Le 2 novembre 2026, le groupe pharmaceutique français Sanofi a détaillé le déploiement opérationnel du chiffrement post-quantique au sein de son système d’information, en s’appuyant sur la liste d’algorithmes standardisés par le NIST. Le lendemain, le 3 novembre 2026, l’éditeur français de visioconférence sécurisée Tixeo a annoncé l’intégration d’un chiffrement post-quantique hybride dans sa plateforme afin de répondre aux exigences de conformité fixées par l’ANSSI. En l’espace de 24 heures, la cryptographie post-quantique a quitté le terrain de la prospective académique pour entrer dans les architectures de production françaises.
Cette accélération intervient alors que les équipements qui terminent les flux chiffrés des entreprises subissent une pression constante. Le 2 novembre 2026, le CERT-FR a mis à jour son alerte CERTFR-2026-ALE-013 et publié l’avis CERTFR-2026-AVI-1442 concernant des vulnérabilités critiques dans les passerelles VPN Ivanti Connect Secure. Entre le 2 et le 4 novembre 2026, le centre gouvernemental a également alerté sur le proxy inverse Traefik, les équipements Citrix, HPE Aruba Networking et SonicWall. Parallèlement, une étude publiée le 4 novembre 2026 révèle que 87 % des entreprises prévoient de rapatrier des charges de travail du cloud public vers des infrastructures hybrides ou privées d’ici la fin de l’année 2027, redonnant aux directions informatiques la responsabilité directe de leur socle cryptographique.
Beaucoup de comités de direction repoussent encore le sujet post-quantique en estimant que les calculateurs capables de briser le chiffrement RSA ou les courbes elliptiques n’existeront pas à l’échelle industrielle avant 2030 ou 2035. Le retour d’expérience présenté par Sanofi le 2 novembre 2026 invalide ce calcul temporel. Pour un groupe pharmaceutique, comme pour une entreprise industrielle ou un organisme public, la date critique n’est pas celle où l’ordinateur quantique sera opérationnel, mais celle à partir de laquelle des adversaires interceptent et stockent les flux chiffrés circulant sur Internet.
Ce mode opératoire, désigné sous le terme de collecte immédiate pour déchiffrement ultérieur, cible les données à longue durée de vie stratégique. Lorsqu’un laboratoire transmet des résultats d’essais cliniques ou des formules moléculaires via un tunnel VPN intersites, le brevet associé conserve sa valeur économique pendant 15 à 25 ans. Si ce trafic chiffré avec un algorithme asymétrique classique est enregistré passivement en novembre 2026 par un acteur étatique ou un groupe spécialisé dans l’espionnage économique, son contenu pourra être intégralement déchiffré dès qu’une capacité de calcul suffisante sera disponible.
Le même raisonnement a conduit l’éditeur français Tixeo, le 3 novembre 2026, à intégrer le chiffrement post-quantique dans ses flux audio, vidéo et de partage d’écran. Les réunions de comité exécutif, les négociations d’acquisition et les échanges des ministères ou des industriels de la défense contiennent des informations qui ne doivent pas devenir lisibles dans 5 ou 10 ans. Protéger ces flux en 2026 constitue le seul moyen de garantir leur confidentialité sur toute leur durée de sensibilité légale et commerciale.
La transition annoncée les 2 et 3 novembre 2026 par Sanofi et Tixeo éclaire un choix d’architecture fondamental : l’abandon du remplacement sec au profit de l’hybridation cryptographique. Plutôt que de substituer purement et simplement un nouvel algorithme post-quantique aux protocoles RSA ou Diffie-Hellman sur courbes elliptiques (ECDH), la doctrine portée par l’ANSSI impose de superposer les 2 mécanismes au sein d’un même échange de clés.
Cette prudence repose sur l’histoire même de la cryptographie. Les algorithmes post-quantiques standardisés par le NIST reposent sur des problèmes mathématiques liés aux réseaux euclidiens (comme ML-KEM, issu de CRYSTALS-Kyber). Bien qu’ils aient résisté à plusieurs années d’évaluation internationale, leur déploiement massif dans des bibliothèques logicielles réelles reste récent. Des erreurs d’implémentation ou des attaques par canaux auxiliaires peuvent encore apparaître. En combinant une clé issue d’un algorithme classique éprouvé et une clé issue d’un algorithme post-quantique, la sécurité du tunnel hybride reste garantie tant qu’au moins 1 des 2 algorithmes tient bon.
Pour les responsables de la sécurité des systèmes d’information, cette exigence d’hybridation modifie les critères d’achat logiciel. Comme le montre la démarche de Tixeo du 3 novembre 2026 visant le maintien de sa qualification ANSSI, les éditeurs de solutions de sécurité et de communication souveraines intègrent désormais cette double encapsulation pour conserver leurs visas de sécurité. Les entreprises soumises à la directive NIS 2 ou travaillant pour la base industrielle et technologique de défense verront cette exigence se répercuter progressivement dans les clauses de sécurité de leurs donneurs d’ordres.
Si le principe mathématique de l’hybridation est clair, son déploiement dans les réseaux d’entreprise se heurte à la réalité matérielle et logicielle des équipements de bordure. Les clés publiques et les signatures générées par les algorithmes post-quantiques sont nettement plus volumineuses que celles des algorithmes classiques, dépassant souvent 1 000 à 1 500 octets contre quelques dizaines d’octets pour une courbe elliptique. Cette augmentation de taille entraîne une fragmentation des paquets lors de l’établissement des sessions TLS et sollicite fortement les processeurs des boîtiers réseau.
Or, l’actualité des bulletins publiés par le CERT-FR entre le 2 et le 4 novembre 2026 rappelle à quel point ces composants de bordure et de stockage sont déjà fragilisés par une dette technique importante :
Ces équipements assurent précisément le chiffrement des flux entrants et du stockage interne. Ce défi technique s’accentue avec le mouvement de rapatriement du cloud documenté le 4 novembre 2026 : alors que 87 % des entreprises prévoient de relocaliser une partie de leurs charges vers du cloud hybride ou privé d’ici fin 2027 pour maîtriser leurs coûts, les DSI ne pourront plus déléguer aveuglément la mise à niveau cryptographique aux grands fournisseurs de cloud public. Ils devront vérifier que leurs propres boîtiers SonicWall, Citrix, HPE Aruba ou leurs proxys Traefik supportent les échanges de clés hybrides sans effondrement des performances.
Pour une PME, une ETI ou une collectivité, l’exemple de Sanofi du 2 novembre 2026 montre que la migration post-quantique ne commence pas par le remplacement immédiat de tous les serveurs, mais par un travail méthodique de cartographie et de gouvernance. La majorité des organisations ignorent aujourd’hui où se trouvent exactement les algorithmes RSA ou ECDH codés en dur dans leurs applications métiers, leurs boîtiers VPN et leurs certificats internes.
Pour engager cette transition sans perturber la production, les directions informatiques peuvent structurer leur action autour de chantiers prioritaires :
La transition vers le chiffrement post-quantique ressemble davantage à un chantier d’infrastructure pluriannuel qu’à une simple mise à jour logicielle. En commençant dès novembre 2026 par l’inventaire des certificats et la protection hybride des échanges les plus sensibles, les dirigeants évitent de subir dans l’urgence une obsolescence simultanée de leurs équipements réseau et de leurs archives confidentielles.
Alors que Realease Capital constate le 28 octobre 2026 une chute de la durée de vie des serveurs à 3 ou 4 ans, l’opérateur français Inherent prépare le 30 octobre ...
1-3 Rue d’Enghien
75010, Paris
France
Recevez les actualités du site Cyberdian.
