Le 7 octobre 2026, Europol a publié deux rapports qui changent la nature du débat sur la cryptographie post-quantique en Europe. Jusqu’ici, la menace quantique restait un sujet pour cryptographes et architectes de sécurité. Désormais, l’agence européenne de police la présente comme un risque opérationnel immédiat pour les portefeuilles de cryptomonnaies et pour toute donnée chiffrée aujourd’hui mais destinée à rester confidentielle pendant des années. Le concept au centre de cette alerte porte un nom : le “harvest now, decrypt later” (récolter maintenant, déchiffrer plus tard). Il décrit une stratégie d’attaque où des données chiffrées sont interceptées et stockées dès aujourd’hui, dans l’attente qu’un ordinateur quantique suffisamment puissant permette de les déchiffrer demain.
Cette alerte arrive à un moment charnière. Les normes techniques censées répondre à cette menace viennent, elles, tout juste de sortir : trois RFC publiées entre juin et août 2026 posent enfin un cadre hybride pour TLS 1.3 et pour OpenPGP. Entre le calendrier politique, fixé à 2030 pour les ministères français, et le calendrier technique, qui commence seulement à produire des standards utilisables, l’écart se resserre mais reste large. C’est ce double mouvement, politique et technique, que ce dossier analyse en détail.
Qu’est-ce que le “harvest now, decrypt later” ?
Le principe n’a rien de théorique. Un attaquant capable d’intercepter du trafic chiffré, que ce soit par écoute d’un câble sous-marin, par compromission d’un fournisseur cloud ou par simple archivage de bases de données volées, n’a pas besoin de casser le chiffrement tout de suite. Il lui suffit de conserver la donnée brute. Le jour où un calculateur quantique suffisamment puissant existera, cette donnée stockée pourra être rouverte. Pour des secrets à courte durée de vie, comme un mot de passe à usage unique, le risque est nul. Pour des secrets à longue durée de vie, comme des données médicales, des plans industriels, des communications diplomatiques ou des clés privées de portefeuilles de cryptomonnaies, le risque devient très concret.
Europol insiste précisément sur ce point dans ses deux rapports du 7 octobre 2026 : les ordinateurs quantiques futurs pourraient exposer les portefeuilles d’actifs numériques et déchiffrer des informations interceptées des années auparavant. L’agence identifie explicitement le harvest now, decrypt later comme un vecteur de risque à part entière, distinct des attaques classiques qui nécessitent un déchiffrement immédiat.
Les deux rapports d’Europol du 7 octobre 2026
Les deux rapports publiés par Europol poursuivent un objectif commun : pousser les organisations, les décideurs publics et l’industrie des cryptomonnaies à commencer leur préparation dès maintenant, plutôt que d’attendre une rupture technologique annoncée. Le texte officiel, disponible sur le site d’Europol, consultable directement auprès de l’agence, détaille une série de recommandations concrètes plutôt qu’un simple avertissement général.
Premier axe : l’inventaire. Europol recommande aux organisations d’identifier et de prioriser leurs actifs numériques selon leur niveau de sensibilité et leur durée de vie attendue. Une clé privée de portefeuille crypto qui doit rester valide pendant quinze ans n’a pas le même profil de risque qu’une session web qui expire en quelques minutes. Deuxième axe : la migration planifiée vers des algorithmes conçus pour résister à la fois aux attaques classiques et aux attaques quantiques. Troisième axe : l’interopérabilité, c’est-à-dire la capacité à faire coexister les nouveaux algorithmes avec l’infrastructure cryptographique existante, sans rupture brutale de service.
Le rapport détaillé par postquantum.com, qui a analysé le contenu des deux publications dès leur sortie, souligne que l’agence pousse en particulier les détenteurs d’actifs numériques, les gestionnaires d’infrastructure et les utilisateurs finaux à tester des systèmes résistants au quantique dès maintenant, sans attendre une bascule complète de l’infrastructure à clé publique actuelle.
