Le 23 août 2026, un consortium de banques et d’institutions financières réuni par le Responsible Fintech Institute a testé, en conditions quasi réelles, une signature numérique censée résister aux ordinateurs quantiques. Le protocole retenu, ML-DSA-65, a servi à valider la création de portefeuilles multi-signatures et l’autorisation de transferts d’actifs numériques sur un testnet “quantum-resistant” de NEAR Protocol. Rien n’est encore déployé en production, mais l’événement marque un tournant : la cryptographie post-quantique sort des laboratoires et entre dans les flux de travail bancaires réels, avec des conséquences concrètes sur la taille des clés, la latence des transactions et les calendriers réglementaires européens.
Ce qui s’est passé le 23 août 2026 sur le testnet NEAR
Le pilote conduit par le Responsible Fintech Institute a réuni un groupe de banques et d’institutions financières autour d’un objectif précis : vérifier si une signature post-quantique standardisée peut tenir la charge d’un flux de travail bancaire complet, de la génération de portefeuille jusqu’à la validation finale d’une transaction. L’expérience s’est déroulée sur un testnet “quantum-resistant” de NEAR Protocol, une blockchain de couche 1 déjà connue pour son architecture fragmentée (sharding).
Concrètement, les équipes ont simulé la création de portefeuilles multi-signatures, l’autorisation d’ordres de transfert et la validation de transactions, le tout signé avec ML-DSA-65 et journalisé pour permettre un audit complet. Un détail technique retient l’attention des architectes : les signatures ML-DSA-65 ont été intégrées à un protocole de calcul multipartite (MPC) pour gérer la garde des portefeuilles institutionnels. Cette combinaison n’est pas anodine, car le MPC répartit déjà le risque de compromission d’une clé privée entre plusieurs parties. Y ajouter une signature post-quantique revient à empiler deux couches de résistance : l’une contre le vol classique, l’autre contre une future attaque quantique.
Ce test s’inscrit dans une dynamique plus large portée par des agences fédérales américaines, notamment la GSA et le département du Trésor, qui poussent le secteur financier vers des algorithmes de signature et de chiffrement résistants aux attaques quantiques. Pour l’Europe, où la pression réglementaire vient plutôt de l’ANSSI, du BSI allemand et de l’ENISA, ce pilote américain sert de test grandeur nature avant que des obligations similaires n’arrivent sur le continent.
ML-DSA-65 : la signature “lattice-based” expliquée simplement
ML-DSA, pour Module-Lattice-Based Digital Signature Algorithm, est le nom officiel donné par le NIST à l’algorithme autrefois connu sous le nom de CRYSTALS-Dilithium. Comme l’explique le NIST, “the standard uses the CRYSTALS-Dilithium algorithm, which has been renamed ML-DSA, short for Module-Lattice-Based Digital Signature Algorithm” (NIST, département du Commerce américain). Sa sécurité repose sur des problèmes mathématiques liés aux réseaux euclidiens (lattices), une famille de problèmes que ni les ordinateurs classiques ni, en théorie, les ordinateurs quantiques ne savent résoudre efficacement.
Le chiffre “65” dans ML-DSA-65 désigne le niveau de sécurité, ici équivalent à environ 192 bits, un cran au-dessus du niveau d’entrée ML-DSA-44 et un cran en dessous du niveau maximal ML-DSA-87. C’est ce niveau intermédiaire qui a été choisi pour le pilote bancaire sur NEAR, un compromis assez logique entre marge de sécurité et poids des données à faire transiter sur la blockchain.
ML-DSA n’est pas seul dans la famille des standards post-quantiques du NIST. Il est accompagné de ML-KEM (Module-Lattice-Based Key-Encapsulation Mechanism, ex-CRYSTALS-Kyber) pour l’échange de clés, et de SLH-DSA, une signature fondée sur des fonctions de hachage plutôt que sur des réseaux. Le NIST précise que ces trois standards “will provide the foundation for most deployments of post-quantum cryptography” (NIST, Post-Quantum Cryptography Project). ML-DSA-65 n’est donc qu’une pièce d’un puzzle réglementaire et technique plus vaste que les banques devront assembler dans les années qui viennent.
