Guide de référence · Menace cryptographique

Harvest Now, Decrypt Later : capter aujourd'hui, déchiffrer demain

L'attaque a déjà eu lieu.

Sommaire du guide

Ce que couvre ce guide

Section 01 Définition et origine de la menace
Section 02 Anatomie de l'attaque en quatre phases
Section 03 Qui collecte, et qui est visé
Section 04 Quelles données sont réellement exposées
Section 05 Le théorème de Mosca : votre marge réelle
Section 06 Chronologie jusqu'au Q-Day
Section 07 Sept contre-mesures applicables
Section 08 Ce qu'en disent DORA, NIS2 et le RGPD
Section 09 Cinq idées reçues à écarter
Section 10 Questions fréquentes

Section 01

Qu'est-ce que l'attaque « harvest now, decrypt later » ?

Le principe tient en une phrase : on n'a pas besoin de savoir déchiffrer une donnée pour avoir intérêt à la voler. Il suffit de la conserver jusqu'à ce que l'outil de déchiffrement existe.

Toute la cryptographie asymétrique qui protège aujourd'hui Internet — RSA, ECDH, ECDSA, Diffie-Hellman — repose sur deux problèmes mathématiques réputés hors de portée : la factorisation des grands entiers et le logarithme discret. En 1994, Peter Shor a démontré qu'un ordinateur quantique suffisamment large résout ces deux problèmes en temps polynomial. Le jour où une telle machine existera — le « Q-Day » — l'intégralité du trafic chiffré capté au cours des décennies précédentes deviendra lisible rétroactivement.

L'asymétrie est brutale : la collecte est passive, silencieuse et bon marché. Elle ne déclenche aucune alerte SIEM, ne laisse aucune trace sur vos systèmes, ne provoque aucune indisponibilité. Vous ne saurez jamais que vos flux ont été copiés. Vous le découvrirez, éventuellement, le jour où leur contenu sera publié ou monnayé — dix ans plus tard.

Le point à retenir

La fenêtre de protection est déjà fermée pour les données d'hier

Migrer vers la cryptographie post-quantique protège vos échanges futurs. Cela ne protège en rien les flux déjà captés. Chaque trimestre de report ajoute un trimestre de données définitivement exposées : c'est une dette qu'aucune mise à jour ultérieure ne remboursera.

Le terme anglais s'est imposé dans les référentiels internationaux ; on rencontre aussi store now, decrypt later (SNDL) ou retrospective decryption. En français, l'ANSSI et les publications académiques parlent de moisson anticipée ou de déchiffrement différé. Ces expressions désignent le même scénario.

Section 02

Anatomie de l'attaque en quatre phases

Contrairement à un rançongiciel, l'attaque ne se déroule pas en quelques heures. Elle s'étale sur une décennie et se décompose en quatre phases nettement séparées — dont trois se déroulent sans aucune interaction avec vos systèmes.

Interception passive

Copie du trafic à un point de concentration : câble sous-marin, point d'échange Internet, opérateur de transit, fournisseur cloud, borne Wi-Fi d'aéroport. Le chiffrement TLS reste intact — on ne cherche pas à le casser, on l'archive tel quel.

Stockage et indexation

Le coût de conservation d'un pétaoctet a chuté d'un facteur mille en vingt ans. Les flux sont triés par origine, protocole et suite cryptographique : les sessions protégées par RSA-2048 ou ECDH P-256 sont marquées comme récupérables.

Rupture cryptographique

Un calculateur quantique tolérant aux fautes exécute l'algorithme de Shor sur les clés publiques archivées. Les clés de session sont reconstituées, puis les enregistrements TLS déchiffrés hors ligne, sans limite de temps ni de tentatives.

Exploitation rétroactive

Le contenu redevient exploitable : contrats, dossiers KYC, données de santé, code source, correspondances. Espionnage économique, chantage, revente, ou publication. Aucune remédiation technique n'est possible à ce stade.

