Q-Day : à quelle date RSA tombera-t-il vraiment ?
La réponse honnête : personne ne le sait. Mais la fourchette s'est resserrée, et elle est plus courte que la durée de vie de vos données.
Chaque conférence de cybersécurité produit sa date. On entend 2029, 2030, 2033, 2040. Ces chiffres circulent sans leur intervalle de confiance, ce qui les rend inutilisables pour décider quoi que ce soit. Cet article rassemble ce que disent réellement les sources publiques — NIST, ANSSI, Commission européenne, enquêtes d'experts, publications académiques — et montre pourquoi la date du Q-Day n'est probablement pas la variable la plus importante de votre décision.
Ce que « Q-Day » désigne exactement
Le terme recouvre un événement précis : l'existence d'un ordinateur quantique cryptographiquement pertinent (CRQC, cryptographically relevant quantum computer), c'est-à-dire une machine capable de casser une clé RSA-2048 dans un délai opérationnel — la référence usuelle étant vingt-quatre heures. Pas une machine qui résout un problème artificiel plus vite qu'un supercalculateur. Une machine qui exécute l'algorithme de Shor sur une clé réelle.
Cette distinction est celle que les communiqués de presse effacent le plus souvent. Les annonces de « suprématie quantique » ou d'« avantage quantique » portent sur des tâches d'échantillonnage sans rapport avec la factorisation. Un processeur peut battre tous les records de qubits et rester à des ordres de grandeur du seuil qui vous concerne.
Q-Day ne sera pas annoncé. Aucun État ne publiera de communiqué le jour où sa cryptanalyse deviendra opérationnelle, et un acteur privé qui y parviendrait aurait plus d'intérêt à s'en servir qu'à le dire. Vous n'apprendrez donc pas que le moment est venu : vous constaterez, éventuellement, ses conséquences. Toute stratégie qui consiste à « migrer quand ce sera nécessaire » suppose un signal qui n'arrivera pas.
Probabilité d'un CRQC dans les 10 ans, selon l'enquête d'experts du Global Risk Institute (édition 2025).
Probabilité à 15 ans dans la même enquête. Le niveau le plus élevé depuis la création du baromètre en 2019.
Qubits physiques désormais estimés nécessaires pour casser RSA-2048, contre 20 millions dans l'estimation de 2019.
Dépréciation puis interdiction de RSA-2048 et ECC P-256 dans le calendrier de transition du NIST.
Les estimations existent, mais ce sont des fourchettes
La référence la plus citée est le baromètre annuel du Global Risk Institute, réalisé avec evolutionQ et coordonné par Michele Mosca, qui interroge chaque année un panel de chercheurs en informatique quantique. L'édition 2025 place la probabilité d'un CRQC entre 28 % et 49 % à dix ans, et entre 51 % et 70 % à quinze ans. Ces valeurs sont les plus hautes jamais enregistrées par cette enquête, et elles progressent d'une édition à l'autre : les fourchettes des années précédentes étaient sensiblement inférieures sur le même horizon.
D'autres sources convergent vers le même ordre de grandeur. Les analyses du secteur financier situent autour de 2035 le point où la probabilité d'un CRQC franchit 50 %. La Commission européenne, dans ses travaux de cadrage, retient qu'une telle machine est probable d'ici 2040. Aucune source sérieuse ne défend aujourd'hui « l'année prochaine », et aucune ne défend « jamais ».
Comment lire ces chiffres sans se tromper
Ce sont des opinions d'experts agrégées, pas des mesures. Elles héritent des biais habituels de ce type d'exercice : les chercheurs financés sur un domaine ont rarement intérêt à en annoncer la stagnation, et l'histoire de l'informatique quantique est faite de calendriers repoussés autant que d'accélérations. Prendre 2033 comme une date d'échéance serait une erreur de méthode aussi grave que de considérer 2040 comme une garantie.
Ce qui est exploitable, en revanche, c'est la direction et la dispersion. La direction est constante depuis six ans : les estimations se rapprochent. La dispersion reste large : six à dix ans d'écart entre les scénarios raisonnables. Une décision qui ne tient que si le scénario optimiste se réalise n'est pas une décision, c'est un pari.