Comparatif technique : ML-DSA-65 face à ECDSA P-256 et RSA-2048
La bascule vers ML-DSA-65 a un coût mesurable : la taille des clés et des signatures. Le standard FIPS 204 du NIST fixe ces valeurs de façon précise pour ML-DSA-65 : une clé privée de 4 032 octets, une clé publique de 1 952 octets et une signature de 3 309 octets. À titre de comparaison, une signature ECDSA sur la courbe P-256, la référence actuelle dans la plupart des infrastructures bancaires et TLS, tient en 64 à 72 octets une fois encodée, avec une clé publique brute de seulement 64 octets. RSA-2048, encore largement utilisé pour la signature de code et certains certificats, produit des signatures de 256 octets pour une clé publique de même taille.
| Algorithme | Type | Clé publique | Clé privée | Signature | Sécurité estimée |
|---|---|---|---|---|---|
| ECDSA P-256 | Courbe elliptique classique | ~64 octets | 32 octets | 64-72 octets | 128 bits (non quantique) |
| RSA-2048 | Factorisation classique | 256 octets | 256 octets | 256 octets | 112 bits (non quantique) |
| Ed25519 | Courbe elliptique classique | 32 octets | 32 octets | 64 octets | 128 bits (non quantique) |
| ML-DSA-65 | Lattice post-quantique | 1 952 octets | 4 032 octets | 3 309 octets | ~192 bits (résistant au quantique) |
| SLH-DSA | Hachage post-quantique | 32-64 octets | 64-128 octets | 7 856-49 856 octets | Variable selon paramétrage |
Rapportée à Ed25519, la référence des portefeuilles crypto modernes, une signature ML-DSA-65 est environ 52 fois plus lourde et sa clé publique environ 62 fois plus volumineuse. Côté vitesse en revanche, l’écart est loin d’être dramatique : des benchmarks 2026 sur processeurs commodity mesurent une génération de signature ML-DSA-65 autour de 72 microsecondes et une vérification autour de 24 microsecondes par cœur, un ordre de grandeur comparable aux schémas classiques optimisés. Le vrai coût n’est donc pas le calcul, mais la bande passante et le stockage : sur une blockchain qui facture chaque octet inscrit, multiplier par 50 la taille d’une signature n’est pas un détail cosmétique, c’est un paramètre économique.
Pour un émetteur de cartes ou une chambre de compensation qui traite des millions de transactions signées par jour, ce facteur multiplicateur se traduit directement par plus de stockage en base de données, plus de trafic réseau entre les HSM (modules matériels de sécurité) et plus de temps de synchronisation pour les nœuds de validation. C’est précisément ce que le pilote NEAR cherchait à quantifier avant qu’un régulateur n’impose une migration généralisée.
Pourquoi maintenant : la menace du “Q-Day” prend forme
Le terme “Q-Day” désigne le moment où un ordinateur quantique deviendra assez puissant pour casser en temps pratique les schémas à clé publique aujourd’hui omniprésents : RSA, courbes elliptiques et échange de clés Diffie-Hellman. Les estimations 2026 varient, mais elles convergent vers une fenêtre resserrée. Google a averti en mars 2026 qu’un ordinateur quantique capable de casser RSA-2048 pourrait arriver dès 2029. Cloudflare retient également 2029 comme horizon accéléré dans sa planification interne, tandis que plusieurs analyses sectorielles situent la fenêtre entre 2029 et 2033. Des guides plus prudents, comme celui publié par ITECS en 2026, repoussent l’échéance probable entre 2033 et 2037.
Le BSI allemand, l’agence fédérale de cybersécurité, travaille sous l’hypothèse que des ordinateurs quantiques “cryptographiquement pertinents” seront disponibles au début des années 2030, une estimation qui structure directement son calendrier de migration (BSI, agence fédérale allemande de sécurité informatique). C’est cette incertitude, plus que la certitude d’une date précise, qui pousse les banques à agir dès 2026 : les données chiffrées aujourd’hui peuvent être interceptées et stockées par un adversaire patient, pour être déchiffrées plus tard une fois le Q-Day atteint. Ce scénario, connu sous le nom de “store now, decrypt later”, concerne particulièrement les données financières à durée de vie longue, comme les contrats, les hypothèques ou les registres de propriété d’actifs.