Pourquoi les cryptomonnaies sont en première ligne
Les portefeuilles de cryptomonnaies occupent une place particulière dans l’alerte d’Europol, et pour une raison structurelle simple : une adresse Bitcoin ou Ethereum repose sur une clé publique dérivée d’une courbe elliptique, visible sur la blockchain pour quiconque veut la consulter. Contrairement à un flux TLS chiffré qu’il faut intercepter activement, la clé publique d’un portefeuille est déjà exposée publiquement et de façon permanente, gravée dans un registre immuable. Un attaquant n’a donc rien à “récolter” : la donnée est déjà là, accessible à tous, en attente d’un outil de calcul suffisamment puissant pour en dériver la clé privée correspondante.
Ce raisonnement avait déjà été au centre d’une alerte distincte d’Europol sur la pause opérationnelle du réseau Bitcoin qu’exigerait une transition quantique, que Shattered.io avait détaillée. Les deux publications de l’agence se complètent : l’une porte sur la résilience du réseau lui-même face à un saut technologique soudain, l’autre, plus récente, porte sur la vulnérabilité silencieuse des données déjà exposées ou déjà interceptées, cryptomonnaies comprises.
Les données gouvernementales et d’entreprise face au même risque
Le harvest now, decrypt later ne se limite pas à la finance décentralisée. Les communications diplomatiques, les dossiers médicaux, les secrets industriels ou les échanges juridiques partagent une même caractéristique : leur valeur de confidentialité se mesure parfois en décennies. Une négociation commerciale interceptée aujourd’hui et déchiffrée dans quinze ans peut encore nuire à l’entreprise concernée. Un dossier médical chiffré aujourd’hui doit en théorie rester protégé toute la vie du patient.
C’est cette logique de durée de vie des secrets qui structure toute la démarche recommandée par Europol. L’agence ne demande pas une migration universelle immédiate, ce qui serait irréaliste à l’échelle de millions de systèmes, mais une hiérarchisation : migrer en priorité ce qui doit rester secret longtemps, et accepter un calendrier plus souple pour ce qui a une durée de vie courte.
La France et l’échéance 2030 pour les ministères
Sur le plan national, la France illustre concrètement cette approche par paliers. Selon les informations rapportées par BankInfoSecurity, les ministères français devront déployer un chiffrement post-quantique pour leurs systèmes traitant des informations sensibles d’ici la fin de l’année 2030. Passé cette échéance, seuls des produits de chiffrement capables de résister à une attaque quantique pourront être utilisés par ces administrations.
Ce calendrier fait écho à la trajectoire déjà engagée par l’ANSSI, que Shattered.io a suivie à travers l’obligation progressive de cryptographie post-quantique pour certains usages sensibles dès 2027. L’échéance 2030 pour l’ensemble des ministères s’inscrit dans la continuité de cette feuille de route, sans pour autant s’y substituer : il s’agit d’un palier supplémentaire, plus large, qui concerne cette fois l’intégralité des systèmes sensibles de l’État plutôt qu’un périmètre restreint de cas d’usage critiques.
Désactiver TLS 1.0 et TLS 1.1, une recommandation immédiate
Au-delà du calendrier de long terme, Europol formule aussi des recommandations à appliquer dès maintenant, sans attendre la disponibilité complète des algorithmes post-quantiques. La première consiste à désactiver purement et simplement TLS 1.0 et TLS 1.1, deux versions du protocole encore actives sur une partie non négligeable des systèmes legacy en Europe. Ces versions anciennes ne bénéficient d’aucune des protections apportées par TLS 1.3 et constituent, selon l’agence, une surface d’attaque disproportionnée par rapport à leur usage résiduel.
