DigiCert a annoncé le 25 septembre 2026 la disponibilité générale de Quantum Central, une plateforme conçue pour répondre à une question que la plupart des directions informatiques ne savent toujours pas résoudre : où se cache la cryptographie vulnérable dans un système d’information, et comment la remplacer avant qu’un ordinateur quantique suffisamment puissant ne la rende inutile. Trois normes du NIST, FIPS 203, FIPS 204 et FIPS 205, servent de socle technique à cette course. Le calendrier fédéral américain fixe pour sa part une échéance à 2030 pour les systèmes les plus sensibles. Entre les deux, un marché entier se structure autour d’un mot que peu d’entreprises maîtrisaient il y a encore deux ans : la crypto-agilité.
Qu’est-ce que DigiCert Quantum Central ?
Quantum Central s’intègre à la plateforme DigiCert ONE et vise un objectif précis : construire un inventaire unique de tous les actifs cryptographiques d’une organisation, qu’ils proviennent de certificats, de terminaux réseau, de bibliothèques logicielles, de coffres-forts de clés ou de dépendances tierces. L’outil agrège ces informations depuis plusieurs sources : DigiCert ONE et Trust Lifecycle Manager, des scans réseau, des systèmes de gestion du cycle de vie des certificats, des fichiers CSV importés, ainsi que des nomenclatures logicielles et cryptographiques, les fameux SBOM et CBOM, selon le communiqué officiel de DigiCert.
Une fois cet inventaire constitué, la plateforme identifie les protocoles, versions, suites de chiffrement, algorithmes et longueurs de clés utilisés, afin de repérer ce qui est faible, obsolète, non conforme ou exposé à une future attaque quantique. Le produit ne remplace pas lui-même les certificats ou les bibliothèques défaillantes. Il joue le rôle d’une couche de gouvernance qui priorise les actions et les assigne à des responsables, notamment via une intégration avec Jira.
De la préversion de juillet à la disponibilité générale du 25 septembre
DigiCert avait présenté Quantum Central en préversion gratuite le 1er juillet 2026. Cette première version se limitait à la découverte des actifs, à la priorisation des remédiations et au suivi d’un niveau de préparation post-quantique, accompagnés de ressources pédagogiques. La version disponible depuis le 25 septembre élargit sensiblement le périmètre du produit : consolidation multi-source de l’inventaire, définition de politiques d’entreprise, détection des violations de ces politiques, flux de remédiation avec attribution de propriétaires, suivi de la progression et tableaux de bord centralisés.
Kevin Hilscher, directeur senior de la gestion produit chez DigiCert, résume la logique du lancement en une phrase directe : “Quantum readiness starts with visibility”, ce qui signifie que la préparation quantique commence par la visibilité, selon le communiqué du 1er juillet 2026. Il ajoute, dans le même texte : “Organizations know the risk, but most don’t know where their cryptography lives or how to begin migrating.” Autrement dit, la plupart des organisations connaissent le risque sans savoir où vit réellement leur cryptographie ni par où commencer une migration.
La disponibilité générale a été accompagnée d’un plan d’abonnement baptisé Essentials. DigiCert ne publie aucun tarif précis pour ce plan ni pour les options entreprise : la société oriente les prospects vers une démonstration, un essai gratuit ou un contact commercial direct. Aucun prix par certificat, par poste ou par volume de scan n’a été communiqué publiquement à ce stade.
Comment fonctionne la découverte des actifs cryptographiques
Le problème que Quantum Central tente de résoudre tient en une observation simple : la cryptographie d’une entreprise moyenne est dispersée entre des dizaines de systèmes qui ne se parlent pas. Un certificat TLS géré par une équipe réseau, une clé de signature de code utilisée par une chaîne CI/CD, une bibliothèque cryptographique embarquée dans un objet connecté et un algorithme de hachage figé dans une base de données historique ne remontent jamais vers un inventaire commun sans outillage dédié.
Quantum Central normalise ces sources hétérogènes pour produire une vue unique de la posture cryptographique. Concrètement, l’outil peut détecter qu’un serveur utilise encore RSA-1024, qu’une application dépend d’une bibliothèque figée depuis plusieurs années, ou qu’un composant connecté n’a jamais reçu de mise à jour de ses paramètres TLS. Cette étape de découverte précède toute action de remédiation, un peu comme un audit de stock précède un plan de réapprovisionnement.