De CRYSTALS-Dilithium à ML-DSA : dix ans de standardisation
Le chemin vers ML-DSA-65 remonte à 2016, année où le NIST a lancé son appel public à candidatures pour des algorithmes résistants au quantique. Plusieurs rounds de sélection se sont succédé jusqu’à la fin des années 2010 et au début des années 2020, éliminant progressivement des dizaines de candidats jugés trop lents, trop volumineux ou mathématiquement fragiles. L’aboutissement est venu en 2024, avec la publication simultanée de trois standards finalisés : FIPS 203 pour ML-KEM, FIPS 204 pour ML-DSA et FIPS 205 pour la famille de signatures fondées sur le hachage, réunie sous l’appellation SLH-DSA.
Le NIST est d’ailleurs sans ambiguïté sur l’urgence d’adopter ces standards. Sur la page de son projet de cryptographie post-quantique, l’agence affirme que ces algorithmes “can and should be put into use now” (NIST, Post-Quantum Cryptography Project). Le calendrier ne s’arrête pas là : d’autres standards sont attendus, dont FN-DSA (identifié comme le futur FIPS 206) et un mécanisme d’encapsulation de clé complémentaire baptisé HQC-KEM (FIPS 207), prévu pour 2027, afin de diversifier les fondations mathématiques et éviter qu’une seule famille d’hypothèses cryptographiques ne porte tout l’édifice post-quantique.
Cette diversification n’a rien d’une prudence excessive. En août 2026, un modèle d’intelligence artificielle d’Anthropic (Claude) a aidé des chercheurs des universités d’Amsterdam et de Leiden à identifier une attaque contre HAWK, un schéma de signature expérimental candidat à la sélection complémentaire du NIST, lui aussi censé résister aux ordinateurs quantiques. L’épisode, largement commenté à l’époque, rappelle que la robustesse d’un schéma post-quantique reste un chantier de recherche actif et que même des candidats sérieux peuvent tomber avant d’être finalisés. ML-DSA, lui, a déjà passé ce cap : il est standardisé, publié, et c’est précisément pour cela que le consortium bancaire l’a choisi plutôt qu’un schéma encore en cours d’évaluation.
Le calendrier réglementaire européen se resserre
Si le pilote NEAR est américain, ses implications concernent directement les institutions financières européennes, soumises à un calendrier réglementaire de plus en plus contraignant. En Allemagne, le BSI a publié dans sa directive technique TR-02102-1 (version janvier 2026) des échéances précises : l’usage exclusif de mécanismes d’échange de clés classiques n’est recommandé que jusqu’au 31 décembre 2031, et les systèmes à très haut niveau de protection doivent achever leur transition vers des mécanismes résistants au quantique dès le 31 décembre 2030. Pour les signatures numériques, le BSI suit une feuille de route européenne et recommande une migration complète d’ici la fin 2035.
| Organisme | Pays / Périmètre | Échéance | Portée |
|---|---|---|---|
| BSI | Allemagne | 31 décembre 2030 | Systèmes à très haut niveau de protection |
| BSI | Allemagne | 31 décembre 2031 | Fin de l’usage exclusif d’échange de clés classique |
| BSI | Allemagne | 31 décembre 2035 | Migration complète des signatures numériques |
| Secteur KRITIS | Allemagne (infrastructures critiques) | 2030 | Migration post-quantique obligatoire |
| Organisations hors KRITIS | Allemagne | 2032 | Migration post-quantique recommandée |
| ENISA | Union européenne | Fin 2026 | Inventaires cryptographiques et stratégies de transition initiales des États membres |
| Feuille de route UE coordonnée | Union européenne | 2030 | Protection des données sensibles contre le “store now, decrypt later” |
Au niveau européen, l’ENISA coordonne une feuille de route de mise en œuvre post-quantique dont l’objectif affiché est de doter les États membres d’une stratégie harmonisée de transition d’ici la fin de 2026, avec inventaires cryptographiques et plans de migration initiaux à produire dans ce même délai (ENISA, agence européenne de cybersécurité). Le message qui ressort de ces différentes échéances converge : peu importe l’organisme, l’horizon 2030 revient systématiquement comme la date limite raisonnable pour protéger les données les plus sensibles contre une future attaque rétroactive. Pour une banque française ou allemande, cela signifie que les décisions d’architecture prises en 2026, y compris sur des systèmes qui semblent aujourd’hui anodins, doivent déjà intégrer une option de migration vers ML-DSA, ML-KEM ou SLH-DSA.
