Ordinateur quantique et chiffrement : pourquoi l’algorithme de Shor oblige à changer de cryptographie dès maintenant

Quand un navigateur ouvre une connexion sécurisée, il s’accorde avec le serveur sur une clé secrète qu’aucun des deux ne possédait avant, à l’aide d’une clé publique que n’importe qui peut lire. Ce tour de force repose sur des calculs que les ordinateurs actuels ne savent pas défaire en un temps raisonnable, et qu’un ordinateur quantique suffisamment grand saurait défaire. Aucune machine de cette taille n’existe aujourd’hui. Pourtant, comme le rappellent trois chercheurs de l’EPITA dans The Conversation le 15 septembre 2026, des données échangées cette année sont déjà exposées : elles peuvent être enregistrées maintenant et déchiffrées plus tard.

Une serrure fondée sur un calcul à sens unique

Le chiffrement le plus ancien, dit symétrique, utilise la même clé pour chiffrer et pour déchiffrer. Il suppose donc que les deux correspondants la partagent déjà. Sur Internet, où un navigateur parle à des serveurs qu’il n’a jamais rencontrés, cette condition nécessaire n’est pas remplie. La cryptographie à clé publique, dite asymétrique, lève l’obstacle : elle permet d’établir une communication chiffrée sans aucun secret partagé au préalable. Ses principes ont été posés au milieu des années 1970 avec l’échange de clés de Diffie et Hellman, et c’est elle qui ouvre aujourd’hui les connexions sécurisées du web.

Son fonctionnement ne repose pas sur un procédé tenu secret. Les algorithmes sont publiés, analysés, normalisés. La sécurité tient à un écart de difficulté entre deux sens d’un même calcul. Multiplier deux grands nombres premiers est immédiat ; retrouver ces deux nombres à partir de leur produit, c’est-à-dire factoriser, devient impraticable quand le produit compte plusieurs centaines de chiffres. C’est la base de RSA. Élever un nombre à une puissance dans une arithmétique « modulaire », où les résultats reviennent en boucle comme les heures d’une horloge, est tout aussi rapide ; retrouver l’exposant à partir du résultat, le problème du logarithme discret, ne l’est pas. C’est la base de l’échange de Diffie-Hellman et de sa version sur courbes elliptiques.

La clé publique est le résultat du calcul facile. La clé privée est ce qu’il faudrait retrouver en remontant le calcul difficile. Tant que remonter reste impraticable, publier la première ne révèle rien de la seconde.

Encore faut-il mesurer ce « difficile ». La meilleure méthode classique connue pour factoriser, le crible algébrique, a un temps de calcul sous-exponentiel : il croît moins vite qu’une exponentielle, mais bien plus vite que n’importe quel polynôme de la taille du nombre. Concrètement, allonger la clé de quelques centaines de bits suffit à maintenir l’attaquant loin derrière l’utilisateur, qui ne paie qu’un faible surcoût. Toute la sécurité tient à cet écart.

La période cachée d’une suite de nombres, raccourci de Shor

L’algorithme de Shor, présenté en 1994, attaque précisément cet écart. L’image la plus répandue veut qu’un ordinateur quantique « essaie toutes les clés en même temps ». Elle est fausse, et elle conduit à une conclusion fausse : si c’était le principe, tout chiffrement tomberait de la même façon. Le raccourci de Shor est beaucoup plus étroit.

Il commence par une transformation purement mathématique. Pour factoriser un nombre N, on choisit un nombre a et l’on regarde la suite des restes de a, a², a³, a⁴… dans la division par N. Cette suite finit toujours par se répéter. Le nombre de pas au bout duquel elle revient à son point de départ s’appelle sa période, notée r. Or connaître r permet, par un calcul de plus grand commun diviseur que n’importe quel ordinateur exécute instantanément, d’extraire les facteurs de N. La factorisation se ramène ainsi à une recherche de période.

Pour un ordinateur classique, trouver cette période est aussi dur que factoriser. C’est ici, et seulement ici, qu’intervient le calcul quantique. Le registre de qubits est placé dans une superposition de nombreux exposants, la suite est calculée sur cette superposition, puis une opération appelée transformée de Fourier quantique fait interférer les amplitudes : les contributions compatibles avec la période se renforcent, les autres s’annulent. La mesure fait alors ressortir une information sur r. La préparation du problème en amont et l’extraction des facteurs en aval restent classiques.

