Post-quantique : comprendre la menace et préparer la migration
Normes du NIST, position de l’ANSSI, calendrier européen, état du déploiement et méthode : ce que les organisations françaises doivent savoir sur la cryptographie post-quantique et par où commencer.
L’essentiel en bref
- La menace est connue, sa date ne l’est pas. Un ordinateur quantique suffisamment puissant casserait RSA et la cryptographie sur courbes elliptiques. Personne ne sait quand une telle machine existera. En revanche, des données interceptées aujourd’hui peuvent être conservées puis déchiffrées plus tard.
- Les normes sont prêtes. Le NIST a publié en août 2024 les normes ML-KEM, ML-DSA et SLH-DSA. Deux compléments, FN-DSA et HQC, sont encore en préparation. Il n’est pas utile de les attendre pour commencer.
- L’ANSSI fixe un cap. Elle recommande fortement l’hybridation, vise des obligations post-quantiques pour l’entrée en qualification des produits à partir de 2027 et juge qu’il « ne sera pas raisonnable » d’acheter des produits sans cryptographie post-quantique après 2030.
- L’Union européenne a un calendrier. Les États membres doivent avoir engagé la transition d’ici fin 2026 et protégé les usages à haut risque au plus tard fin 2030. L’horizon global est 2035.
- Le déploiement a commencé. L’échange de clés hybride est actif par défaut dans les principaux navigateurs et dans OpenSSH. Les signatures et les certificats sont le chantier qui reste à mener, avec des premières étapes attendues en 2027.
- Pour une PME, il faut d’abord s’organiser. Il s’agit d’inventorier, de repérer les données à longue durée de vie, de mettre à jour TLS et SSH et d’intégrer l’exigence dans les achats.
De quoi parle-t-on ?
Presque tous les échanges numériques reposent sur la cryptographie à clé publique. Elle sert à établir une clé secrète entre deux parties (échange de clés) et à prouver l’origine d’un message ou d’un logiciel (signature). Les algorithmes utilisés aujourd’hui, RSA et les courbes elliptiques (ECDH, ECDSA), seraient cassés par un ordinateur quantique dit « cryptographiquement pertinent ». La cryptographie symétrique (AES) et les fonctions de hachage sont beaucoup moins exposées.
La cryptographie post-quantique (PQC, pour post-quantum cryptography) désigne de nouveaux algorithmes conçus pour résister à ces attaques. Ils fonctionnent sur les ordinateurs actuels : il ne s’agit pas de cryptographie quantique.
« Récolter maintenant, déchiffrer plus tard »
Un attaquant peut enregistrer dès aujourd’hui des communications chiffrées et attendre de disposer des moyens de les déchiffrer. Toute donnée qui doit rester confidentielle pendant de longues années est donc déjà concernée : données de santé, secrets industriels, données personnelles sensibles, informations de défense. Dans un rapport publié le 7 octobre 2026, Europol souligne que l’incertitude sur la date d’arrivée de l’ordinateur quantique « ne devrait pas être la préoccupation principale », car l’adaptation des systèmes prend du temps. L’agence note aussi qu’il n’existe pas de preuve claire d’une exploitation systématique et à grande échelle de cette technique. Nous avons détaillé ce rapport et celui du GAO, l’organe d’audit du Congrès américain, dans Post-quantique : le GAO américain et Europol appellent à accélérer la migration.
Les signatures sont moins urgentes. Une signature falsifiée ne présente un danger qu’une fois l’ordinateur quantique disponible. Il faut cependant anticiper pour les objets et systèmes à longue durée de vie (racines de confiance, micrologiciels, cartes), qu’il sera difficile de mettre à jour plus tard.