Ce qui fait bouger la date n'est pas le matériel
L'estimation de référence de 2019, due à Craig Gidney et Martin Ekerå, chiffrait l'attaque contre RSA-2048 à environ vingt millions de qubits physiques bruités pendant quelques heures. C'est ce chiffre qui a longtemps rassuré : vingt millions de qubits, avec quelques centaines disponibles, plaçait la menace à une distance confortable.
En mai 2025, le même auteur a publié une estimation révisée : moins d'un million de qubits physiques, soit une réduction d'un facteur vingt. Aucun matériel nouveau n'a été construit pour l'obtenir. Le gain vient de circuits d'exponentiation modulaire plus efficaces et de meilleurs schémas de correction d'erreur. Des travaux ultérieurs suggèrent que le seuil pourrait descendre encore.
Depuis 2016, chaque révision majeure du coût de l'attaque l'a revu à la baisse. Aucune ne l'a revu à la hausse. Le seuil que le matériel doit atteindre descend donc vers lui pendant qu'il monte.
C'est la partie du problème contre laquelle on ne peut pas planifier : une avancée algorithmique se publie en quelques mois, ne demande aucune usine, et déplace la date pour tout le monde en même temps.
Où en est réellement le matériel
Loin du compte, et il faut le dire clairement. Les machines les plus avancées alignent aujourd'hui des centaines à quelques milliers de qubits physiques, avec des taux d'erreur trop élevés pour l'usage qui nous occupe. Les records de qubits logiques — les qubits corrigés d'erreur, seuls pertinents pour Shor — se comptent en dizaines, pas en milliers.
Les feuilles de route industrielles donnent l'échelle du chemin restant. IBM annonce pour 2029 un système tolérant aux fautes de l'ordre de 200 qubits logiques, puis une machine de 2 000 qubits logiques à l'horizon 2033. D'autres acteurs — neutres, ioniques, photoniques — publient des trajectoires comparables avec des architectures différentes.
Ces annonces méritent d'être lues pour ce qu'elles sont : des engagements commerciaux, dans un secteur qui lève des capitaux. Elles ont historiquement glissé. Mais elles indiquent que les acteurs les mieux informés du domaine considèrent l'échelle nécessaire comme atteignable dans la décennie, et engagent des milliards sur cette conviction.
L'absence de CRQC aujourd'hui ne vous protège pas. L'attaque dite « harvest now, decrypt later » — capter maintenant, déchiffrer plus tard — ne nécessite aucun ordinateur quantique : elle nécessite du stockage, qui coûte peu, et de la patience. Le trafic chiffré que vous émettez cette semaine peut être conservé jusqu'à ce qu'il devienne lisible. Et il n'existe aucun moyen de rechiffrer rétroactivement ce qui a déjà été copié.
Le Q-Day réglementaire arrive avant le Q-Day technique
C'est le point que la plupart des articles manquent. Quelle que soit la date à laquelle les physiciens arriveront, les dates auxquelles votre auditeur, votre régulateur et vos clients arriveront sont déjà écrites. Elles sont beaucoup plus proches.
Feuille de route européenne coordonnée : les États membres doivent avoir engagé leur stratégie nationale de transition. L'ANSSI invite les organisations à réaliser dès maintenant leur inventaire cryptographique.
L'ANSSI cesse de certifier et de qualifier les produits de sécurité dépourvus de cryptographie post-quantique. La qualification conditionnant l'accès à la commande publique et aux OIV, l'exigence devient une condition de marché.
RSA-2048 et ECC P-256 dépréciés dans le calendrier du NIST. L'ANSSI attend des achats exclusivement quantum-safe. La feuille de route européenne vise la migration des infrastructures critiques.
Interdiction des algorithmes vulnérables au quantique dans les standards du NIST, y compris pour les systèmes hérités. Cible de transition complète côté européen.
