTTP tiers) qu'il faudra mettre à jour vous-même.
• Vérifiez que vos serveurs et passerelles acceptent l'échange hybride X25519MLKEM768 : sans eux, la protection côté téléphone ne sert à rien.
• Traitez d'abord ce que l'étude signale ailleurs : plus de 3 100 applications contiennent encore des algorithmes obsolètes comme DES ou RC4, un risque bien actuel.
• N'oubliez pas le chantier des signatures et des certificats, plus lent, comme l'a montré l'évaluation du MITRE.

Pour structurer la démarche, notre guide de migration en six étapes commence justement par l'inventaire. Une question reste ouverte : combien de serveurs d'API utilisés par les applications mobiles acceptent réellement l'échange hybride aujourd'hui ?