Ce que demande l'ANSSI pour la migration post-quantique, et quand

La cryptographie post-quantique n'est plus un sujet de recherche. Les algorithmes sont normalisés par le NIST depuis 2024, l'ANSSI a fixé sa doctrine, et l'Union européenne a publié un calendrier commun. Pour une organisation française, la migration est acquise. Ce qui reste ouvert, c'est l'ordre dans lequel la mener.

Cet article rassemble ce que l'ANSSI recommande, les dates qui comptent, et ce qu'il est raisonnable de faire dès cette année.

Pourquoi maintenant, alors que l'ordinateur quantique n'existe pas encore

La menace a deux temps. Un attaquant peut copier aujourd'hui des données chiffrées avec RSA ou les courbes elliptiques, et les déchiffrer plus tard, le jour où un ordinateur quantique suffisamment puissant existera. C'est le scénario « harvest now, decrypt later ».

Une donnée qui doit rester confidentielle dix ans, un dossier médical, un contrat, un plan industriel, est donc déjà exposée si elle circule aujourd'hui chiffrée avec des algorithmes classiques. Le calendrier de migration se lit à partir de la durée de vie de vos données, pas de la date d'arrivée de l'ordinateur quantique.

Les dates qui comptent

• Dès maintenant. L'ANSSI demande de démarrer un inventaire cryptographique, en commençant par les usages critiques.
• Fin 2026. Première étape de la feuille de route coordonnée des États membres de l'UE, publiée en juin 2025, avec les inventaires, la cartographie des dépendances et la sensibilisation.
• 2027. L'ANSSI vise des obligations post-quantiques pour l'entrée en qualification des produits.
• 11 décembre 2027. Toutes les obligations du Cyber Resilience Act s'appliquent aux produits comportant des éléments numériques.
• Fin 2030. Usages à haut risque migrés selon la feuille de route européenne ; les mécanismes à clé publique vulnérables ne devraient plus être utilisés seuls.
• Après 2030. Selon l'ANSSI, il ne sera pas raisonnable d'acheter des produits sans cryptographie post-quantique.
• Fin 2035. Usages à risque moyen migrés.

L'hybridation, en pratique

Les algorithmes post-quantiques sont jeunes. Tant qu'ils n'ont pas les décennies d'examen dont bénéficient RSA et les courbes elliptiques, l'ANSSI insiste fortement sur l'hybridation, qui combine un algorithme classique et un algorithme post-quantique pour que la protection tienne tant que l'un des deux tient.

• Pour l'échange de clé. ML-KEM (FIPS 203) est combiné à un échange ECDH classique, et les deux secrets sont dérivés en une seule clé.
• Pour la signature. Une signature post-quantique est accompagnée d'une signature classique.
• Une exception. Les signatures fondées sur des fonctions de hachage, comme SLH-DSA (FIPS 205), ne demandent pas systématiquement d'hybridation selon l'ANSSI, leur sécurité reposant sur des hypothèses bien comprises.
• Le périmètre obligatoire. L'hybridation est imposée pour les données Diffusion Restreinte ou classifiées et les systèmes réglementés ; ailleurs, c'est une recommandation forte, et c'est la pratique que suivront les acheteurs publics et les grands comptes.

L'ANSSI recommande aussi que les produits puissent changer de jeu de paramètres sans tout réécrire. C'est ce qu'on appelle l'agilité cryptographique. Vos messages et vos clés doivent pouvoir évoluer sans casser ce qui a déjà été chiffré.

Trois chantiers à ouvrir dès cette année

• L'inventaire. Quelles applications chiffrent ou signent quoi, avec quels algorithmes, et combien de temps chaque donnée doit rester confidentielle ou authentique. L'ANSSI demande d'écrire cette durée explicitement.
• Les données à longue durée de vie d'abord. Archives, sauvegardes, échanges de documents sensibles avec des partenaires, ce sont elles que le « harvest now, decrypt later » vise. Ce sont aussi les plus simples à protéger, car elles passent par un format de message, pas par un protocole temps réel.
• Les achats. Demander à chaque fournisseur sa feuille de route post-quantique, et prévoir les renouvellements pour que tout achat après 2030 en soit doté.

La migration post-quantique se planifie à partir de la durée de vie de vos données, pas de la date d'arrivée de l'ordinateur quantique.

Ce que fait Feranor PQC Suite

Feranor PQC Suite répond au deuxième chantier, protéger dès aujourd'hui les fichiers et les messages qui doivent rester secrets longtemps. Elle chiffre et signe en hybride par défaut, ML-KEM-1024 avec ECDH P-384 pour l'échange de clé, SLH-DSA cosignée ECDSA P-384 pour la signature, sous un profil ANSSI appliqué à tout ce qu'elle lit comme à tout ce qu'elle écrit.

Elle n'utilise que des formats standards, messages CMS et clés PKCS#8, et laisse les primitives à OpenSSL 3.5, sans aucune cryptographie maison. Elle reprend aussi vos archives chiffrées en RSA ou ECDH pour les rechiffrer vers des destinataires post-quantiques. Elle est déclarée à l'ANSSI comme moyen de cryptologie (déclaration n° 34734727).