Un marché en pleine expansion, mais aux prévisions dispersées
Le marché de la cryptographie post-quantique attire déjà des capitaux, même si les cabinets d’analystes ne s’accordent pas sur son ampleur exacte. Selon les méthodologies, la taille du marché mondial en 2025 est estimée entre environ 0,4 milliard et 1,7 milliard de dollars, avec des taux de croissance annuels composés qui oscillent entre 30 % et 50 % selon les cabinets. Ces écarts tiennent surtout à ce que chaque étude inclut ou non : logiciels seuls, ou logiciels plus services de migration et de conseil.
| Cabinet d’analyse | Marché 2025 | Marché 2026 (est.) | Horizon long terme | CAGR |
|---|---|---|---|---|
| Precedence Research | 1,68 Md$ | 2,31 Md$ | 29,95 Md$ (2034) | 37,72 % |
| Ken Research | 1,38 Md$ | 1,88 Md$ | 9,16 Md$ (2031) | Non précisé |
| Juniper Research | – | 1,2 Md$ | 13 Md$ (2035) | Non précisé |
| MarketsandMarkets | 0,42 Md$ | – | 2,84 Md$ (2030) | 46,2 % |
| IMARC Group | 0,47 Md$ | – | 19,17 Md$ (2034) | 49,46 % |
Malgré la dispersion des chiffres, un signal reste constant : tous les cabinets identifient les services financiers et bancaires comme l’une des verticales qui adoptent la cryptographie post-quantique le plus rapidement, aux côtés du secteur public, de la défense et des opérateurs d’infrastructures critiques. Cette dynamique est alimentée par ce que plusieurs analyses qualifient de pression réglementaire, les trois premiers standards NIST finalisés en 2024 ayant débloqué des cycles d’achat qui étaient jusque-là gelés dans l’attente d’une base normative stable.
Pourquoi la finance et pas d’abord le web ou les VPN
On pourrait s’attendre à ce que la migration post-quantique commence par le trafic web ou les VPN d’entreprise, deux usages où le “store now, decrypt later” est déjà bien documenté. C’est en partie le cas : les grands CDN et fournisseurs cloud ont déjà activé des mécanismes hybrides ML-KEM sur une part croissante de leur trafic TLS. Mais la finance a une raison spécifique de s’y intéresser en priorité pour les signatures, pas seulement pour le chiffrement : la durée de vie des engagements. Une signature bancaire sur un contrat, une hypothèque ou un titre de propriété d’actif numérique doit rester vérifiable, et donc infalsifiable, pendant des décennies. Un chiffrement intercepté aujourd’hui peut être décrypté dans dix ans. Une signature falsifiable dans dix ans peut, elle, permettre de réécrire rétroactivement qui possède quoi.
C’est cette spécificité qui explique le choix du pilote NEAR : tester la signature dans un contexte de garde d’actifs à long terme, avec un protocole MPC qui répartit déjà la confiance entre plusieurs parties. Le message implicite envoyé aux régulateurs européens est clair : la technologie fonctionne en conditions proches du réel, reste à savoir combien coûtera son passage à l’échelle sur des volumes de transactions bien plus élevés que ceux d’un testnet.
Les défis techniques que les banques devront résoudre
Le premier obstacle concret est le stockage. Multiplier par 50 la taille d’une signature n’est pas gênant pour une poignée de transactions test, mais devient significatif à l’échelle d’un système de paiement qui traite des dizaines de millions d’opérations quotidiennes. Les bases de données transactionnelles, les journaux d’audit et les systèmes de sauvegarde doivent tous absorber cette croissance, avec un impact direct sur les coûts d’infrastructure.