NIST IR 8547
Le rapport de transition fixe une trajectoire en deux temps : dépréciation après 2030, interdiction après 2035, pour les algorithmes à clé publique offrant environ 112 bits de sécurité. Entre les deux s'ouvre une fenêtre où l'usage reste toléré mais devient une réserve d'audit.
ANSSI : 2027 puis 2030
Annonce du 16 juin 2026, à France Quantum : arrêt des certifications sans composante post-quantique dès 2027, achats quantum-safe uniquement d'ici 2030. L'agence recommande par ailleurs le mode hybride pendant toute la transition.
Feuille de route coordonnée
Stratégies nationales engagées fin 2026, systèmes à haut risque migrés fin 2030, transition aussi complète que possible fin 2035. Ces jalons alimentent directement les attentes des auditeurs NIS2 et DORA.
Un éditeur logiciel qui vend à l'État ou à un opérateur d'importance vitale a moins de deux ans pour intégrer une composante post-quantique à son produit. Une entreprise auditée au titre de DORA ou de NIS2 peut déjà se voir demander sa feuille de route. Dans les deux cas, l'échéance ne dépend d'aucune prédiction de physicien : elle est administrative, datée, et opposable.
La seule date qui compte est la vôtre
Le théorème de Mosca remplace la spéculation par une soustraction. Il pose trois durées : X, le temps pendant lequel vos données doivent rester confidentielles ; Y, le temps nécessaire à votre migration ; Z, le délai avant le CRQC. Si X + Y > Z, vous êtes déjà en retard — non pas dans le futur, mais aujourd'hui.
L'intérêt de cette formulation est qu'elle absorbe l'incertitude au lieu de la nier. Vous n'avez pas besoin de connaître Z précisément : il suffit de constater que, pour beaucoup de données, X seul dépasse déjà toutes les valeurs plausibles de Z.
| Type de donnée | XDurée de confidentialité | YMigration typique | VerdictMarge restante |
|---|---|---|---|
| Dossier médical | Permanente | 6 à 12 mois | Négative |
| Acte notarié, archive probante | 30 ans et plus | 4 à 8 mois | Négative |
| Contrat d'assurance-vie | 20 à 30 ans | 12 à 24 mois | Négative |
| Brevet, procédé industriel | 15 à 20 ans | 6 à 12 mois | Négative |
| Données d'administrés | Plusieurs décennies | 12 à 20 mois | Négative |
| Dossier KYC, LCB-FT | 5 à 10 ans | 4 à 12 mois | Négative |
| Session applicative, panier | Quelques mois | 2 à 4 mois | Confortable |
Une seule ligne de ce tableau échappe à la contrainte. C'est aussi la seule dont la valeur pour un attaquant disparaît d'elle-même. Pour toutes les autres, la question n'est pas de savoir si la migration est nécessaire, mais dans quel ordre traiter les chantiers — ce que détermine un audit de crypto-agilité et non une prédiction.
Trois principes qui tiennent quelle que soit l'échéance
Une stratégie correcte est une stratégie dont la valeur ne dépend pas de la date. Ces trois principes restent justes que le Q-Day survienne en 2031 ou en 2041.
Viser la crypto-agilité, pas un algorithme
Les standards évolueront encore, et un algorithme post-quantique pourrait lui-même être affaibli. La capacité à changer de mécanisme sans réécrire vos applications est le seul livrable qui ne se périme pas. C'est aussi ce qu'exige déjà PCI DSS 4.0 dans son inventaire annuel des suites cryptographiques.
Hybrider plutôt que remplacer
L'ANSSI recommande de combiner un algorithme classique éprouvé et un algorithme post-quantique. Cette approche protège des deux scénarios opposés : une faiblesse imprévue dans un mécanisme récent, ou un ordinateur quantique plus précoce que prévu. Elle préserve en outre la compatibilité avec vos partenaires non migrés.
Commencer par l'inventaire
Un CBOM — inventaire de vos suites TLS, certificats, clés SSH, bibliothèques et dépendances — est le seul livrable exploitable quelle que soit la suite donnée au projet. C'est aussi le premier document que réclamera un auditeur, et celui que la plupart des organisations sont incapables de produire.
