FAQ — Cryptographie post-quantique et sécurité des données

C'est le fait qu'un ordinateur quantique de grande échelle rendrait inutilisable la cryptographie à clé publique que nous employons aujourd'hui. L' **algorithme de Shor**, publié en 1994, factorise les grands nombres et calcule les logarithmes discrets en temps polynomial — ce qui casse RSA, Diffie-Hellman et les courbes elliptiques. Ces mécanismes protègent l'échange de clés au début de chaque connexion TLS et signent vos certificats. Le chiffrement symétrique (AES) et le hachage (SHA-2, SHA-3) ne sont pas cassés, seulement affaiblis.

Le Q-Day désigne le moment où existera un **ordinateur quantique cryptographiquement pertinent** (CRQC), c'est-à-dire une machine capable de casser une clé RSA-2048 dans un délai opérationnel — la référence usuelle étant vingt-quatre heures. Ce n'est pas une machine qui bat un supercalculateur sur une tâche artificielle : c'est une machine qui exécute Shor sur une clé réelle. Aucune date ne peut être donnée avec certitude, et le Q-Day ne sera vraisemblablement pas annoncé publiquement.

C'est la **moisson anticipée** : un attaquant capte aujourd'hui votre trafic chiffré, le stocke, et attend de disposer d'un ordinateur quantique pour le déchiffrer. Elle ne nécessite aucune technologie quantique dans l'immédiat — seulement du stockage, qui coûte peu, et de la patience. C'est le point décisif du dossier : **aucun rechiffrement rétroactif n'est possible**. Migrer en 2030 protégera vos données de 2030, pas celles que vous échangez cette année.

C'est une règle de décision qui remplace la spéculation sur les dates par une soustraction. Elle pose trois durées : **X**, le temps pendant lequel vos données doivent rester confidentielles ; **Y**, la durée de votre migration ; **Z**, le délai avant la rupture cryptographique. Si **X + Y > Z**, vous êtes déjà en retard. Son intérêt est d'absorber l'incertitude : pour beaucoup de données, X seul dépasse toutes les valeurs plausibles de Z.

Non, et quiconque en donne une sans fourchette dépasse ce que permettent les données disponibles. Le baromètre annuel du **Global Risk Institute** situe la probabilité d'un CRQC entre 28 % et 49 % à dix ans, et entre 51 % et 70 % à quinze ans dans son édition 2025. La Commission européenne retient un horizon 2040 comme probable. Ce qui est exploitable, c'est la direction — les estimations se rapprochent d'année en année — pas le chiffre.

Rien ne permet de l'affirmer, et l'échelle industrielle requise — cryogénie, électronique de contrôle, chaînes d'approvisionnement spécialisées — rend une construction entièrement dissimulée peu vraisemblable. Mais la question est mal posée : la moisson anticipée fonctionne précisément parce qu'un attaquant peut stocker aujourd'hui et attendre. Votre protection ne doit pas reposer sur l'hypothèse qu'il ne dispose de rien.

Loin du seuil. Les machines les plus avancées alignent des centaines à quelques milliers de **qubits physiques** avec des taux d'erreur trop élevés, et les records de **qubits logiques** — les seuls pertinents pour Shor — se comptent en dizaines. IBM annonce un système tolérant aux fautes d'environ 200 qubits logiques pour 2029, puis 2 000 à l'horizon 2033. Ces feuilles de route sont des engagements commerciaux, historiquement sujets à glissement.

Parce que ce n'est pas le matériel qui bouge le plus vite, c'est l'algorithmique. L'estimation de référence de 2019 chiffrait l'attaque contre RSA-2048 à environ vingt millions de qubits physiques ; une estimation révisée de mai 2025 la ramène à **moins d'un million**, sans qu'aucun matériel nouveau n'ait été construit. Depuis 2016, chaque révision majeure du coût de l'attaque l'a revu à la baisse. Aucune ne l'a revu à la hausse.

Ce sont des **algorithmes classiques, exécutés sur des processeurs classiques**, mais fondés sur des problèmes mathématiques qu'un ordinateur quantique ne sait pas résoudre plus vite qu'un ordinateur ordinaire : réseaux euclidiens, codes correcteurs d'erreurs, fonctions de hachage. Conséquence pratique décisive : la PQC est un **changement logiciel**. Elle se déploie par mise à jour de bibliothèques, de configurations TLS et de chaînes de certificats, sans achat de matériel.