La crypto-agilité, un concept devenu stratégique en 2026
La crypto-agilité désigne la capacité d’un système à remplacer ses algorithmes, ses clés, ses certificats et ses protocoles sans devoir reconstruire l’architecture entière. Ce concept, longtemps cantonné aux cercles académiques et aux équipes cryptographiques spécialisées, s’est imposé en 2026 comme un critère d’achat pour les directions de la sécurité. La raison est simple : les algorithmes post-quantiques changeront probablement plusieurs fois avant de se stabiliser, et les organisations qui ont câblé leurs systèmes autour d’un algorithme unique devront tout reconstruire à chaque évolution.
Politiques, priorisation et flux de remédiation
Dans Quantum Central, la crypto-agilité se traduit par une couche fonctionnelle précise : établir des standards internes, évaluer chaque actif au regard de ces standards, repérer les violations, prioriser les corrections selon leur criticité, puis créer des tickets de remédiation assignés à des équipes. Amit Sinha, directeur général de DigiCert, décrit l’outil comme un point de départ concret : “Quantum Central gives organizations a practical starting point to discover cryptographic assets, assess exposure, prioritize remediation, and build a measurable roadmap toward post-quantum readiness”, a-t-il écrit dans une publication LinkedIn datée du 1er juillet 2026. Il y ajoute simplement : “That’s why I’m excited to announce DigiCert Quantum Central.”
L’intégration avec les outils existants
DigiCert insiste sur le fait que Quantum Central ne prétend pas remplacer les systèmes de gestion de clés, les autorités de certification ou les modules matériels de sécurité déjà en place. L’outil se positionne en couche de coordination au-dessus de cet existant, avec des connecteurs vers les tickets Jira pour transformer un constat de vulnérabilité en tâche assignée et suivie dans le temps.
FIPS 203, 204, 205 : les trois normes qui redéfinissent la cryptographie
Le NIST a finalisé en août 2024 ses trois premières normes de cryptographie post-quantique, après huit ans de compétition entre équipes de recherche du monde entier. FIPS 203 spécifie ML-KEM, dérivé de CRYSTALS-Kyber, pour l’établissement de clés partagées. FIPS 204 spécifie ML-DSA, dérivé de CRYSTALS-Dilithium, pour les signatures numériques à usage général. FIPS 205 spécifie SLH-DSA, dérivé de SPHINCS+, une signature fondée sur des fonctions de hachage plutôt que sur des réseaux euclidiens, ce qui lui confère une base de sécurité différente et complémentaire.
Ces trois normes, consultables sur le site du NIST pour FIPS 203, FIPS 204 et FIPS 205, ne suffisent pas à elles seules à sécuriser une organisation. Elles définissent des algorithmes, pas des méthodes de déploiement. C’est précisément l’écart entre la norme publiée et sa mise en œuvre opérationnelle que des outils comme Quantum Central cherchent à combler.
Le compte à rebours réglementaire : l’Executive Order 14412 et l’échéance 2030
Aux États-Unis, l’Executive Order 14412, signé le 22 juin 2026, fixe au 31 décembre 2030 la date limite pour que les agences fédérales migrent leurs systèmes les plus sensibles vers un chiffrement post-quantique. Une seconde échéance, au 31 décembre 2031, concerne spécifiquement l’authentification post-quantique, ce qui touche directement les infrastructures de signature numérique et de gestion d’identité. Le texte impose aux agences de recenser leurs actifs à haute valeur et leurs systèmes à fort impact, de planifier leur migration, puis de soumettre ces plans à l’Office of Management and Budget ainsi qu’au National Cyber Director.
Le 22 septembre 2026, Quantum Xchange et Carahsoft Technology ont annoncé un partenariat pour distribuer la plateforme Phio TX dans le secteur public américain via le réseau de revendeurs gouvernementaux de Carahsoft. Les deux sociétés indiquent que Phio TX prend en charge la cryptographie post-quantique, la distribution quantique de clés et le chiffrement conventionnel sous une politique unifiée, avec une conformité visée aux normes FIPS 140-3 et FIPS 203. Ce partenariat est explicitement rattaché aux obligations de migration issues de l’Executive Order 14412 et du mémorandum M-26-15 de l’OMB.
En Europe, la pression réglementaire suit une trajectoire différente mais tout aussi contraignante, portée notamment par les travaux de l’ENISA sur la cryptographie. Les entreprises qui vendent aux administrations américaines et européennes se retrouvent donc à devoir répondre à deux calendriers réglementaires simultanés, ce qui explique en partie l’empressement de DigiCert à sortir Quantum Central de sa phase de préversion.