Précision technique

La forward secrecy ne suffit pas

Beaucoup d'équipes considèrent que TLS 1.3 avec perfect forward secrecy règle le problème. C'est une erreur de raisonnement. La PFS empêche qu'une clé privée volée permette de déchiffrer les sessions passées. Elle ne protège pas contre un adversaire qui casse directement l'échange de clés éphémères ECDH capté dans le handshake : chaque session archivée contient les éléments publics nécessaires à sa propre reconstitution par un ordinateur quantique. La PFS déplace le coût de l'attaque, elle ne la neutralise pas.

Section 03

Qui collecte, et pourquoi votre PME est concernée

La collecte à grande échelle demande des moyens. L'exploitation, elle, sera revendue. C'est ce décalage qui rend les structures moyennes vulnérables.

Programmes de collecte souveraine

Capacité d'interception sur les infrastructures de transit et budgets de stockage quasi illimités. Cibles prioritaires : deeptech, défense, énergie, santé, recherche, cabinets d'avocats travaillant sur des dossiers transfrontaliers.

Concurrence et intelligence de marché

Un plan de fusion, une grille tarifaire, un jeu d'entraînement de modèle ou un dossier de brevet gardent une valeur commerciale bien au-delà de dix ans. L'horizon de l'attaquant coïncide avec la durée de vie de votre avantage concurrentiel.

Constitution d'un stock revendable

Le trafic capté aujourd'hui est un actif financier : il sera revendu à qui disposera de la capacité de déchiffrement. Le modèle économique existe déjà pour les bases de mots de passe ; il se transpose sans difficulté.

Le maillon faible de la chaîne

Une fintech ou un éditeur SaaS de 40 personnes est un point d'entrée vers ses clients grands comptes. Trafic moins surveillé, certificats plus anciens, dépendances logicielles plus exposées.

Vous êtes le risque de vos clients

Les questionnaires sécurité des donneurs d'ordre intègrent déjà la feuille de route post-quantique. Ne pas savoir répondre coûte des appels d'offres bien avant que le Q-Day ne coûte des données.

Vos prestataires captent aussi

Hébergeurs, CDN, passerelles de paiement, outils d'observabilité : chaque terminaison TLS chez un tiers est un point de collecte potentiel. L'inventaire de l' audit cryptographique les recense systématiquement.

Section 04

Quelles données sont réellement exposées

Le critère n'est pas la sensibilité perçue aujourd'hui, mais la durée de sensibilité : combien de temps cette donnée conserve-t-elle une valeur pour un tiers ? Au-delà de sept à huit ans, l'exposition devient structurelle.

Type de donnée	Combien de tempsDurée de sensibilité	VerdictExposition HNDL	Où elle circuleVecteur de collecte typique
Dossiers KYC et conformité bancaire	10 ans (obligation légale)	Critique	API partenaires, transferts SFTP, échanges interbancaires
Données de santé et résultats d'examens	20 ans et plus	Critique	Messageries sécurisées, plateformes HDS, échanges laboratoires
Propriété intellectuelle et R&D	Durée du brevet — 20 ans	Critique	Dépôts, revues de conception, outils de CAO en SaaS
Actes notariés et archives probantes	30 à 75 ans	Critique	Signature électronique, coffres-forts numériques, flux juridiques
Secrets applicatifs et clés d'API	Jusqu'à rotation — souvent des années	Critique	Dépôts Git, pipelines CI/CD, variables d'environnement
Contrats commerciaux et grilles tarifaires	5 à 15 ans	Élevée	Messagerie, signature en ligne, espaces de partage
Données RH et rémunérations	5 à 10 ans	Élevée	SIRH en mode SaaS, exports de paie
Sauvegardes chiffrées hors site	Égale à la durée de rétention	Élevée	Réplication inter-datacenters, stockage objet
Journaux applicatifs et télémétrie	6 à 24 mois	Modérée	Agents d'observabilité, collecteurs tiers
Sessions d'authentification et jetons courts	Quelques minutes à quelques heures	Faible	Trafic web public

Durée de sensibilité des données et exposition à l'attaque harvest now decrypt later

Une donnée dont la durée de sensibilité dépasse sept ans doit être considérée comme déjà exposée si elle transite aujourd'hui sur des canaux RSA ou ECC classiques.
Le chiffrement au repos ne compense pas un transport vulnérable : la donnée a déjà été copiée en transit.
Les archives légales chiffrées avant 2025 constituent un stock à rechiffrer, pas seulement un flux à migrer.