La **cryptographie quantique** est matérielle : elle transmet des clés au moyen de photons uniques sur fibre dédiée, et sa sécurité vient de la physique. La **cryptographie post-quantique** est logicielle et fonctionne partout — internet, cloud, mobile, objets connectés — et couvre aussi les signatures, ce que la QKD ne fait pas. Les deux sont complémentaires, mais la PQC est la voie standard pour la quasi-totalité des organisations. Le détail des liaisons optiques, du protocole BB84 et des cas où la voie matérielle se justifie figure sur notre page cryptographie quantique et QKD.

**ML-KEM** (FIPS 203, issu de CRYSTALS-Kyber) pour l'encapsulation de clés ; **ML-DSA** (FIPS 204, issu de CRYSTALS-Dilithium) et **SLH-DSA** (FIPS 205, issu de SPHINCS+) pour les signatures. **FN-DSA** (FALCON) est en cours de normalisation pour les signatures compactes, et **HQC** a été retenu comme mécanisme d'encapsulation de secours, fondé sur une famille mathématique différente. Pour le firmware, LMS et XMSS sont spécifiés depuis plusieurs années. Tailles de clés, familles mathématiques et niveaux de sécurité sont comparés en détail sur notre page cryptographie post-quantique.

L'hybridation combine un algorithme classique éprouvé et un algorithme post-quantique dans le même échange : le secret partagé n'est compromis que si **les deux** sont cassés. C'est la recommandation constante de l' **ANSSI** pendant toute la transition, et c'est ce qui est déployé sur le web avec la combinaison **X25519 + ML-KEM-768**. Avantage opérationnel majeur : vos clients et partenaires non migrés continuent de fonctionner sans rien changer.

Beaucoup moins. L' **algorithme de Grover** n'apporte qu'un gain quadratique, difficile à exploiter en pratique car peu parallélisable : il ramène la sécurité effective de SHA-256 autour de 128 bits, un niveau hors de portée à toute échelle matérielle projetée. Passer à **AES-256** et à des empreintes de 384 bits ou plus suffit. L'effort de migration porte sur la cryptographie **à clé publique**.

Non, et c'est l'erreur de planification la plus courante. L'algorithme de Shor s'attaque à la structure mathématique du problème, pas à sa taille : doubler la longueur de clé ajoute quelques mois de calcul quantique, pas des années de protection. La migration consiste à **changer de famille d'algorithmes** — vers ML-KEM, ML-DSA ou SLH-DSA — et non à ajuster un paramètre.

Le coût processeur est marginal : ML-KEM est souvent plus rapide que l'ECDH qu'il remplace. Le vrai impact est la **taille** : une clé ML-KEM-768 pèse 1 184 octets contre 32 pour X25519, et une signature ML-DSA-65 environ 3 300 octets contre 64 pour ECDSA P-256. Cela fragmente les poignées de main TLS et alourdit les chaînes de certificats. C'est pourquoi tout déploiement doit être mesuré en pilote avant généralisation.

La **crypto-agilité** est la capacité à changer d'algorithme sans réécrire vos applications. Elle suppose que les algorithmes ne soient jamais codés en dur, que les tailles de clés et de tampons ne soient pas figées, que les certificats se renouvellent automatiquement et que l'inventaire reste à jour. C'est l'objectif structurant parce que les standards évolueront encore : une migration réussie ne se juge pas au premier algorithme installé, mais à la facilité du second.

Par l' **inventaire cryptographique**. Personne ne peut migrer ce qu'il n'a pas cartographié, et la première surprise est presque toujours la même : des certificats oubliés, des suites TLS obsolètes et des dépendances tierces dont personne ne connaissait les choix cryptographiques. Le **CBOM** ( Cryptographic Bill of Materials) est aussi le premier document que réclamera un auditeur, et le seul livrable qui reste utile même si vous confiez la suite à une autre équipe. Il constitue l'étape 1 de notre projet de migration quantum-safe.

Un CBOM est l'inventaire daté de tous vos usages cryptographiques : suites TLS et leurs versions, magasins de certificats et dates d'expiration, tunnels VPN, clés SSH, chiffrement des bases de données, modules HSM, bibliothèques et dépendances tierces. Il s'obtient par **découverte automatisée** plutôt que par entretien — l'analyse du trafic, des dépôts de code et des magasins de certificats reconstruit un inventaire vérifiable, y compris pour des applications dont l'équipe d'origine a quitté l'organisation.

Comptez **2 à 5 semaines** pour l'audit et la feuille de route, puis **8 à 20 semaines** pour la migration technique d'une PME ou d'une fintech en production. Une banque, un assureur ou un opérateur critique planifie plutôt **6 à 18 mois**, l'écart s'expliquant par le parc applicatif hérité, les interdépendances avec des contreparties externes et le nombre de comités à franchir — rarement par la difficulté cryptographique elle-même.