Comparatif : DigiCert face à Venafi, Keyfactor et IBM Quantum Safe
Le marché de la crypto-agilité et de la découverte cryptographique regroupe des acteurs aux positionnements différents. Certains, comme DigiCert, IBM ou Keyfactor, construisent des couches d’inventaire et de gouvernance. D’autres, comme Thales, Utimaco ou Entrust, opèrent plutôt la couche d’exécution : modules matériels de sécurité, gestion de clés, infrastructures à clés publiques. Aucune donnée publique fiable ne permet aujourd’hui de comparer les parts de marché ou les tarifs exacts de ces éditeurs, ce qui reflète un marché encore jeune et peu transparent sur les prix.
| Éditeur / produit | Capacité principale | Position sur la découverte crypto | Position post-quantique | Tarification publique |
|---|---|---|---|---|
| DigiCert Quantum Central | Inventaire, politiques, remédiation | Multi-source (scans, SBOM, CBOM, CSV) | Planification et suivi de la migration PQC | Essai gratuit, plan Essentials, prix non public |
| Venafi (CyberArk) | Gestion des identités machines | Forte sur certificats et identités | Dépend de l’intégration et de la version | Devis entreprise, prix non public |
| Keyfactor | PKI et cycle de vie des certificats | Forte sur visibilité et automatisation | Planification PQC liée à l’automatisation PKI | Devis entreprise, prix non public |
| IBM Quantum Safe | Évaluation et conseil en transformation | Cartographie des dépendances cryptographiques | Forte orientation évaluation et migration | Devis entreprise, prix non public |
| Thales CipherTrust | Gestion des clés et HSM | Centrée sur la donnée et les clés | Pertinente pour la couche d’exécution PQC | Devis entreprise, prix non public |
| Utimaco | Modules matériels de sécurité (HSM) | Orientée infrastructure, pas inventaire global | Implémentation matérielle des algorithmes PQC | Devis entreprise, prix non public |
| Entrust | PKI, HSM et gestion d’identité | Bonne couverture du cycle de vie des certificats | Guidance de transition et composants PQC | Devis entreprise, prix non public |
DigiCert contre Venafi (CyberArk) : inventaire contre identité machine
Venafi, racheté par CyberArk, s’est historiquement construit autour de la gestion des identités machines et du cycle de vie des certificats. Pour une entreprise dont le problème principal reste des certificats non suivis ou expirés sans préavis, cette approche demeure opérationnellement centrale. DigiCert Quantum Central vise un périmètre plus large : un inventaire croisant scans réseau, nomenclatures logicielles, coffres de clés et politiques de remédiation, pensé spécifiquement autour de la trajectoire post-quantique plutôt que de la seule gestion des certificats.
DigiCert contre Thales, Utimaco et Entrust : la couche d’exécution
Thales, Utimaco et Entrust interviennent surtout là où la migration post-quantique exige de modifier des modules matériels de sécurité, des systèmes de gestion de clés ou des infrastructures de signature. Ces éditeurs occupent la couche d’exécution et de protection matérielle des clés, tandis que Quantum Central se concentre sur la découverte, la politique et le suivi de la migration. Les deux approches sont complémentaires plutôt que directement concurrentes : un inventaire ne remplace pas un HSM, et un HSM ne remplace pas un inventaire.
Pourquoi le marché de la crypto-agilité s’emballe en 2026
Trois forces convergent pour pousser les entreprises vers des plateformes comme Quantum Central. La première est réglementaire, avec l’Executive Order 14412 côté américain et les initiatives portées par l’ENISA côté européen. La deuxième est technique : les normes FIPS 203, 204 et 205 sont désormais finalisées depuis août 2024, ce qui retire l’excuse de l’attente d’une norme stable. La troisième est le risque dit “harvest now, decrypt later”, qui consiste pour un adversaire à collecter aujourd’hui des données chiffrées dans l’attente de pouvoir les déchiffrer une fois un ordinateur quantique suffisamment puissant disponible.
Il faut cependant nuancer l’urgence affichée par les fournisseurs. Aucune preuve publique ne démontre à ce jour qu’un ordinateur quantique a cassé un système de chiffrement à clé publique déployé en production. Le risque reste préventif et concerne surtout les données dont la confidentialité doit être garantie pendant de longues années, typiques des secteurs financier, gouvernemental et de la santé. Cette distinction entre menace théorique et menace démontrée mérite d’être gardée à l’esprit face au discours commercial qui entoure ces lancements.
Contexte historique : huit ans de course à la normalisation post-quantique
Le NIST a lancé son projet de standardisation post-quantique en 2016, en réponse à des recherches théoriques montrant que les algorithmes à clé publique alors en usage, RSA et les courbes elliptiques en tête, deviendraient vulnérables face à un ordinateur quantique de taille suffisante exécutant l’algorithme de Shor. En 2022, le NIST a annoncé les premiers algorithmes retenus : Kyber, Dilithium, Falcon et SPHINCS+. Deux ans plus tard, en août 2024, ces travaux ont abouti aux normes finales FIPS 203, 204 et 205.