Section 05

Le théorème de Mosca : combien de temps vous reste-t-il ?

Michele Mosca, de l'Institute for Quantum Computing, a formulé l'inégalité qui sert aujourd'hui de référence pour arbitrer un calendrier de migration. Elle tient en trois variables.

X = durée pendant laquelle vos données doivent rester confidentielles

Y = durée nécessaire pour migrer votre système d'information

Z = délai avant qu'un ordinateur quantique casse RSA et ECC

Si X \+ Y \> Z → vous êtes déjà en retard.

L'intérêt du théorème est qu'il ne demande aucune certitude sur la date du Q-Day. Il suffit d'une fourchette raisonnable pour Z — les estimations publiées convergent aujourd'hui sur une fenêtre allant du début des années 2030 au milieu de la décennie — pour constater que la majorité des organisations manipulant des données à longue durée de vie sont déjà du mauvais côté de l'inégalité.

Profil	Variable XConfidentialité requise	Variable YDurée de migration	X + Y face à Z ≈ 2033Verdict
Fintech · dossiers KYC	10 ans	9 mois	Retard de 8 ans — action immédiate
Éditeur SaaS B2B	5 ans	4 mois	Retard de 3 ans — action immédiate
Laboratoire · données de santé	20 ans	14 mois	Retard de 14 ans — action immédiate
Cabinet de conseil · missions courtes	3 ans	3 mois	Marge de 3 ans — planifier en 2027
Site vitrine · données publiques	Moins d'un an	2 semaines	Marge confortable

Application du théorème de Mosca à trois profils d'organisation

Erreur d'estimation la plus fréquente

La variable Y est presque toujours sous-évaluée

La migration ne se limite pas à activer ML-KEM sur un répartiteur de charge. Elle suppose de recenser l'ensemble des usages cryptographiques ( CBOM), de coordonner les partenaires qui n'ont pas migré, de tester la compatibilité des clients embarqués et de renouveler les certificats à longue durée. Sur nos missions, Y se situe entre 4 et 14 mois selon la surface applicative — jamais quelques semaines. Le détail figure sur la page migration post-quantique.

Section 06

Chronologie : de la collecte au Q-Day

Les échéances qui structurent le calendrier ne sont pas seulement technologiques : les jalons réglementaires arrivent avant la rupture cryptographique, et ce sont eux qui déclencheront les premiers budgets.

2026

La collecte de trafic chiffré est opérationnelle à l'échelle industrielle. Tout ce que vous transmettez cette année est susceptible d'être archivé. L'ANSSI conditionne progressivement ses visas de sécurité à la présence de composants post-quantiques.

2028

Le mode hybride devient l'attendu par défaut dans les référentiels financiers et les questionnaires d'appel d'offres. Les certificats émis avec une validité longue sans agilité algorithmique deviennent un point d'audit.

2030

Échéance recommandée par le NIST pour l'abandon de RSA-2048 et ECC-256. Un système non migré bascule du statut « en transition » au statut « non conforme » lors des contrôles.

2033

Fenêtre médiane des estimations publiées pour le Q-Day. À partir de cette date, toute donnée captée antérieurement et protégée par cryptographie classique doit être considérée comme lisible.

Ces dates sont des fenêtres, pas des certitudes : une avancée sur la correction d'erreurs quantiques peut avancer le Q-Day de plusieurs années, un plafonnement technologique peut le repousser. C'est précisément pourquoi la bonne réponse n'est pas de parier sur une date mais de construire de la crypto-agilité. Notre analyse détaillée des estimations est publiée dans l'article

Section 07

Sept contre-mesures applicables dès maintenant

Aucune de ces actions n'exige d'attendre une norme supplémentaire. Elles sont classées par rapport entre effort et réduction d'exposition, telles que Zivyx Quantum les séquence en mission.