Le principe n’est donc pas la force brute parallèle. C’est l’exploitation d’une structure périodique cachée. Une variante du même principe résout le logarithme discret, ce qui fait tomber d’un coup les deux familles de problèmes sur lesquelles repose la cryptographie asymétrique actuelle : RSA d’un côté, Diffie-Hellman et courbes elliptiques de l’autre.

La conséquence tient dans la forme de la courbe de coût. Le temps de calcul de Shor croît de façon polynomiale avec la taille du nombre, là où le crible algébrique croît de façon sous-exponentielle. Doubler la taille d’une clé RSA, parade classique face à des ordinateurs plus rapides, ne multiplie le travail quantique que par un facteur modeste. Allonger les clés ne protège plus. Il faut changer d’algorithme.

Le principe a été vérifié à très petite échelle : en 2001, un ordinateur de 7 qubits a factorisé 15 en 3 × 5 avec l’algorithme de Shor. Entre ce résultat et une clé de 2 048 bits, l’écart ne se compte pas en qubits supplémentaires mais en ordres de grandeur, comme le montrent les estimations de ressources détaillées plus bas.

AES et le chiffrement symétrique, maillon qui résiste

Une connexion sécurisée n’utilise pas la cryptographie asymétrique pour tout. Celle-ci sert à la poignée de main : s’accorder sur une clé et vérifier l’identité du serveur par une signature. Le volume des données, lui, est ensuite chiffré par un algorithme symétrique comme AES, avec la clé qui vient d’être établie.

Contre AES, Shor ne sert à rien : il n’y a pas de période cachée à exploiter. Le seul outil quantique connu est l’algorithme de Grover, qui accélère une recherche exhaustive de façon quadratique. Là où une recherche classique doit examiner de l’ordre de N clés, Grover en examine de l’ordre de la racine carrée de N. Le gain est réel, mais il se compense en allongeant les clés. Selon la foire aux questions du NIST sur la cryptographie post-quantique, AES-128 reste sûr pour des décennies, AES-192 et AES-256 pour très longtemps.

La formule de « fin de la cybersécurité » ne correspond donc pas au mécanisme. Ce qui tombe, c’est l’échange de clés et la signature. Mais la nuance a une limite nette : un attaquant qui retrouve la clé de session en cassant l’échange asymétrique n’a plus besoin de casser AES. Il lit directement ce qu’AES protégeait. Le maillon symétrique résiste, la chaîne entière non.

De 20 millions à moins d’un million de qubits : des estimations qui fondent

Combien faudrait-il de qubits pour casser une clé réelle ? La réponse dépend d’abord de la distinction entre deux sortes de qubits. Un qubit physique est un composant réel, sujet aux erreurs. Un qubit logique est un qubit fiable, fabriqué en répartissant une information sur des centaines de qubits physiques bruités et en corrigeant leurs erreurs en continu, par exemple avec un code dit de surface. Comparer un nombre de qubits logiques à un nombre de qubits physiques revient à comparer des chiffres incomparables.

En mai 2025, le chercheur C. Gidney, de Google Quantum AI, a publié sur arXiv une estimation des ressources nécessaires pour factoriser une clé RSA de 2 048 bits : moins d’un million de qubits bruités, pendant moins d’une semaine. L’estimation de 2019, due à Gidney et Ekerå, demandait 20 millions de qubits et 8 heures. Le 31 mars 2026, Google Quantum AI a publié des circuits de Shor pour le logarithme discret sur une courbe elliptique de 256 bits : moins de 1 200 qubits logiques et 90 millions de portes Toffoli, des opérations élémentaires dont le nombre mesure la longueur du calcul, ou moins de 1 450 qubits logiques et 70 millions de portes. Sur une machine supraconductrice, cela représenterait moins de 500 000 qubits physiques et quelques minutes de calcul, soit une réduction d’environ 20 fois par rapport aux estimations antérieures selon Google.

Les deux chiffres ne visent pas la même cible. Le demi-million de qubits physiques concerne les courbes elliptiques de 256 bits ; RSA-2048 reste estimé à moins d’un million. Ni l’un ni l’autre n’a été mesuré sur une machine. Ce sont des calculs de ressources, qui supposent explicitement une grille carrée de qubits connectés à leurs voisins, un taux d’erreur uniforme de 0,1 % par porte, un cycle de correction de 1 microseconde et un temps de réaction du système de contrôle de 10 microsecondes. Changer ces hypothèses change le résultat.