Passer de RSA-2048 à RSA-4096 n'est pas un chemin de migration. L'algorithme de Shor casse RSA indépendamment de la taille de la clé ; allonger celle-ci ajoute quelques mois de calcul quantique, pas des années de protection. Le remplacement porte sur la famille mathématique, pas sur le paramètre.
Sur le plan technique, deux voies coexistent et sont régulièrement confondues. La cryptographie post-quantique est logicielle et s'installe sur vos serveurs existants : c'est la voie standard, y compris pour les PME. La cryptographie quantique et la QKD reposent sur du matériel photonique et ne se justifient que sur des liaisons fixes entre sites maîtrisés. Nous détaillons cette distinction, et les cas rares où la seconde est pertinente, sur les pages correspondantes.
FAQ — Q-Day, RSA et calendrier de migration
Peut-on donner une date précise pour le Q-Day ?
Non, et quiconque en donne une sans fourchette dépasse ce que permettent les données disponibles. Les sources publiques convergent vers une zone de probabilité plutôt qu'une date : environ un tiers à une chance sur deux d'ici dix ans selon le baromètre du Global Risk Institute, plus de 50 % à quinze ans. La Commission européenne retient un horizon 2040 comme probable. Ce désaccord est normal : il reflète l'incertitude réelle sur le rythme d'amélioration de la qualité des qubits.
Un ordinateur quantique capable de casser RSA existe-t-il déjà en secret ?
Rien ne permet de l'affirmer, et l'échelle industrielle requise — cryogénie, électronique de contrôle, chaînes d'approvisionnement spécialisées — rend une construction entièrement dissimulée peu vraisemblable. Cela dit, la question est mal posée : la stratégie de moisson anticipée fonctionne précisément parce qu'un attaquant peut stocker aujourd'hui et attendre. Votre protection ne doit pas reposer sur l'hypothèse qu'il ne dispose de rien.
Passer à RSA-4096 permet-il de gagner du temps ?
Non. C'est l'erreur de planification la plus courante. L'algorithme de Shor s'attaque à la structure mathématique du problème, pas à sa taille : doubler la longueur de clé augmente marginalement le coût de l'attaque quantique sans changer sa faisabilité. La migration consiste à changer de famille d'algorithmes — vers ML-KEM, ML-DSA ou SLH-DSA — et non à ajuster un paramètre.
Mes hachages SHA-256 et mon chiffrement AES sont-ils menacés ?
Beaucoup moins. L'algorithme de Grover réduit la sécurité effective des mécanismes symétriques d'environ la moitié, ce qui ramène SHA-256 autour de 128 bits — un niveau qui reste hors de portée à toute échelle matérielle actuellement projetée. Doubler les tailles de clé symétriques suffit là où RSA et ECC doivent, eux, être remplacés. La rupture concerne la cryptographie à clé publique.
Faut-il déployer de la QKD pour se protéger ?
Dans la quasi-totalité des cas, non. La distribution quantique de clés exige du matériel dédié et de la fibre, pour une portée limitée à des liaisons point à point. Elle se justifie sur des liens fixes entre sites maîtrisés, avec des données à sensibilité pluri-décennale — un cas de figure que l'on rencontre surtout dans le secteur public et chez les opérateurs critiques. Pour tout le reste, la comparaison détaillée QKD / PQC conclut en faveur de la solution logicielle.
Combien de temps prend une migration post-quantique ?
De 3 à 5 semaines pour l'audit et l'inventaire cryptographique, puis de 8 à 20 semaines pour une PME ou une fintech en production, et de 6 à 18 mois pour une banque, un assureur ou un opérateur critique — l'écart s'explique par le parc applicatif hérité et par les validations réglementaires. Ces durées constituent le Y du théorème de Mosca : elles s'ajoutent à la durée de confidentialité de vos données, pas après elle.
Mon secteur est-il concerné en priorité ?
Cela dépend d'une seule variable : la durée pendant laquelle vos données conservent de la valeur. La page secteurs détaille l'exposition, le cadre réglementaire et le premier chantier pour la fintech, la banque et l'assurance, la santé, le SaaS, le juridique, l'industrie et le secteur public. Si votre activité n'y figure pas, le socle technique reste le même — seul l'ordre des priorités change.