Établir l'inventaire cryptographique (CBOM)

Impossible de protéger ce que l'on ne sait pas énumérer. Le Cryptographic Bill of Materials recense les suites TLS actives, les certificats et leur date d'expiration, les tunnels VPN, les clés SSH, les bibliothèques applicatives et les dépendances tierces. C'est le livrable de l' audit cryptographique, et le prérequis de toute décision.

Classer les données par durée de sensibilité

Reprenez la grille de la section 04 et attribuez à chaque flux une durée de confidentialité — pas une criticité subjective, une durée en années. Cette classification détermine seule l'ordre de migration : un flux à vingt ans passe avant un flux à dix-huit mois, quel que soit son volume.

Activer le mode hybride sur les terminaisons exposées

L'échange de clés hybride combine un mécanisme classique (ECDH) et **ML-KEM** : la session reste sûre tant qu'au moins l'un des deux tient. C'est la recommandation explicite de l'ANSSI pour la période de transition. Priorité aux terminaisons TLS publiques, aux passerelles API et aux tunnels site-à-site.

Raccourcir la durée de vie des certificats

Un certificat à trois ans est un engagement à trois ans sur un algorithme. Ramener la validité à 90 jours avec renouvellement automatisé transforme un chantier de migration en simple rotation. C'est la mesure de crypto-agilité la plus rentable, et elle sert aussi vos objectifs de conformité courants.

Rechiffrer les archives à longue rétention

Les sauvegardes et archives légales constituent un stock, pas un flux : elles ne bénéficieront d'aucune migration du transport. Elles doivent être rechiffrées avec des mécanismes résistants au quantique, et leurs clés maîtresses régénérées. Chantier long, à lancer tôt.

Isoler la cryptographie derrière une couche d'abstraction

Le vrai objectif n'est pas ML-KEM, c'est la capacité à en changer. Centraliser les appels cryptographiques derrière un service ou une bibliothèque interne permet de basculer d'algorithme sans toucher au code métier — quand le NIST publiera la génération suivante, la migration se comptera en jours.

Interroger vos fournisseurs et vos sous-traitants

Hébergeur, PSP, éditeur SaaS, opérateur de messagerie : demandez par écrit leur calendrier post-quantique et intégrez la clause aux prochains renouvellements. Une chaîne migrée à 90 % transporte encore vos données sur les 10 % restants, et ce sont vos données qui sont captées, pas les leurs.

Section 08

Ce qu'en disent DORA, NIS2, le RGPD et l'ANSSI

Aucun texte ne nomme explicitement « harvest now, decrypt later ». Tous imposent en revanche des obligations qui rendent l'inaction difficile à défendre devant un auditeur ou un régulateur.

DORA — risque TIC des entités financières

Applicable depuis le 17 janvier 2025, DORA exige une gestion du risque lié aux technologies couvrant explicitement les menaces émergentes et la résilience à long terme. Une feuille de route post-quantique documentée fait désormais partie des attendus d'un dossier de conformité DORA.

NIS2 — politiques de cryptographie

NIS2 impose aux entités essentielles et importantes des politiques documentées en matière de cryptographie et de chiffrement. La transposition française reste en cours, mais les donneurs d'ordre appliquent déjà ces exigences par voie contractuelle à leurs sous-traitants.

RGPD — article 32 et état de l'art

L'article 32 impose des mesures « appropriées à l'état de l'art ». L'état de l'art a changé : les standards post-quantiques sont normalisés et disponibles. Pour une donnée à durée de conservation longue, continuer à s'appuyer uniquement sur RSA devient difficile à justifier.

ANSSI — transition hybride obligatoire

L'ANSSI recommande sans ambiguïté le **mode hybride** : jamais de post-quantique seul pendant la transition. Elle a par ailleurs annoncé conditionner ses certifications à la présence de composants post-quantiques à horizon 2027.