La deuxième recommandation immédiate porte sur la confidentialité persistante, ou forward secrecy : un mécanisme qui garantit qu’une clé de session compromise ne permet pas de déchiffrer les communications passées. Associée à une politique stricte de limitation de la durée de conservation des données chiffrées, cette mesure réduit directement la valeur d’un texte chiffré intercepté, puisqu’il devient inutile de le conserver longtemps si son contenu expire ou si sa clé ne sert qu’une fois.
RFC 9954 et RFC 10024 : la bascule de TLS 1.3 vers l’hybride
Sur le plan technique, l’année 2026 a produit les deux premières briques normatives qui permettent de répondre concrètement à la troisième recommandation d’Europol : piloter l’échange de clés hybride post-quantique plutôt que d’attendre un remplacement complet de l’infrastructure à clé publique actuelle. La RFC 9954, publiée en juillet 2026, définit la conception générale d’un échange de clés hybride pour TLS 1.3, c’est-à-dire un mécanisme qui combine un algorithme classique, comme X25519, avec un algorithme post-quantique, comme ML-KEM, au sein d’une seule négociation de clé.
Un mois plus tard, en août 2026, la RFC 10024 est venue préciser cette architecture en définissant des groupes hybrides concrets pour TLS 1.3, dont le plus notable porte le nom de X25519MLKEM768. Ce nom composite résume la logique de la transition en cours : il ne s’agit pas de remplacer un algorithme par un autre du jour au lendemain, mais de superposer les deux, afin que la sécurité globale de la connexion dépende de la résistance du plus robuste des deux composants, et non du plus faible.
# Illustration du principe d'un groupe hybride dans une négociation TLS 1.3
# (extension supported_groups côté client, à titre pédagogique)
supported_groups:
- x25519 # algorithme classique, référence historique
- X25519MLKEM768 # groupe hybride défini par la RFC 10024
- secp256r1 # repli classique si l'hybride n'est pas supportéCette approche hybride avait déjà commencé à transformer le paysage TLS avant même ces deux RFC, comme Shattered.io l’avait documenté à travers la progression de ML-KEM face à RSA et ECDH dans les déploiements TLS 1.3. Les RFC 9954 et 10024 viennent désormais donner un cadre normatif stable à cette progression, condition nécessaire pour que les éditeurs de serveurs web, de navigateurs et de bibliothèques cryptographiques l’implémentent de façon cohérente plutôt que par des variantes propriétaires incompatibles entre elles.
RFC 9980 et l’arrivée du post-quantique dans OpenPGP
Le protocole TLS n’est pas le seul concerné. En juin 2026, la RFC 9980 a introduit un schéma composite pour OpenPGP, le format de chiffrement historiquement utilisé pour sécuriser le courrier électronique et la signature de fichiers. Ce schéma combine ML-KEM-768 avec X25519 pour le chiffrement, et ML-DSA-65 avec Ed25519 pour la signature. Là encore, la logique hybride prévaut : chaque message bénéficie à la fois d’un algorithme classique éprouvé et d’un algorithme post-quantique encore jeune, plutôt que de dépendre d’un seul des deux.
Trois mois plus tard, en septembre 2026, GnuPG, l’implémentation open source la plus utilisée du standard OpenPGP, a ajouté un mode optionnel permettant d’expérimenter concrètement ce nouveau standard post-quantique avant toute obligation réglementaire. Ce choix d’un mode facultatif plutôt que d’une activation forcée correspond à une philosophie de transition progressive : les utilisateurs et les organisations peuvent tester la compatibilité, mesurer l’impact sur la taille des clés et des signatures, et remonter des problèmes, sans que l’écosystème entier bascule d’un coup.
Les recommandations convergentes de la communauté cryptographique
Cette approche hybride progressive trouve un écho dans les recommandations publiées par des figures reconnues du secteur. Selon la synthèse publiée le 13 octobre 2026 par Cyberverso, le cryptographe Filippo Valsorda a mis à jour son référentiel “Cryptographic Right Answers” avec une édition post-quantique, recommandant la combinaison X25519 et ML-KEM-768, l’algorithme de signature ML-DSA-44, l’usage exclusif de TLS 1.3, et l’objectif de boucler la transition d’ici 2029. Cette recommandation, bien qu’émanant d’un acteur individuel plutôt que d’un organisme de normalisation, illustre à quel point le consensus technique autour de l’hybridation s’est renforcé au cours de l’année 2026.