Entre 2025 et 2026, l’essentiel de l’activité du secteur a basculé de la sélection d’algorithmes vers des problèmes beaucoup plus concrets : cartographier les dépendances cryptographiques existantes, tester des déploiements hybrides combinant algorithmes classiques et post-quantiques, adapter les chaînes d’approvisionnement logicielles et matérielles, puis organiser la gouvernance de la migration elle-même. Quantum Central s’inscrit exactement dans ce basculement, huit ans après le lancement du projet initial du NIST.
Les secteurs les plus exposés au risque “harvest now, decrypt later”
Tous les secteurs ne sont pas exposés de la même manière à une migration tardive. Les organisations qui manipulent des données devant rester confidentielles pendant des décennies, ou qui gèrent des parcs d’équipements aux cycles de vie très longs, portent le risque le plus élevé. Le tableau ci-dessous synthétise cette exposition sectorielle telle qu’elle ressort des analyses de risque publiées par les éditeurs de sécurité en 2026.
| Secteur | Niveau de risque | Raison principale |
|---|---|---|
| Services financiers et assurance | Élevé | Données sensibles à conserver des décennies, PKI étendue, forte pression réglementaire |
| Gouvernement et défense | Élevé | Informations classifiées, mandats PQC directs (Executive Order 14412) |
| Santé et sciences de la vie | Élevé | Données médicales et génomiques à longue durée de vie, dispositifs médicaux complexes |
| Télécommunications | Moyen à élevé | Infrastructures de certificats, d’identité et de signalisation à grande échelle |
| Énergie et infrastructures critiques | Moyen à élevé | Technologies opérationnelles aux cycles de remplacement très longs |
| Automobile et industrie | Moyen | Cryptographie embarquée sur des équipements à longue durée de vie |
| Technologie et cloud | Moyen | Volumes massifs de certificats, de clés et de dépendances logicielles |
Cette hiérarchie reste une évaluation de risque sectoriel et non une statistique d’adoption vérifiée : aucune enquête publique de type Gartner, Ponemon ou ISACA n’a livré en 2026 un pourcentage fiable d’entreprises n’ayant pas encore entamé leur migration post-quantique, tous secteurs confondus.
Un exemple de politique de classification cryptographique
Pour illustrer concrètement ce que signifie une politique de crypto-agilité, voici un exemple simplifié de règle qu’une équipe sécurité pourrait définir pour classer un actif comme non conforme dans un outil de découverte cryptographique :
{
"regle": "cle_rsa_faible",
"condition": {
"algorithme": "RSA",
"taille_cle_bits": { "inferieur_a": 2048 }
},
"statut": "non_conforme",
"priorite": "critique",
"action": "creer_ticket_remediation",
"echeance_jours": 30
}Ce type de règle, une fois appliqué à l’ensemble d’un inventaire cryptographique, permet de transformer un audit ponctuel en processus continu, ce qui constitue précisément la promesse de fond des plateformes de crypto-agilité comme Quantum Central.
Impact en France et en Europe : ANSSI, ENISA et le calendrier de conformité
En France, l’ANSSI pousse depuis plusieurs mois les grandes organisations à intégrer la cryptographie post-quantique dans leurs feuilles de route de sécurité, avec une trajectoire de durcissement progressif des exigences attendue sur les prochaines années. Au niveau européen, l’ENISA documente les recommandations de migration et les risques associés à un retard de mise en œuvre. Le calendrier américain fixé par l’Executive Order 14412 n’a pas de force juridique directe en Europe, mais il exerce une pression indirecte sur les entreprises européennes qui vendent aux administrations américaines ou qui dépendent de fournisseurs soumis à ce mandat.
Pour les entreprises françaises et européennes, l’enjeu de Quantum Central et de ses concurrents dépasse la seule conformité américaine. Le RGPD impose déjà une obligation de sécurité adaptée au risque pour les données personnelles, une obligation que les autorités de contrôle pourraient, à terme, interpréter à la lumière du risque de déchiffrement différé. Aucune sanction RGPD n’a cependant été motivée à ce jour par un défaut de préparation post-quantique.
Les limites de Quantum Central : ce qu’il ne résout pas encore
Plusieurs zones d’ombre entourent le lancement de Quantum Central. DigiCert ne communique aucun chiffre d’adoption, aucun nom de client, aucune part de marché comparative et aucun tarif précis au-delà de la mention d’un plan Essentials et d’un essai gratuit. Aucune donnée publique ne permet non plus de confirmer qu’un incident de sécurité survenu en 2026 aurait été directement causé par un manque de crypto-agilité : la plupart des incidents cryptographiques documentés cette année restent liés à des vols de clés, des certificats mal gérés ou des failles d’implémentation, pas à une attaque quantique démontrée.