Le deuxième obstacle concerne le matériel de sécurité. Les modules HSM déployés dans la majorité des salles de marché et des chambres de compensation ont été conçus et certifiés pour des opérations RSA et ECDSA. Les faire évoluer vers ML-DSA suppose des mises à jour firmware, de nouvelles certifications (souvent FIPS 140-3 pour le marché américain, Critères Communs pour l’Europe) et, dans certains cas, un remplacement matériel pur et simple. Ce cycle de certification peut prendre plusieurs années, ce qui explique pourquoi les échéances 2030-2032 fixées par le BSI ne sont pas jugées excessivement prudentes par les équipes de sécurité informatique.
Le troisième obstacle est l’interopérabilité. Un système bancaire ne fonctionne jamais isolément : il échange avec des chambres de compensation, des régulateurs, des partenaires internationaux. Tant que tous les acteurs d’une chaîne de transaction n’ont pas migré vers les mêmes standards post-quantiques, les architectures doivent maintenir des modes hybrides, combinant signature classique et signature post-quantique sur une même transaction. C’est d’ailleurs l’approche retenue par la plupart des déploiements précoces observés en 2025 et 2026, y compris pour le chiffrement TLS chez les grands fournisseurs de cloud.
Comparaison avec les autres initiatives post-quantiques du secteur
Le pilote du Responsible Fintech Institute n’est pas isolé. Il s’inscrit dans un mouvement plus large où les grands fournisseurs d’infrastructure internet ont ouvert la voie sur le chiffrement, avant que la finance ne s’attaque aux signatures. Les CDN et fournisseurs cloud ont déjà basculé une part significative de leur trafic vers des échanges de clés hybrides intégrant ML-KEM, une migration plus simple techniquement puisqu’elle ne touche pas à la structure des registres de propriété ou des contrats de long terme.
Ce qui distingue le pilote NEAR, c’est justement le choix de s’attaquer directement aux signatures dans un contexte de garde d’actifs, plutôt qu’au seul chiffrement du canal de transmission. C’est une étape plus risquée, car une erreur de signature peut invalider un actif entier, alors qu’une faille de chiffrement de transport expose “seulement” des données en transit. Ce choix reflète sans doute une volonté du secteur financier de montrer l’exemple avant que des obligations réglementaires ne l’y contraignent, plutôt que d’attendre une échéance légale pour agir dans l’urgence.
Ce que cela change pour les développeurs et les entreprises européennes
Pour les équipes techniques qui gèrent des infrastructures de paiement, de garde d’actifs ou de signature de documents en Europe, le pilote NEAR sert de cas d’usage de référence, même s’il reste expérimental. Trois recommandations pratiques se dégagent des retours d’expérience 2026 sur ce type de déploiement. D’abord, cartographier précisément où et comment les signatures numériques sont utilisées dans le système d’information, un exercice d’inventaire cryptographique que l’ENISA demande explicitement aux États membres de finaliser avant fin 2026. Ensuite, privilégier des architectures hybrides qui combinent une signature classique (ECDSA ou RSA) avec une signature post-quantique, afin de garder une voie de repli si un bug d’implémentation ML-DSA venait à être découvert. Enfin, budgétiser dès maintenant l’augmentation de stockage et de bande passante liée au passage à des signatures 50 fois plus volumineuses, plutôt que de découvrir ce coût au moment de la mise en production.
Le NIST rappelle d’ailleurs que “NIST expects that the two digital signature standards (ML-DSA and SLH-DSA) and key-encapsulation mechanism standard (ML-KEM) will provide the foundation for most deployments of post-quantum cryptography” (NIST, Post-Quantum Cryptography Project). Pour une entreprise européenne, cela signifie que la question n’est plus de savoir si elle migrera vers ces standards, mais quand et à quel coût, un calcul qui doit désormais intégrer les échéances fixées par le BSI et la feuille de route ENISA.
Cinq prévisions pour la suite
- D’autres consortiums bancaires, probablement européens cette fois, devraient annoncer des pilotes similaires d’ici la fin 2026 ou début 2027, portés par l’échéance de cartographie cryptographique fixée par l’ENISA.
- Les fournisseurs de HSM vont accélérer la certification de modules compatibles ML-DSA et ML-KEM, avec les premières certifications Critères Communs attendues courant 2027.