Non, à condition de déployer en **mode hybride** et **par vagues**, avec un mécanisme de repli immédiat testé avant chaque activation. L'algorithme classique et l'algorithme post-quantique coexistant sur le même canal, les systèmes et partenaires non migrés continuent de négocier en classique sans modification de leur côté. Aucun périmètre critique n'est modifié sans procédure de vérification signée par l'exploitation.

Dans la grande majorité des cas, non. Les gammes récentes de **modules matériels de sécurité** reçoivent des firmwares prenant en charge ML-KEM et ML-DSA, parfois d'abord en mode évaluation. Les modules plus anciens, ou ceux dont la certification interdit une mise à jour, doivent être remplacés ou complétés — ce que l'inventaire tranche en quelques jours, avant tout engagement budgétaire. Un HSM non éligible impose un cycle d'acquisition long : c'est souvent lui qui commande le calendrier.

La **fragmentation des poignées de main**. Un ClientHello post-quantique dépasse la taille de paquet habituelle et se découpe en plusieurs fragments. Les pare-feux, répartiteurs de charge et équipements réseau anciens mal configurés révèlent ici leurs limites : c'est le premier incident type d'une migration, et la raison pour laquelle rien ne se généralise sans pilote mesuré sur un périmètre représentatif.

Celui dont la durée de sensibilité est la plus longue et dont la perte serait irréversible. Concrètement : les **archives à valeur probante**, les données de santé et génomiques, les dossiers de crédit et KYC, les inventions non encore déposées. Les jetons de session et paniers applicatifs, dont la valeur disparaît d'elle-même en quelques heures, sont les seuls actifs réellement différables. La priorisation se fait par croisement entre durée de sensibilité et type de risque dominant.

On ne les modifie pas : on les **encapsule**. Terminaison post-quantique placée en amont, canal interne isolé dans un segment réseau dédié, et écart résiduel documenté comme mesure compensatoire. C'est l'approche appliquée aux mainframes, aux progiciels d'assurance, aux automates industriels et aux dispositifs médicaux dont le logiciel est figé par un marquage réglementaire. La réponse est architecturale, pas applicative.

Aucun texte ne l'impose encore nommément à une entreprise privée. Plusieurs exigent en revanche des mesures « à l'état de l'art » et une gestion documentée des **menaces émergentes**, ce qui se traduit en pratique par une feuille de route à présenter en audit. Par ailleurs, l' **ANSSI** a annoncé qu'à partir de 2027 elle cesserait de certifier et de qualifier les produits de sécurité dépourvus de composante post-quantique.

Trois choses, de façon constante. L' **hybridation** — combiner classique et post-quantique — pendant toute la phase de transition, avec une défiance explicite envers un déploiement post-quantique seul. La **priorité aux actifs à longue durée de confidentialité**. Et la réalisation dès maintenant d'un inventaire cryptographique. S'y ajoutent les jalons annoncés : arrêt des certifications sans PQC en 2027, achats exclusivement quantum-safe visés pour 2030.

Le rapport **NIST IR 8547** fixe une trajectoire en deux temps pour les algorithmes à clé publique offrant environ 112 bits de sécurité : **dépréciation après 2030**, puis **interdiction après 2035**, y compris pour les systèmes hérités. Entre les deux s'ouvre une fenêtre où l'usage reste toléré mais devient une réserve d'audit. Le référentiel CNSA 2.0 de la NSA est plus strict encore sur ses propres périmètres.

Pas nommément. **DORA** exige un cadre de gestion du risque lié aux TIC couvrant les **menaces émergentes**, des politiques de chiffrement et de gestion des clés documentées, un registre des prestataires critiques, et la capacité de démontrer et tester cette gestion. La transition post-quantique étant publiquement identifiée comme une menace émergente, un auditeur peut légitimement demander votre feuille de route — et son absence constitue une faiblesse documentée. Notre lecture pilier par pilier est détaillée sur la page fintech et prestataires de paiement.

**NIS2** élargit considérablement le périmètre des entités soumises à des obligations de cybersécurité, en y intégrant des administrations, de nombreux opérateurs de services essentiels et plusieurs activités manufacturières. Elle impose une **politique de cryptographie documentée**, la gestion et la notification des incidents, la sécurité de la chaîne d'approvisionnement, avec une responsabilité engagée des dirigeants. Le périmètre exact dépend de la transposition nationale et de votre taille.

Oui, indirectement mais réellement. L' **article 32** exige des mesures techniques adaptées à l' **état de l'art** — une notion mouvante par construction. Pour des données conservées dix, trente ans ou davantage, un chiffrement uniquement classique devient difficile à défendre devant la CNIL. Les données relevant des catégories particulières, notamment de santé, sont les plus exposées à cet argument — voir notre page protection des données de santé et hébergement HDS.