Les normes du NIST
Le NIST, l’institut américain de normalisation, a mené une compétition internationale de plusieurs années. Ses résultats servent de référence mondiale, y compris pour l’ANSSI.
| Norme | Usage | Origine | Statut au 12 octobre 2026 |
|---|---|---|---|
| FIPS 203 — ML-KEM | Établissement de clés (algorithme principal) | CRYSTALS-Kyber | Publiée le 13 août 2024 |
| FIPS 204 — ML-DSA | Signature (algorithme principal) | CRYSTALS-Dilithium | Publiée le 13 août 2024 |
| FIPS 205 — SLH-DSA | Signature fondée sur le hachage (solution de secours) | SPHINCS+ | Publiée le 13 août 2024 |
| FIPS 206 — FN-DSA | Signature compacte | Falcon | En cours de normalisation, version finale non publiée |
| HQC | Établissement de clés (secours de ML-KEM) | Codes correcteurs | Retenu le 11 mars 2025. Le NIST prévoyait un projet de norme environ un an plus tard et une norme finale en 2027. |
HQC repose sur une famille mathématique différente de celle de ML-KEM. Il servirait de repli si une faiblesse était découverte dans ce dernier. Le NIST rappelle que les organisations doivent continuer à migrer vers les normes publiées en 2024. À terme, l’institut prévoit de déprécier puis de retirer de ses normes les algorithmes vulnérables d’ici 2035, en demandant aux systèmes à haut risque de basculer bien plus tôt. Pour le détail technique, voir Cryptographie post-quantique : où en est-on en octobre 2026 ?
L’hybridation
Les algorithmes post-quantiques sont récents et ont moins de recul que RSA ou les courbes elliptiques. L’hybridation consiste à combiner un algorithme classique éprouvé et un algorithme post-quantique : la protection tient tant que l’un des deux résiste. C’est la doctrine de l’ANSSI et le mode le plus déployé aujourd’hui, par exemple X25519MLKEM768 pour TLS.
Qui est concerné ?
À terme, toutes les organisations le sont, puisque la cryptographie à clé publique est partout : sites web, VPN, messagerie, accès distants, signature de documents, cartes à puce, objets connectés, sauvegardes chiffrées. Le niveau d’urgence dépend toutefois de la situation de chacun :
- Urgence élevée : les organisations qui traitent des données devant rester confidentielles au-delà de 2030 (santé, défense, recherche, propriété intellectuelle, données d’État) ou qui exploitent des systèmes à très longue durée de vie (industrie, énergie, transport).
- Périmètre réglementé en France : les données classifiées ou « Diffusion Restreinte », les systèmes d’information d’importance vitale (SIIV) et les produits certifiés ou qualifiés par l’ANSSI. L’hybridation y est obligatoire dès qu’un mécanisme post-quantique est déployé.
- Fournisseurs de produits de sécurité : ils devront intégrer la PQC pour entrer en qualification ANSSI à partir de 2027, et leurs clients l’exigeront dans les appels d’offres.
- PME et collectivités : l’essentiel de la migration leur viendra de leurs éditeurs et fournisseurs. Leur rôle est surtout de savoir où se trouve leur cryptographie, de maintenir leurs logiciels à jour et de poser les bonnes questions à l’achat.
Ce que disent les autorités
L’ANSSI
L’Agence nationale de la sécurité des systèmes d’information a publié le 8 octobre 2025 une FAQ qui précise sa doctrine. Ses points principaux :
- intégrer la menace quantique dans l’analyse de risques ;
- lancer un inventaire des usages cryptographiques et des données qui doivent rester protégées après 2030, en traitant d’abord les cas critiques ;
- demander aux fournisseurs leur feuille de route et intégrer la PQC lors du renouvellement des équipements ;
- recourir à l’hybridation, « fortement » recommandée partout et obligatoire dans le périmètre réglementé. Pour les signatures fondées sur le hachage (SLH-DSA, XMSS, LMS), l’hybridation n’est pas systématiquement recommandée.
Hors du périmètre réglementé, ces préconisations n’ont pas de caractère d’obligation. Contrairement à ce qui a souvent été écrit, la FAQ n’annonce ni l’interdiction de RSA en 2027 ni le retrait des produits déjà qualifiés. Nous avons fait le point dans Post-quantique : ce que l’ANSSI recommande vraiment, et ce qu’elle n’a pas dit.
L’ANSSI a également publié un avis sur la crypto-agilité (19 janvier 2026). Le 2 février 2026, elle a publié trois fiches de recommandations techniques pour la transition post-quantique de TLS 1.3, d’IPsec et de SSHv2. Les premières certifications françaises de produits intégrant de la PQC ont été délivrées début octobre 2025.