- Le débat sur la taille des signatures post-quantiques va s’intensifier à mesure que les volumes transactionnels augmentent, avec une pression croissante pour des variantes optimisées ou pour l’adoption plus large de SLH-DSA sur des cas d’usage à faible fréquence de signature.
- Les architectures hybrides (classique plus post-quantique) devraient rester la norme jusqu’en 2030 au moins, le temps que la confiance dans ML-DSA se consolide et que le matériel de sécurité bancaire termine sa mise à niveau.
- De nouvelles failles de recherche, à l’image de l’attaque contre HAWK identifiée avec l’aide de Claude en août 2026, continueront d’apparaître sur des schémas candidats non encore finalisés, sans remettre en cause la solidité de ML-DSA et ML-KEM qui ont, eux, déjà passé le cap de la standardisation officielle.
Foire aux questions
Qu’est-ce que ML-DSA-65 exactement ?
ML-DSA-65 est une variante à sécurité intermédiaire (environ 192 bits) de l’algorithme de signature numérique post-quantique ML-DSA, standardisé par le NIST sous la référence FIPS 204. Il repose sur des problèmes mathématiques liés aux réseaux euclidiens, réputés résistants aux attaques par ordinateur quantique.
Pourquoi une banque a-t-elle besoin d’une signature résistante au quantique dès 2026 ?
Parce que les engagements financiers (contrats, hypothèques, titres de propriété d’actifs) doivent rester vérifiables pendant des décennies. Si un ordinateur quantique suffisamment puissant apparaît avant l’expiration de ces engagements, une signature classique comme ECDSA ou RSA pourrait être falsifiée rétroactivement.
ML-DSA-65 est-il plus lent qu’ECDSA ?
Non, la latence reste du même ordre de grandeur, de l’ordre de dizaines de microsecondes pour signer et vérifier. Le véritable surcoût se situe dans la taille des données : une signature ML-DSA-65 pèse 3 309 octets contre 64 à 72 octets pour ECDSA P-256, soit un facteur d’environ 50.
Quelle est la différence entre ML-DSA, ML-KEM et SLH-DSA ?
ML-DSA et SLH-DSA sont des algorithmes de signature numérique, tandis que ML-KEM sert à l’échange de clés de chiffrement. ML-DSA repose sur des réseaux euclidiens, SLH-DSA sur des fonctions de hachage. Les trois ont été finalisés par le NIST en 2024 sous les références FIPS 204, FIPS 205 et FIPS 203 respectivement.
Quand les entreprises européennes devront-elles avoir migré vers la cryptographie post-quantique ?
Les calendriers varient selon les pays et les secteurs. En Allemagne, le BSI fixe 2030 pour les systèmes à très haute protection, 2031 pour la fin de l’échange de clés classique seul, et 2035 pour la migration complète des signatures. Au niveau européen, l’ENISA demande aux États membres de finaliser leurs inventaires cryptographiques et stratégies de transition initiales d’ici fin 2026.
Le pilote NEAR signifie-t-il que ML-DSA-65 est déjà utilisé en production bancaire ?
Non. Il s’agit d’un test sur testnet, en conditions quasi réelles mais pas en production. L’objectif était de valider la faisabilité technique et d’évaluer l’impact opérationnel avant tout déploiement réel.
La menace quantique est-elle vraiment imminente ?
Les estimations divergent. Google évoque une possible arrivée dès 2029 pour un ordinateur quantique capable de casser RSA-2048, tandis que des guides plus prudents repoussent l’échéance à 2033-2037. Le BSI allemand planifie sur l’hypothèse d’un ordinateur “cryptographiquement pertinent” au début des années 2030. L’incertitude elle-même justifie une migration anticipée, en raison du risque de “store now, decrypt later”.
Qu’est-ce que le risque “store now, decrypt later” ?
C’est le scénario dans lequel un adversaire intercepte et stocke aujourd’hui des données chiffrées avec des algorithmes classiques, dans l’attente de pouvoir les déchiffrer une fois qu’un ordinateur quantique suffisamment puissant existera. Ce risque concerne particulièrement les données financières à durée de vie longue.