Non. **Aucune autorité ne délivre aujourd'hui de label « certifié quantum-safe »**, et se présenter comme tel expose à une contestation immédiate par un RSSI. Ce qui existe et qui vaut : une **attestation technique de posture**, document daté détaillant les algorithmes déployés, le périmètre couvert, la méthode de vérification et les limites. Les certifications reconnues — ISO 27001, SOC 2, HDS, qualifications ANSSI — sont délivrées par des organismes accrédités indépendants.

Pas nécessairement. La **souveraineté** dépend de deux facteurs que la localisation ne détermine pas : le **droit auquel est soumis votre prestataire** et la **détention des clés de chiffrement**. Une société soumise à une législation extraterritoriale peut se voir enjoindre de communiquer des données qu'elle détient, quel que soit le pays d'hébergement. Si vous seul détenez les clés, cette injonction devient techniquement inopérante.

Ceux dont les données restent sensibles le plus longtemps. En tête : la **santé** — un diagnostic reste sensible toute la vie du patient, une donnée génomique au-delà — et la **banque et l'assurance**, avec des contrats et archives probantes engageant vingt à cinquante ans. Viennent ensuite le **juridique et le notariat** (minutes conservées 75 ans), l' **industrie et la deeptech** (procédés et brevets), la **fintech** (dossiers KYC), le **secteur public**, puis le **SaaS**. Le détail par métier — durée de sensibilité, régulateur applicable et premier chantier — est présenté sur nos pages secteurs d'intervention.

Cela dépend de la durée de vie de ses données, pas de son effectif. Si vous conservez des dossiers clients, des pièces comptables sur dix ans ou des contrats à échéance longue, la réponse est oui. Si vos données sont réellement éphémères, l'urgence est faible pour vous — mais vos **clients régulés** peuvent vous imposer leurs propres exigences par contrat, et un questionnaire sécurité peut arriver à tout moment.

Deux offres, deux tarifs : l'**Audit** à **900 € HT/mois** (scanner et audit cryptographique quotidien, rapport PDF) et **Secure** à **1 490 € HT/mois** (tout l'Audit plus le chiffrement post-quantique actif et la rotation de clés managée). Pas d'autre grille tarifaire, pas de frais caché.

Deux offres, deux tarifs : l'**Audit** à **900 € HT/mois** (scanner et audit cryptographique quotidien, rapport PDF) et **Secure** à **1 490 € HT/mois** (tout l'Audit plus le chiffrement post-quantique actif et la rotation de clés managée). Pas d'autre grille tarifaire, pas de frais caché.

Presque jamais. La **distribution quantique de clés** exige du matériel dédié et de la fibre entre deux points fixes, avec une portée pratique limitée à quelques centaines de kilomètres, et elle ne couvre que l'échange de clés — pas les signatures. Trois conditions doivent être réunies : liaison fixe entre sites maîtrisés, données à sensibilité pluri-décennale, exigence de souveraineté justifiant l'investissement. On les rencontre surtout dans le secteur public et chez les opérateurs d'importance vitale.

En six étapes, chacune produisant un livrable opposable : inventaire cryptographique (CBOM), analyse de risque et priorisation, architecture cible et choix d'algorithmes, pilote mesuré sur périmètre restreint, déploiement par vagues avec repli, puis supervision continue et dossier de preuves. Nous intervenons en France, Belgique, Suisse et Luxembourg, en présentiel comme à distance, et nos formules sont découpables en lots pour s'adapter aux procédures de marchés publics.

Rarement. Nous intervenons autour de vos outils existants, sur les couches de chiffrement, de gestion des clés, d'habilitation et d'archivage. Un remplacement n'est envisagé que si l'éditeur ne permet aucune intégration ou si la version utilisée n'est plus maintenue — ce que l'audit identifie immédiatement. À noter : le chiffrement de disque assuré par un hébergeur ne répond ni à l'isolation entre vos clients, ni à la maîtrise de vos clés, ni à la traçabilité des accès. Ces briques relèvent du socle décrit sur notre page protection des données en entreprise.

Par un **audit de crypto-agilité** de deux à cinq semaines selon la taille du parc. Vous obtenez la cartographie de vos usages, votre marge réelle par catégorie de données, l'écart avec les référentiels applicables et un plan d'action chiffré. **Devis sous 48 heures**, aucun engagement sur la suite. Si vous avez déjà reçu des questionnaires sécurité de vos clients, transmettez-les nous : nous les utilisons comme grille d'évaluation, ce qui rend le rapport immédiatement actionnable.