Pourquoi ces estimations fondent-elles sans qu’aucune machine plus grosse n’ait été construite ? Parce que les gains viennent des algorithmes et de la correction d’erreurs. Pour RSA, Gidney combine une arithmétique approchée des résidus, un stockage plus économe des qubits inactifs et une technique de « culture » d’états magiques, des états quantiques auxiliaires nécessaires à certaines portes. Le prix est un calcul plus long : une semaine au lieu de 8 heures. Pour une clé qui ne change pas pendant des années, attendre une semaine reste une attaque valable. La cible se rapproche donc indépendamment du matériel, ce qui explique que les agences raccourcissent leurs délais.

Pour les courbes elliptiques, Google a choisi de ne pas publier le détail de ses circuits. Il a joint une preuve à divulgation nulle de connaissance, un protocole qui permet à un tiers de vérifier que l’affirmation est exacte sans apprendre comment l’attaque est construite. Le résultat est vérifiable, le mode d’emploi reste privé.

Enregistrer aujourd’hui, déchiffrer le jour où la machine existera

Le maillon contre-intuitif de la chaîne est celui-ci : se protéger contre une machine qui n’existe pas encore a un sens dès aujourd’hui. Il suffit d’une capacité que tout acteur disposant d’un accès au réseau possède déjà, celle d’enregistrer. Un échange chiffré intercepté en 2026 ne peut pas être lu en 2026. Il peut être stocké, puis déchiffré le jour où une machine suffisante sera disponible, en cassant l’échange de clés qui figure au début de l’enregistrement. Le scénario porte un nom dans le métier : collecter maintenant, déchiffrer plus tard.

Le raisonnement se pose comme une somme. Soit la durée pendant laquelle une donnée doit rester confidentielle, et la durée nécessaire pour migrer les systèmes qui la transportent vers des algorithmes résistants. Si la somme des deux dépasse le délai d’arrivée d’un ordinateur quantique capable de casser les clés, la donnée est exposée dès maintenant. Un message dont le contenu est périmé dans une semaine ne court presque aucun risque. Un dossier qui doit rester confidentiel pendant des décennies est déjà dans la zone de danger. Ce délai d’arrivée est précisément l’inconnue : les experts ne le donnent qu’en fourchettes de probabilité.

C’est la raison pour laquelle l’ANSSI demande aux organisations d’identifier les données dont la confidentialité ou l’authenticité doit être garantie après 2030. C’est aussi la raison invoquée par Cloudflare et par Signal pour avoir déployé en premier la protection du chiffrement, avant celle des signatures.

L’ordre de priorité découle du mécanisme. Une donnée chiffrée enregistrée peut être relue plus tard. Une signature, elle, sert à vérifier une identité au moment de l’échange : une fois l’échange passé, la falsifier après coup ne trompe plus personne sur cet échange-là. L’enjeu d’authenticité porte sur ce qui devra encore être vérifié quand la machine existera, comme un document signé qui doit rester probant pendant des années.

Les données à longue durée de vie ne sont donc pas à l’abri jusqu’en 2035. Cela ne signifie pas que le chiffrement actuel est cassé : l’écart entre les démonstrations réalisées et les besoins estimés reste de plusieurs ordres de grandeur.

Des fourchettes de probabilité au lieu d’une date

Quand une machine capable de casser RSA existera-t-elle ? Aucune source ne donne de date, et il n’y a pas de raison d’en attendre une. Le rapport 2025 du Global Risk Institute sur le calendrier de la menace quantique, publié le 9 mars 2026 par M. Mosca et M. Piani, interroge 26 experts. Il ne produit pas une date, mais des jugements gradués.

À un horizon de 10 ans, un ordinateur quantique cryptographiquement pertinent est jugé « assez possible », catégorie qui correspond à une probabilité de 28 à 49 %. À 15 ans, il est jugé « probable », soit 51 à 70 %. L’estimation à 10 ans est la plus élevée de la série d’enquêtes du Global Risk Institute.

Ces chiffres se lisent avec leur nature. Ce sont des probabilités subjectives, agrégées à partir d’avis d’experts, et non des mesures ni des extrapolations d’une courbe de progrès. Leur largeur dit l’incertitude du domaine : une fourchette de 28 à 49 % signifie que la question reste ouverte. Elles servent à dimensionner un risque, en le croisant avec la durée de vie des données et le temps de migration. Elles ne prédisent pas un jour J.