Tableau comparatif : les nouvelles normes hybrides post-quantiques de 2026
Le tableau ci-dessous résume les principales publications normatives de l’année 2026 qui donnent corps à la stratégie de migration hybride recommandée par Europol.
| Norme ou outil | Date de publication | Couche visée | Combinaison d’algorithmes |
|---|---|---|---|
| RFC 9954 | Juillet 2026 | TLS 1.3 (échange de clés) | Conception générale de l’hybridation classique + post-quantique |
| RFC 10024 | Août 2026 | TLS 1.3 (échange de clés) | Groupes hybrides, dont X25519MLKEM768 |
| RFC 9980 | Juin 2026 | OpenPGP (chiffrement et signature) | ML-KEM-768 + X25519 (chiffrement), ML-DSA-65 + Ed25519 (signature) |
| GnuPG, mode optionnel | Septembre 2026 | OpenPGP (implémentation pratique) | Support expérimental de la RFC 9980 avant obligation |
Impact sur le marché : qui doit payer la migration
La publication de normes stables ne résout qu’une partie du problème. Reste la question du coût et de la charge opérationnelle de la migration elle-même. Pour les fournisseurs d’infrastructure cloud et les opérateurs de télécommunications, l’enjeu porte sur la capacité à faire coexister, pendant plusieurs années, des millions de connexions encore négociées en classique pur avec un nombre croissant de connexions hybrides, sans dégrader les performances ni la compatibilité avec des clients anciens.
Pour les éditeurs de logiciels de messagerie et de signature électronique, le défi est différent : il s’agit d’intégrer un format OpenPGP dont les clés et les signatures occupent davantage d’espace que leurs équivalents classiques, ce qui implique des choix de compatibilité avec des clients plus anciens qui ne sauront pas interpréter les nouveaux formats composites. Pour les gestionnaires de portefeuilles de cryptomonnaies, enfin, l’équation est la plus complexe : une migration de la signature des transactions nécessite un consensus de l’ensemble du réseau concerné, un processus qui peut prendre des années pour des chaînes aussi établies que Bitcoin ou Ethereum.
C’est précisément ce goulot d’étranglement qu’avait souligné l’alerte distincte d’Europol sur Bitcoin, évoquant une pause opérationnelle du réseau de plusieurs semaines en cas de transition d’urgence vers une signature post-quantique. Le rapport d’octobre 2026, lui, déplace le centre de gravité : il ne s’agit plus seulement de la résistance du protocole en cas de rupture soudaine, mais de la vulnérabilité silencieuse de tout ce qui est déjà exposé ou déjà intercepté.
Comparatif des recommandations Europol face à l’état actuel du terrain
Le tableau suivant met en regard chaque recommandation formulée par Europol dans ses rapports du 7 octobre 2026 avec l’état d’avancement constaté sur le terrain et l’échéance associée lorsqu’elle est connue.