Par où commencer concrètement ?
Par l'inventaire. Tant que vous ne savez pas quels algorithmes tournent où, avec quels certificats et quelles échéances, aucune décision de migration n'est justifiable — ni auprès d'un comité de direction, ni auprès d'un auditeur. Un projet de migration quantum-safe commence systématiquement par cette cartographie, dont la valeur reste entière même si vous confiez la suite à une autre équipe.
La mauvaise question et la bonne
« À quelle date RSA tombera-t-il ? » est une question de journaliste. Elle appelle un chiffre, et le chiffre qu'elle produit est toujours faux d'une manière ou d'une autre — trop précis pour l'état des connaissances, ou trop lointain pour être prudent.
La question exploitable est différente : combien de temps mes données doivent-elles rester secrètes, et combien de temps me faudra-t-il pour les protéger ? Elle se répond sans consulter personne sur l'avenir de la physique. Elle produit un ordre de priorité plutôt qu'une date. Et dans la plupart des organisations que nous auditons, elle donne le même résultat : la marge est déjà négative sur une partie du patrimoine de données, et confortable sur le reste. Tout l'enjeu consiste à savoir laquelle est laquelle.
Article publié le 27 juillet 2026. Les estimations citées évoluent d'une publication à l'autre : les dates réglementaires sont stables, les probabilités d'apparition d'un CRQC sont révisées chaque année. Nous mettons cette page à jour à chaque publication significative du NIST, de l'ANSSI ou du Global Risk Institute.
Sources
- NIST IR 8547 (projet), Transition to Post-Quantum Cryptography Standards — nvlpubs.nist.gov
- Global Risk Institute & evolutionQ, Quantum Threat Timeline Report 2025 — globalriskinstitute.org
- Craig Gidney, estimation révisée des ressources nécessaires à la factorisation de RSA-2048, mai 2025
- ANSSI, annonce du 16 juin 2026 sur les certifications post-quantiques — incyber.org
- IBM Quantum, feuille de route vers un calculateur tolérant aux fautes — ibm.com
Les pages qui prolongent cet article
Cryptographie post-quantique (PQC)
Les algorithmes normalisés par le NIST, leur fonctionnement, et la manière dont ils s'installent sur une infrastructure existante sans changement de matériel.
Lire la page PQC → Référence techniqueCryptographie quantique & QKD
La distribution quantique de clés, sa promesse réelle — la détection native d'interception — ses limites de portée et de coût, et les rares cas où elle se justifie.
Lire la page QKD → Analyse sectorielleVotre exposition par métier
Fintech, banque, santé, SaaS, juridique, industrie, secteur public : durée de sensibilité, cadre réglementaire applicable et premier chantier pour chacun.
Voir tous les secteurs → PrestationMigration cryptage quantique
Le déroulé d'un projet complet : inventaire, analyse de risque, architecture cible, pilote mesuré, migration par vagues et supervision continue.
Voir la méthode → PrestationProtection des données en entreprise
Le socle applicable à toute organisation : cartographie, chiffrement au repos et en transit, gestion des clés, sauvegardes immuables et journalisation.
Voir l'offre → Vue d'ensembleChiffrement quantique pour PME
La page d'accueil : menace, définitions, domaines d'intervention, processus en six étapes et formules tarifaires pour les PME, fintechs et startups.
Retour à l'accueil →Connaître votre marge réelle, pas la date du Q-Day
Zivyx Quantum établit l'inventaire de vos usages cryptographiques, applique le théorème de Mosca à chaque catégorie de données et vous remet une feuille de route chiffrée. Trois à cinq semaines, devis sous 48 heures.
admin@zivyx.fr · +33 6 12 37 99 16
Menace quantique et transition cryptographique
Zivyx Quantum installe, intègre et supervise des solutions de chiffrement post-quantique pour les PME, fintechs, startups et opérateurs publics de France, Belgique, Suisse et Luxembourg.
