Sanofi adapte son chiffrement aux ordinateurs quantiques, mais ses éditeurs tardent à suivre

Le script tourne tous les jours. Écrit en Python par les équipes de Sanofi, il recense les sites web du groupe pharmaceutique. Au départ, l'équipe en suivait 600. L'outil a fini par trouver 17 000 noms de domaine et 6 200 sites en ligne, dont environ 4 100 pourraient passer au chiffrement post-quantique. Ce chiffre est tiré du retour d'expérience que Sanofi a confié à LeMagIT, publié le 2 novembre : à quoi ressemble, concrètement, la préparation d'un grand groupe à la menace des futurs ordinateurs quantiques.

Le sujet est piloté depuis 2024 par Jérôme Lahalle, responsable de la cybersécurité du cloud et des infrastructures de calcul. Les travaux ont commencé après que le NIST, l'agence américaine des normes, a publié ses algorithmes résistants aux ordinateurs quantiques. Un pilote a suivi en 2025, conduit par Alexandre Deloire, expert en quantique et en IA, avec la formation d'une centaine de membres de la direction informatique. « Le risque quantique a été intégré dans la définition des risques chez Sanofi », explique Jérôme Lahalle, qui reconnaît toutefois : « on sait que l'on est déjà en retard ».

Par quoi commencer quand tout est à migrer ?

Sanofi a retenu six critères pour décider de l'ordre de passage, dans cet ordre : les obligations légales, la criticité de l'application, la maturité des protocoles, la disponibilité de solutions chez les éditeurs, l'exposition à Internet, puis le type et la solidité du chiffrement en place. Le risque quantique figure dans la cartographie des risques, et une clause dédiée a été ajoutée aux modèles de contrats avec les fournisseurs.

Côté technique, l'équipe a monté un serveur et un client de test pour comparer trois types de certificats : entièrement post-quantiques, hybrides (qui combinent algorithme classique et algorithme post-quantique) et rétrocompatibles. La taille est l'un des deux enjeux relevés, avec la négociation entre les deux extrémités. Selon LeMagIT, passer de l'algorithme de signature classique ECDSA P-256 au post-quantique ML-DSA-44 fait passer la signature de 64 à 2 420 octets. Multiplié par les quelque 3 millions de certificats que Sanofi gère avec la plateforme d'EverTrust, l'effet n'est pas anodin.

Le maillon faible : les logiciels en ligne

En 2026, la priorité va aux applications SaaS, ces logiciels utilisés en ligne et hébergés par leur éditeur. Sanofi en a évalué une vingtaine sur une échelle de 0 à 4 : huit ne prennent pas du tout en charge le post-quantique, cinq sont au niveau 1, quatre ont une solution prête et testée, avec une migration imminente, trois ont activé des protections post-quantiques, et aucune n'est entièrement protégée. Sur ce terrain, Sanofi ne peut rien faire seul : c'est à l'éditeur de migrer.

Même constat pour les équipements réseau. Le proxy de Zscaler ne prend pas encore en charge le post-quantique, et son arrivée est attendue d'ici la fin de l'année. Pour les VPN, Sanofi vise un échange de clés hybride et prévoit une mise à jour de ses pare-feu Palo Alto Networks au quatrième trimestre 2026. Le post-quantique figure aussi dans l'appel d'offres en cours sur le réseau étendu (SD-WAN).

Ce que votre organisation peut reprendre

Pas besoin d'être Sanofi pour appliquer la méthode :

• Inventorier automatiquement plutôt qu'à la main : l'écart entre 600 sites connus et 6 200 sites réels montre ce qu'un tableur laisse échapper.
• Interroger vos éditeurs et noter leur réponse sur une échelle simple, comme celle de Sanofi.
• Ajouter une clause post-quantique dans vos contrats et appels d'offres dès maintenant.
• Tester la taille des certificats sur vos équipements avant de les basculer.

Notre guide en six étapes pour démarrer une migration post-quantique détaille cette démarche. Reste une incertitude, que Jérôme Lahalle résume ainsi : « on ne sait pas quand le risque quantique sera une réalité ». Pour un groupe qui dépend de dizaines d'éditeurs, le calendrier ne lui appartient qu'en partie.