Sur le plan produit, Quantum Central reste avant tout une couche de gouvernance et de suivi. L’outil ne remplace pas les certificats vulnérables, ne migre pas automatiquement les bibliothèques logicielles et ne remplace pas les modules matériels de sécurité. Les entreprises qui l’adoptent devront combiner cet inventaire avec des outils d’exécution, qu’ils viennent de DigiCert lui-même ou de tiers comme Thales, Utimaco ou Entrust.
Prévisions : ce qui va changer d’ici 2027-2030
- D’autres autorités de certification et éditeurs de PKI, à l’image de Keyfactor et Entrust, devraient annoncer leurs propres modules d’inventaire cryptographique dédiés au post-quantique d’ici 2027, poussés par la même échéance réglementaire américaine.
- Les intégrations entre outils de découverte cryptographique et systèmes de tickets, Jira en tête, vont se généraliser, transformant la conformité post-quantique en processus continu plutôt qu’en projet ponctuel.
- La pression du calendrier fédéral américain de 2030-2031 devrait pousser des fournisseurs cloud et des grands intégrateurs à proposer des offres packagées associant découverte, HSM et migration, réduisant le besoin pour les entreprises de choisir entre plusieurs éditeurs.
- En Europe, l’ANSSI et l’ENISA devraient préciser davantage leurs propres jalons de conformité post-quantique, ce qui accroîtra la demande pour des outils d’inventaire indépendants des seuls mandats américains.
- Le débat sur la tarification de ces plateformes devrait s’intensifier à mesure que les entreprises comparent le coût d’un inventaire cryptographique à celui, plus classique, d’un scanner de vulnérabilités logicielles.
Foire aux questions
Qu’est-ce que la crypto-agilité en termes simples ?
La crypto-agilité désigne la capacité d’un système informatique à changer d’algorithme cryptographique, de clé ou de certificat sans devoir reconstruire l’ensemble de l’architecture. C’est l’inverse d’un système figé où un seul algorithme est câblé en dur dans le code ou le matériel.
DigiCert Quantum Central est-il gratuit ?
DigiCert propose un essai gratuit et un plan d’abonnement baptisé Essentials pour la version disponible depuis le 25 septembre 2026. Aucun tarif précis n’est publié pour les déploiements en entreprise, DigiCert orientant les prospects vers une démonstration ou un contact commercial.
Quelle est la différence entre FIPS 203, FIPS 204 et FIPS 205 ?
FIPS 203 spécifie ML-KEM pour l’établissement de clés de chiffrement. FIPS 204 spécifie ML-DSA pour les signatures numériques générales. FIPS 205 spécifie SLH-DSA, une signature fondée sur des fonctions de hachage, offrant une base de sécurité distincte des deux premières normes fondées sur les réseaux euclidiens.
Les entreprises françaises sont-elles concernées par l’Executive Order 14412 ?
L’Executive Order 14412 ne s’applique juridiquement qu’aux agences fédérales américaines. Les entreprises françaises et européennes qui travaillent avec ces agences, ou dont les fournisseurs y sont soumis, subissent néanmoins une pression indirecte pour aligner leurs propres pratiques cryptographiques sur ce calendrier.
Un ordinateur quantique a-t-il déjà cassé un chiffrement utilisé en production ?
Non. Aucune preuve publique ne démontre qu’un ordinateur quantique a cassé un système de chiffrement à clé publique déployé en production en 2026. Le risque principal reste préventif, connu sous le nom de “harvest now, decrypt later”, où des données chiffrées aujourd’hui pourraient être déchiffrées plus tard.
Quels sont les principaux concurrents de DigiCert Quantum Central ?
Les acteurs les plus souvent cités sur le segment de la découverte et de la gouvernance cryptographique sont Venafi, racheté par CyberArk, Keyfactor et IBM Quantum Safe. Sur la couche d’exécution matérielle et de gestion de clés, Thales, Utimaco et Entrust restent des références.
Faut-il déjà migrer vers la cryptographie post-quantique en 2026 ?
Pour les organisations qui traitent des données devant rester confidentielles pendant de longues années, comme la santé, la finance ou la défense, entamer dès 2026 un inventaire cryptographique et une planification de migration est recommandé par les principaux éditeurs du secteur et cohérent avec les échéances réglementaires déjà fixées aux États-Unis.