| Recommandation d’Europol | État constaté | Échéance |
|---|---|---|
| Désactiver TLS 1.0 et TLS 1.1 | Encore actifs sur une partie des systèmes legacy | Immédiate |
| Imposer la confidentialité persistante (forward secrecy) | Déploiement partiel selon les secteurs | Immédiate |
| Limiter la durée de conservation des données chiffrées | Pratiques très variables selon les organisations | Immédiate |
| Piloter l’échange de clés hybride post-quantique | Normes publiées (RFC 9954, RFC 10024), adoption en cours | 2026-2029 |
| Migrer les systèmes sensibles des ministères français | Feuille de route ANSSI déjà engagée pour les cas critiques | Fin 2030 |
| Adopter un format OpenPGP post-quantique | Mode optionnel disponible depuis GnuPG, non obligatoire | Depuis septembre 2026 |
Contexte historique : d’une menace théorique à une urgence opérationnelle
Le concept de harvest now, decrypt later n’est pas né en 2026. Des agences de renseignement occidentales évoquaient déjà ce scénario il y a plusieurs années, bien avant que des standards post-quantiques exploitables n’existent. Ce qui change avec les deux rapports d’Europol, c’est le passage d’un avertissement générique, porté principalement par des chercheurs et des agences de cybersécurité nationales, à une alerte portée par une agence de police transnationale directement confrontée aux conséquences concrètes de la cybercriminalité, qu’elle touche des États, des entreprises ou des détenteurs de cryptomonnaies.
Ce basculement s’inscrit dans une séquence plus large de décisions normatives et réglementaires en Europe au cours de l’année 2026. La trajectoire engagée par l’ANSSI en France, la feuille de route fixée par l’Union européenne, documentée par Shattered.io à travers l’échéance imposée par l’UE à l’ensemble des États membres, et désormais l’alerte d’Europol, dessinent une même direction : la cryptographie post-quantique n’est plus traitée comme un sujet de recherche à horizon lointain, mais comme un chantier d’infrastructure à mener dans les prochaines années, avec des jalons précis et des sanctions implicites pour les retardataires.
Analyse : un décalage persistant entre calendrier politique et calendrier technique
Le point le plus frappant de cette séquence reste la proximité des dates. Les trois RFC qui donnent enfin un cadre technique stable à la migration hybride ont été publiées entre juin et août 2026, soit à peine deux à quatre mois avant l’alerte d’Europol. Le mode optionnel de GnuPG, premier outil grand public à proposer une implémentation concrète de la RFC 9980, n’existe que depuis septembre 2026, soit un mois avant les rapports de l’agence.
Cette proximité de dates révèle un décalage structurel : le calendrier politique, qui fixe des échéances à 2027, 2029 ou 2030 selon les juridictions, suppose que les outils techniques nécessaires existent déjà et soient prêts à être déployés à grande échelle. Or ces outils ne viennent, dans les faits, que de sortir des laboratoires de normalisation. L’écart entre la date de publication d’une norme et sa disponibilité effective dans des produits testés, audités et déployés en production se compte généralement en années plutôt qu’en mois. C’est précisément cet écart que les recommandations immédiates d’Europol, comme la désactivation de TLS 1.0 et 1.1 ou l’application stricte de la confidentialité persistante, cherchent à combler en attendant que l’hybridation post-quantique atteigne une maturité suffisante.
Cinq prévisions pour la suite de la transition post-quantique en Europe
- D’ici la fin 2027, une part croissante des grands fournisseurs de navigateurs et de serveurs web devrait activer par défaut les groupes hybrides définis par la RFC 10024, suivant la dynamique déjà engagée par certains déploiements TLS 1.3 documentés en 2026.
- Le mode optionnel de GnuPG pour OpenPGP post-quantique a de bonnes chances de devenir le comportement par défaut dans une future version majeure, à mesure que les échéances réglementaires se rapprochent et que la compatibilité avec les clients anciens devient secondaire.
- D’autres administrations européennes devraient suivre l’exemple français et fixer leurs propres échéances internes de migration pour leurs systèmes sensibles, probablement calées entre 2028 et 2031 selon la criticité des données concernées.
- Les gestionnaires de portefeuilles et les plateformes de cryptomonnaies devraient accélérer le développement d’outils de migration de clés, poussés par le risque spécifique que représente l’exposition publique et permanente des clés sur une blockchain.
- Davantage d’agences nationales de cybersécurité devraient publier, à l’image d’Europol, des recommandations immédiates et peu coûteuses, comme la désactivation des anciennes versions de TLS, en complément des feuilles de route post-quantiques de plus long terme.