L’Union européenne
La recommandation (UE) 2024/1101 de la Commission, du 11 avril 2024, a demandé aux États membres une stratégie coordonnée. Le 23 juin 2025, le groupe de coopération NIS a publié une feuille de route coordonnée, à laquelle l’ANSSI a contribué. Ses jalons :
- fin 2026 : tous les États membres ont engagé la transition (feuilles de route nationales, inventaires, premiers projets pour les cas à risque élevé et moyen) ;
- fin 2030 au plus tard : transition achevée pour les usages à haut risque, notamment les infrastructures critiques ;
- fin 2035 : transition achevée pour les usages à risque moyen, et autant que possible pour les usages à faible risque.
Cette feuille de route s’adresse d’abord aux États et aux opérateurs d’infrastructures critiques. Elle n’impose pas d’obligation juridique directe à une PME, mais elle orientera les exigences des acheteurs publics et des grands donneurs d’ordre.
Où en est le déploiement ?
L’échange de clés : largement engagé
- Navigateurs : selon la documentation de Cloudflare, l’échange hybride X25519MLKEM768 est activé par défaut dans Chrome et Edge depuis la version 131 et dans Firefox depuis la version 132 (bureau). Apple l’a activé dans iOS 26, macOS Tahoe 26 et les autres systèmes de la même génération.
- Norme TLS : la RFC 10024, publiée en août 2026 par l’IETF sur la voie des normes, définit trois échanges de clés hybrides pour TLS 1.3. X25519MLKEM768 est l’option recommandée.
- Bibliothèques et serveurs : OpenSSL active cet échange par défaut à partir de la version 3.5.0, et NGINX en profite lorsqu’il est compilé avec cette version. Go (1.24), Caddy et Traefik font de même dans leurs versions récentes.
- OpenSSH :
mlkem768x25519-sha256est l’échange de clés par défaut depuis la version 10.0 (avril 2025). Depuis la version 10.1 (octobre 2025), le client affiche un avertissement lorsqu’une connexion négocie un échange non post-quantique.
Selon Cloudflare, plus de 60 % du trafic TLS d’origine humaine vers son réseau était protégé par ML-KEM hybride dès février 2026. Dans la pratique, le maillon faible est souvent le serveur, le répartiteur de charge, le pare-feu ou le proxy d’inspection, qui ne négocie pas encore ces échanges.
Les signatures et les certificats : le point dur
Les signatures post-quantiques sont beaucoup plus volumineuses que les signatures actuelles. Une connexion TLS en transporte plusieurs : certificat, chaîne de certification, preuves de transparence. Les remplacer telles quelles alourdirait chaque connexion. Le 27 février 2026, Google a annoncé que Chrome n’ajouterait pas à court terme de certificats X.509 post-quantiques à son magasin de racines. Il mise plutôt sur les Merkle Tree Certificates (MTC), un format compact en cours de normalisation à l’IETF. Le calendrier annoncé : une étude de faisabilité avec Cloudflare (en cours), l’amorçage des MTC publics au premier trimestre 2027, puis le lancement d’un magasin de racines résistant au quantique au troisième trimestre 2027. Les certificats X.509 post-quantiques doivent être pris en charge dans Chrome pour les seules PKI privées, plus tard en 2026.
Cloudflare a annoncé le 29 septembre 2026 sa candidature pour devenir autorité de certification publique, avec des premiers MTC attendus au premier trimestre 2027. Voir Certificats post-quantiques : Cloudflare veut devenir autorité de certification. Pour la plupart des organisations, il n’y a rien à faire à ce stade sur les certificats web publics. Il faut en revanche suivre ce sujet pour les PKI internes.