L’autre repère est l’écart matériel. Depuis la factorisation de 15 en 2001, les progrès pratiques sont restés minces : en 2022, les démonstrations pratiques restaient limitées à des nombres à deux chiffres. Les attaques estimées demandent des centaines de milliers à un million de qubits physiques, tous à 0,1 % d’erreur. Aucune machine de cette taille n’est décrite dans les publications citées ici. Ce constat écarte la panique. Il n’autorise pas le déni, puisque les estimations elles-mêmes baissent.

Réseaux euclidiens, codes correcteurs, hachage : les mathématiques de rechange

Puisque allonger les clés ne protège plus, la parade consiste à remplacer les problèmes mathématiques eux-mêmes. Selon les auteurs de The Conversation, une prise de position de la NSA en 2015 appelant à se préparer à la menace quantique a servi de point de bascule. En 2016, le NIST, l’institut américain de normalisation, a lancé un appel à candidatures pour des algorithmes dits post-quantiques.

Le 13 août 2024, le NIST a publié les trois premières normes issues de ce processus. FIPS 203 définit ML-KEM, un mécanisme d’établissement de clés issu de CRYSTALS-Kyber. FIPS 204 définit ML-DSA, un algorithme de signature issu de CRYSTALS-Dilithium. FIPS 205 définit SLH-DSA, une signature fondée uniquement sur des fonctions de hachage, issue de SPHINCS+. Une quatrième norme, FN-DSA, dérivée de FALCON, était alors annoncée en préparation.

ML-KEM et ML-DSA reposent sur des problèmes de réseaux euclidiens, des ensembles de points répartis régulièrement dans un espace à grand nombre de dimensions. SLH-DSA repose sur les fonctions de hachage. Le point commun est négatif, et c’est lui qui compte : pour ces problèmes, aucun raccourci quantique comparable à Shor n’est connu. Shor exploite une périodicité cachée ; personne n’a trouvé de structure équivalente à exploiter ici.

« Aucun raccourci connu » ne veut pas dire « prouvé incassable ». La sécurité de ces algorithmes reste une hypothèse, comme l’était celle de RSA, avec moins d’années d’examen derrière elle. Le NIST en tire lui-même la conséquence. Le 11 mars 2025, il a retenu HQC comme algorithme de secours de ML-KEM. HQC repose sur les codes correcteurs d’erreurs, précisément parce que ses mathématiques diffèrent de celles des réseaux euclidiens : une faille découverte dans l’une des familles ne toucherait pas l’autre. Sa norme finale est attendue en 2027. La même logique de diversité place SLH-DSA, fondé sur le hachage, à côté de ML-DSA, fondé sur les réseaux.

Ces algorithmes sont du logiciel ordinaire, exécuté par des ordinateurs classiques. Ils n’ont rien à voir avec les communications qui exploitent directement des phénomènes quantiques, comme l’intrication quantique mesurée sur 420 km, qui relève d’une autre branche de la physique appliquée aux réseaux.

Deux verrous plutôt qu’un : la doctrine de l’hybridation

Les nouveaux algorithmes sont jeunes au regard de RSA, étudié depuis des décennies. Remplacer brutalement l’ancien par le nouveau ferait donc courir un autre risque : qu’une faiblesse encore inconnue d’un algorithme post-quantique ouvre une brèche que l’algorithme classique n’avait pas. L’hybridation répond à ce dilemme. Elle combine un algorithme classique éprouvé et un algorithme post-quantique de telle sorte que l’attaquant doive casser les deux pour lire l’échange.

Le mécanisme protège sur deux fronts. Contre l’ordinateur quantique futur, la partie post-quantique tient. Contre une attaque classique inattendue sur le nouvel algorithme, la partie classique tient. Tant qu’une seule des deux résiste, le secret résiste.

La France en a fait une exigence. L’ANSSI demande l’hybridation partout où une protection post-quantique est nécessaire, avec une seule exception : les signatures fondées sur le hachage, comme SLH-DSA, XMSS ou LMS. Sa FAQ qualifie l’hybridation d’essentielle et en fait une condition, non une option : c’est une doctrine, pas une simple recommandation technique.