NIST — FIPS 203, 204 et 205

ML-KEM pour l'encapsulation de clés, ML-DSA et SLH-DSA pour les signatures, complétés par HQC comme alternative reposant sur une famille mathématique distincte. Ces standards sont finalisés : le temps de l'attente technique est terminé.

Questionnaires clients et assureurs

Les due diligences sécurité des grands comptes et les questionnaires des assureurs cyber intègrent la question post-quantique. C'est souvent ce canal — et non le régulateur — qui déclenche le budget dans une PME.

Section 09

Cinq idées reçues à écarter

« L'ordinateur quantique n'existe pas encore, on a le temps »

**Réalité —** La menace n'est pas le déchiffrement, c'est la **collecte**, et elle est actuelle. Le temps dont vous disposez ne se mesure pas jusqu'au Q-Day mais jusqu'au dernier flux sensible que vous transmettrez sans protection post-quantique. Ce délai est nul.

« Nous sommes trop petits pour intéresser qui que ce soit »

**Réalité —** La collecte est indiscriminée : on capte un point de transit, pas une entreprise. Le tri intervient au déchiffrement, dix ans plus tard, quand votre technologie ou votre portefeuille clients aura peut-être changé d'échelle. Vous êtes de plus le point d'entrée vers vos propres clients.

« Nos données seront périmées d'ici là »

**Réalité —** Vrai pour des journaux applicatifs, faux pour un dossier KYC, un acte notarié, un résultat d'analyse médicale, un contrat cadre ou un secret industriel. Le test est simple : cette donnée aura-t-elle une valeur pour un tiers en 2035 ? Si oui, elle est concernée.

« Notre hébergeur cloud s'en occupe »

**Réalité —** Les grands fournisseurs migrent effectivement leurs propres terminaisons, et c'est utile. Mais votre exposition dépend de **toute** la chaîne : API partenaires, VPN internes, connecteurs SaaS, sauvegardes, appareils clients. Le CBOM révèle presque toujours des segments hors périmètre du fournisseur.

« Il vaut mieux attendre des standards plus matures »

**Réalité —** Les standards sont publiés depuis 2024 et le mode hybride existe précisément pour couvrir le risque résiduel : si un algorithme post-quantique était affaibli, la composante classique protège encore la session. Attendre, en revanche, ajoute mécaniquement des données au stock déjà capté.

Section 10

FAQ — Harvest Now, Decrypt Later

Littéralement « moissonner maintenant, déchiffrer plus tard ». On parle en français de **moisson anticipée** ou de **déchiffrement différé**. Le principe : un attaquant copie aujourd'hui du trafic chiffré qu'il ne sait pas lire, le conserve pendant des années, puis le déchiffre lorsqu'un ordinateur quantique sera capable de casser RSA et ECC. On rencontre aussi les variantes store now, decrypt later (SNDL) et retrospective decryption, qui désignent le même scénario.

Le mécanisme est réel et opérationnel : intercepter et stocker du trafic chiffré ne demande aucune technologie future, seulement un point de collecte et de l'espace disque. Ce qui reste incertain, c'est la **date** du déchiffrement, pas la faisabilité de la collecte. C'est pourquoi le NIST, l'ANSSI, la NSA et la Commission européenne ont tous publié des calendriers de migration post-quantique : le risque est traité comme acquis, seule l'échéance est débattue.

Vous ne pouvez pas le savoir, et c'est la caractéristique la plus inconfortable de cette attaque. L'interception est passive : elle ne modifie rien, ne déclenche aucune alerte et ne laisse aucune trace exploitable dans vos journaux. La seule approche rationnelle consiste à raisonner par exposition — quels flux sensibles ont transité sur des canaux classiques, et pendant combien de temps — plutôt que par détection. Un audit cryptographique établit cette cartographie.

Non, pas contre ce scénario. La perfect forward secrecy protège les sessions passées si votre clé privée à long terme est volée — c'est une propriété utile mais différente. Face au déchiffrement différé, l'adversaire ne vole pas votre clé : il casse directement l'échange de clés éphémères ECDH capté dans le handshake archivé. Chaque session enregistrée contient les éléments publics permettant sa propre reconstitution. Seul un échange de clés hybride intégrant **ML-KEM** ferme cette porte.