Calendrier
| Date | Événement |
|---|---|
| 11 avril 2024 | Recommandation (UE) 2024/1101 sur une feuille de route coordonnée |
| 13 août 2024 | Publication par le NIST de FIPS 203, 204 et 205 |
| 11 mars 2025 | HQC retenu par le NIST comme secours de ML-KEM |
| 9 avril 2025 | OpenSSH 10.0 : ML-KEM hybride par défaut |
| 23 juin 2025 | Feuille de route européenne coordonnée |
| 8 octobre 2025 | FAQ de l’ANSSI sur la cryptographie post-quantique |
| 2 février 2026 | Fiches ANSSI sur TLS 1.3, IPsec et SSHv2 |
| août 2026 | RFC 10024 : échanges de clés hybrides pour TLS 1.3 |
| 6 et 7 octobre 2026 | Rapports du GAO et d’Europol |
| fin 2026 | UE : transition engagée dans tous les États membres. ANSSI : révision du référentiel IPsec DR prévue courant 2026. |
| 2027 | ANSSI : obligations PQC pour l’entrée en qualification de produits. NIST : norme HQC finale prévue. Chrome : premiers MTC publics (1er trimestre) et magasin de racines résistant au quantique (3e trimestre). |
| fin 2030 | UE : usages à haut risque migrés. ANSSI : achat de produits sans PQC jugé déraisonnable. |
| 2035 | UE : migration achevée pour les usages à risque moyen. NIST : retrait des algorithmes vulnérables de ses normes. |
Par où commencer
La migration ne se résume pas à changer d’algorithme. Elle touche les applications, les équipements réseau, les PKI, les HSM (modules matériels de sécurité), les cartes et badges, les objets connectés et les contrats. La méthode ci-dessous reprend notre guide en six étapes, inspiré des recommandations de l’ANSSI.
- Désigner un responsable et inscrire le sujet dans l’analyse de risques. Une personne pilote le dossier, et la menace quantique figure dans la cartographie des risques au même titre que les autres.
- Faire l’inventaire cryptographique. Il s’agit de recenser où la cryptographie est utilisée (protocoles, applications, équipements, bibliothèques), avec quels algorithmes et quelles tailles de clés. Les outils de découverte aident, mais il faudra souvent interroger les fournisseurs. Commencez par les flux exposés : site web, VPN, accès distants, messagerie, sauvegardes externalisées.
- Classer selon la durée de vie des données. Posez-vous une question pour chaque flux : combien de temps cette donnée doit-elle rester confidentielle ? Les flux qui transportent des données sensibles au-delà de 2030 sont prioritaires.
- Prendre les gains rapides sur TLS et SSH. Mettez à jour serveurs, répartiteurs de charge et proxys pour qu’ils négocient X25519MLKEM768. Côté administration, passez sur OpenSSH 10 ou une version ultérieure. Vérifiez le résultat, par exemple avec
nscurl --tls-diagnosticssous macOS Tahoe ou avec l’avertissement du client OpenSSH. Appuyez-vous sur les fiches de l’ANSSI de février 2026. - Interroger les fournisseurs et intégrer la PQC aux achats. Demandez à vos éditeurs, hébergeurs et constructeurs (VPN, pare-feu, PKI, HSM) leur feuille de route post-quantique. Ajoutez une exigence d’hybridation et de crypto-agilité dans les cahiers des charges. Un équipement acheté aujourd’hui sera encore en service après 2030.
- Construire la crypto-agilité. Il s’agit de pouvoir changer d’algorithme sans refondre les systèmes. Pour cela, évitez les algorithmes codés en dur, centralisez la gestion des clés et des certificats et documentez les dépendances. Les PKI internes et les signatures de longue durée (micrologiciels, archivage) se préparent dès maintenant, même si leur bascule viendra plus tard.
Pour une PME, les étapes 2, 4 et 5 apportent l’essentiel du bénéfice à court terme, sans investissement lourd. Notre guide PDF gratuit sur la migration post-quantique reprend cette démarche avec des listes de vérification.
Pour aller plus loin
- ANSSI : page « Cryptographie post-quantique » sur cyber.gouv.fr (FAQ, avis, fiches TLS, IPsec et SSH, études de marché, avis sur la crypto-agilité).
- Commission européenne : feuille de route coordonnée pour la transition post-quantique et sa FAQ, sur le site Digital Strategy.
- NIST : projet « Post-Quantum Cryptography » sur csrc.nist.gov (normes FIPS 203, 204 et 205, avancement de FN-DSA et HQC, projet de rapport IR 8547 sur la transition).
- IETF : RFC 10024 pour les échanges hybrides dans TLS 1.3.
- Cyberiack : le point d’étape d’octobre 2026, la doctrine de l’ANSSI, la méthode en six étapes et le guide PDF.
Méthode : synthèse rédigée avec l’assistance de l’intelligence artificielle à partir de sources primaires, faits vérifiés par un second modèle d’IA, relue et validée par Frédéric LENQUETTE. Elle est mise à jour au fil de l’actualité. Une erreur ? Signalez-la.