La messagerie Signal applique le même principe. En 2023, elle a introduit PQXDH, qui protégeait l’établissement de la session. Le 2 octobre 2025, elle a annoncé SPQR, intégré à ce qu’elle appelle le « Triple Ratchet » : l’algorithme ML-KEM, dans son paramétrage ML-KEM 768, est désormais ajouté tout au long de la conversation, et non plus seulement à son ouverture. Les clés classiques et post-quantiques y sont mélangées, si bien qu’un attaquant doit casser les deux. Le déploiement est automatique. Aucun réglage n’est demandé à l’utilisateur.

Plus de 65 % du trafic chez Cloudflare, mais des certificats encore classiques

La bascule n’est pas un projet lointain. Dans sa feuille de route post-quantique publiée le 7 avril 2026, Cloudflare, dont le réseau sert d’intermédiaire à une partie des sites web, indique que plus de 65 % du trafic humain qui transite par ce réseau est chiffré avec un algorithme post-quantique. Le déploiement a commencé en 2022.

Ce chiffre a un périmètre précis. Il mesure le trafic humain passant par Cloudflare, pas l’ensemble du web : un site qui n’utilise pas ce réseau n’y figure pas. Il ne couvre que l’échange de clés, c’est-à-dire la confidentialité. Et une connexion n’en profite que si les deux bouts parlent le nouvel algorithme : un navigateur ou un serveur ancien, qui ne négocie pas ces algorithmes, retombe sur l’échange classique. Les deux tiers d’un réseau ne font pas les deux tiers d’Internet.

Surtout, l’authentification n’est pas encore protégée. Les signatures et les certificats qui prouvent qu’un site est bien celui qu’il prétend être restent fondés sur des algorithmes classiques. Le calendrier annoncé par Cloudflare en avril 2026 prévoyait une authentification ML-DSA vers les serveurs d’origine à la mi-2026, une authentification post-quantique des visiteurs via des Merkle Tree Certificates à la mi-2027, puis une sécurité post-quantique complète de ses produits en 2029. Google vise également 2029 pour sa propre migration.

Cet ordre suit le mécanisme décrit plus haut. Le chiffrement devait passer en premier, parce que les échanges enregistrés aujourd’hui pourront être relus demain. La signature peut attendre un peu plus, parce qu’une usurpation d’identité exige la machine au moment même de la connexion. La conséquence pratique est nette : une connexion ordinaire est peut-être déjà protégée pour son contenu. Elle ne l’est pas encore pour l’identité du site.

2026, 2027, 2030, 2035 : les échéances imposées aux organisations

Les obligations se superposent, et leur force juridique varie. Une règle en vigueur, un objectif d’agence et un projet de norme n’engagent pas de la même façon : la dernière colonne du tableau le précise. Toutes visent les organisations, les administrations et les fournisseurs de produits, jamais les particuliers.

En France, l’ANSSI fixe deux repères. En 2027, elle vise des obligations post-quantiques pour l’entrée d’un produit en qualification. Pour 2030, sa FAQ pèse ses mots : « il ne sera pas raisonnable d’acheter des produits qui n’intègrent pas de la PQC après 2030 ». Il ne s’agit pas d’une interdiction. C’est un jugement de l’agence, adressé aux acheteurs.

À l’échelle européenne, la feuille de route coordonnée adoptée le 23 juin 2025 demande à tous les États membres de commencer la transition d’ici fin 2026 et de migrer les cas d’usage à haut risque au plus tard fin 2030. La page officielle de la Commission ne détaille que ces deux jalons. L’horizon 2035, pour une transition la plus complète possible, figure dans le résumé publié par PQShield le 24 juin 2025 et se lit donc avec cette réserve.

Aux États-Unis, le NIST IR 8547 reste un projet initial, publié en novembre 2024. Il propose de déprécier après 2030 les algorithmes vulnérables offrant 112 bits de sécurité, dont RSA-2048 et la courbe P-256, puis de retirer RSA et les courbes elliptiques des normes après 2035. Ces dates, relevées dans l’analyse du projet publiée par PostQuantum.com, sont un calendrier proposé et non une règle en vigueur. Elles ne concernent formellement que les normes fédérales américaines.

Navigateur, messagerie, banque : où la bascule se voit déjà

Pour un particulier, la transition ne passe ni par un achat ni par un réglage. Elle arrive par les mises à jour des navigateurs, des systèmes d’exploitation, des messageries et des serveurs auxquels vous vous connectez. Les obligations de 2026, 2027, 2030 et 2035 pèsent sur les organisations et leurs fournisseurs.