Non. La migration protège vos échanges à partir du jour où elle est active. Les flux déjà captés resteront déchiffrables le jour venu, et aucune mise à jour ultérieure n'y changera rien. C'est ce qui rend le calendrier asymétrique : chaque trimestre de report ajoute définitivement des données au stock exposé. Pour les archives et sauvegardes, en revanche, un **rechiffrement** reste possible et doit être planifié.

La collecte ne cible pas des entreprises, elle cible des points de transit : câbles, opérateurs, points d'échange, fournisseurs cloud. Votre trafic y passe au même titre que celui d'un grand compte. À cela s'ajoute l'effet chaîne d'approvisionnement : une startup SaaS ou une fintech constitue un point d'entrée vers ses clients, avec un trafic moins surveillé et des certificats souvent plus anciens.

Appliquez le **théorème de Mosca** : additionnez X, la durée pendant laquelle vos données doivent rester confidentielles, et Y, la durée réaliste de votre migration. Si le total dépasse Z, le délai estimé avant le Q-Day, vous êtes déjà en retard. Pour une structure conservant des dossiers dix ans avec une migration de neuf mois, l'inégalité est défavorable de plusieurs années. Le détail du calcul figure à la section 05.

Oui, pour tout ce dont la durée de rétention dépasse le délai estimé avant le Q-Day : archives légales, sauvegardes longue durée, coffres documentaires, dossiers probants. Ces données constituent un stock qui ne bénéficiera d'aucune migration du transport. L'opération suppose de régénérer les clés maîtresses et de réécrire les volumes : c'est un chantier long, à programmer tôt dans la feuille de route.

L' **inventaire cryptographique**. Sans CBOM, toute décision de migration est une supposition : on ignore quelles suites TLS sont réellement négociées, quels certificats expirent quand, quelles bibliothèques embarquent encore du RSA en dur. Zivyx Quantum produit cet inventaire en deux à trois semaines, avec la classification par durée de sensibilité et une feuille de route chiffrée. Le rapport reste exploitable même si vous confiez ensuite la migration à une autre équipe.

Deux offres, deux tarifs : l'**Audit** à **900 € HT/mois** (scanner et audit cryptographique quotidien, rapport PDF) et **Secure** à **1 490 € HT/mois** (tout l'Audit plus le chiffrement post-quantique actif et la rotation de clés managée). Pas d'autre grille tarifaire, pas de frais caché.

Prochaine étape

Trois semaines pour savoir ce qui est déjà exposé

Zivyx Quantum établit l'inventaire de vos usages cryptographiques, classe vos flux par durée de sensibilité, calcule votre marge réelle avant le Q-Day et vous remet une feuille de route chiffrée. Devis sous 48 heures.

Pour aller plus loin

Ressources liées

Notre champ d'expertise

Protection contre le déchiffrement différé

Zivyx Quantum intervient sur tout le spectre du chiffrement résistant au quantique : inventaire, installation, intégration, migration et supervision continue. Nos équipes couvrent la France, la Belgique, la Suisse et le Luxembourg, en présentiel comme à distance.

harvest now decrypt latermoisson anticipéestore now decrypt laterdéchiffrement rétroactifcollecte de trafic chiffréQ-Daythéorème de Moscaalgorithme de Shordurée de sensibilité des donnéescryptographie post-quantiquecryptage quantiqueML-KEM KyberML-DSA DilithiumSLH-DSA SPHINCS+HQCmode hybride ANSSIcrypto-agilitéCBOM inventaire cryptographiqueTLS hybrideforward secrecyRSA 2048courbes elliptiques ECCcertificats quantum safePKI post-quantiquerechiffrement des archivessauvegardes longue duréeconformité DORAdirective NIS2RGPD article 32recommandations ANSSINIST FIPS 203audit cryptographique PMEmigration post-quantique fintechprotection données santé HDSarchivage à valeur probanteespionnage économiquesupply chain logiciellesécurité quantique entreprise