Dans un navigateur à jour, une connexion à un site servi par un réseau déjà converti est vraisemblablement protégée pour son contenu par un échange de clés post-quantique. L’identité du site, elle, repose encore sur un certificat classique. Une banque en ligne ne fait pas exception à ce schéma : ce qui décide, c’est ce que négocient votre navigateur et le serveur ou l’intermédiaire qui le représente, pas la nature du site. Un navigateur ou un système qui ne reçoit plus de mises à jour reste, lui, sur l’échange classique.

Dans Signal, la protection hybride est active sans intervention depuis le déploiement de SPQR. Aucun produit estampillé « résistant au quantique » ne change ce tableau. Le verrou qui compte est posé par les logiciels que vous utilisez déjà, à condition qu’ils soient maintenus.

Reste la question que ce mécanisme laisse ouverte. Les messages chiffrés avant ces mises à jour, et déjà enregistrés par qui en avait les moyens, ne pourront jamais être rechiffrés. Leur sort dépend d’une date que personne ne sait donner.

FAQ — ordinateur quantique et chiffrement

Le chiffrement actuel est-il déjà cassé par un ordinateur quantique ?

Non. Aucune machine capable de casser RSA ou les courbes elliptiques n’est décrite dans les publications citées dans cet article. Les chiffres qui circulent sont des estimations de ressources pour des machines à construire. En 2001, la démonstration de l’algorithme de Shor portait sur le nombre 15, avec 7 qubits.

Qu’est-ce que l’algorithme de Shor ?

C’est un algorithme quantique, présenté en 1994, qui ramène la factorisation d’un nombre à la recherche de la période d’une suite, puis fait ressortir cette période par interférence grâce à la transformée de Fourier quantique. Il ne teste pas toutes les clés à la fois. Il résout aussi le logarithme discret, base de Diffie-Hellman et des courbes elliptiques.

AES est-il menacé par l’ordinateur quantique ?

Très peu. Contre le chiffrement symétrique, le seul outil connu est l’algorithme de Grover, qui n’apporte qu’une accélération quadratique. Le NIST juge AES-128 sûr pour des décennies et AES-192 et AES-256 pour très longtemps. Le risque vient de l’échange de clés asymétrique qui fournit la clé AES.

Combien de qubits faudrait-il pour casser une clé ?

Selon Google Quantum AI, moins d’un million de qubits bruités pendant moins d’une semaine pour RSA-2048 (estimation de mai 2025), et moins de 500 000 qubits physiques pendant quelques minutes pour une courbe elliptique de 256 bits (mars 2026). Ces estimations supposent un taux d’erreur de 0,1 % par porte et n’ont pas été vérifiées sur une machine.

Quand un ordinateur quantique pourra-t-il casser le chiffrement ?

Aucune date n’est établie. L’enquête du Global Risk Institute auprès de 26 experts, publiée en mars 2026, juge une telle machine « assez possible » à 10 ans (28 à 49 %) et « probable » à 15 ans (51 à 70 %). Ce sont des opinions d’experts en fourchettes, pas une prévision.

Que signifie « collecter maintenant, déchiffrer plus tard » ?

Un adversaire enregistre dès aujourd’hui des échanges chiffrés qu’il ne peut pas lire, pour les déchiffrer quand une machine suffisante existera. Les données qui doivent rester confidentielles longtemps sont donc exposées dès maintenant, même sans ordinateur quantique opérationnel.

Qu’est-ce que ML-KEM ?

ML-KEM est un mécanisme d’établissement de clés normalisé par le NIST le 13 août 2024 sous le nom FIPS 203, issu de CRYSTALS-Kyber. Il repose sur des problèmes de réseaux euclidiens pour lesquels aucun raccourci quantique n’est connu, ce qui ne constitue pas une preuve d’inviolabilité. HQC a été retenu en 2025 comme algorithme de secours.

Devez-vous faire quelque chose pour vous protéger ?

Aucun achat ni réglage particulier n’est requis pour un particulier. La bascule passe par les mises à jour des navigateurs, systèmes, messageries et serveurs : un logiciel qui n’est plus maintenu reste sur l’échange classique. Les échéances de l’ANSSI, de l’Union européenne et du NIST s’adressent aux organisations et aux fournisseurs.