Que doivent faire les entreprises dès maintenant
Pour une organisation qui ne dispose ni des ressources d’un ministère ni de l’urgence d’un opérateur de blockchain, les rapports d’Europol offrent malgré tout une feuille de route praticable à court terme. La première étape consiste à cartographier les données qui doivent rester confidentielles longtemps, qu’il s’agisse de contrats, de propriété intellectuelle ou de données personnelles sensibles, et à les distinguer des données à durée de vie courte. La deuxième étape, peu coûteuse et immédiatement actionnable, consiste à vérifier qu’aucun système critique n’accepte encore de connexions en TLS 1.0 ou 1.1, et que la confidentialité persistante est bien activée sur l’ensemble des services exposés sur internet.
La troisième étape, plus technique, consiste à commencer à tester les bibliothèques et serveurs qui supportent déjà les groupes hybrides issus de la RFC 10024, sans attendre une bascule complète, afin d’identifier d’éventuels problèmes de compatibilité avant qu’ils ne deviennent critiques. Enfin, pour les organisations qui échangent des documents sensibles par courrier électronique chiffré, l’expérimentation du mode optionnel post-quantique de GnuPG permet de se familiariser avec le nouveau format avant qu’il ne devienne la norme de fait.
Foire aux questions
Qu’est-ce que le “harvest now, decrypt later” exactement ?
C’est une stratégie d’attaque qui consiste à intercepter et stocker des données chiffrées aujourd’hui, dans l’attente qu’un ordinateur quantique suffisamment puissant permette de les déchiffrer dans le futur. Europol a formellement identifié ce risque dans ses rapports du 7 octobre 2026.
Pourquoi les portefeuilles de cryptomonnaies sont-ils particulièrement exposés ?
Parce que la clé publique associée à une adresse Bitcoin ou Ethereum est déjà visible publiquement sur la blockchain, de façon permanente. Un attaquant n’a rien à intercepter : il lui suffit d’attendre qu’un calculateur quantique soit capable de dériver la clé privée correspondante.
Quelle est l’échéance pour les ministères français ?
Selon les informations rapportées par BankInfoSecurity, les ministères français devront déployer un chiffrement post-quantique pour leurs systèmes sensibles d’ici la fin de l’année 2030, et n’utiliser ensuite que des produits de chiffrement résistants au quantique.
Que changent les RFC 9954 et RFC 10024 pour TLS 1.3 ?
La RFC 9954, publiée en juillet 2026, définit la conception générale d’un échange de clés hybride pour TLS 1.3. La RFC 10024, publiée en août 2026, précise cette architecture avec des groupes concrets, dont X25519MLKEM768, qui combine un algorithme classique et un algorithme post-quantique au sein d’une même négociation.
GnuPG est-il obligé de passer au post-quantique ?
Non. Depuis septembre 2026, GnuPG propose un mode optionnel qui permet d’expérimenter le nouveau standard OpenPGP post-quantique défini par la RFC 9980, sans que son activation soit imposée aux utilisateurs.
Que recommande Europol de faire immédiatement, sans attendre 2030 ?
Trois mesures simples et peu coûteuses : désactiver TLS 1.0 et TLS 1.1, imposer la confidentialité persistante (forward secrecy) sur les connexions chiffrées, et limiter la durée de conservation des données chiffrées pour réduire la valeur d’un texte intercepté.
Le risque quantique concerne-t-il uniquement les cryptomonnaies ?
Non. Les rapports d’Europol couvrent aussi bien les cryptomonnaies que toute donnée sensible à longue durée de vie, comme les dossiers médicaux, les communications diplomatiques ou les secrets industriels, dès lors que leur confidentialité doit être préservée sur plusieurs années.
Existe-t-il déjà des recommandations d’experts indépendants sur les algorithmes à utiliser ?
Oui. Le cryptographe Filippo Valsorda a publié le 13 octobre 2026 une édition post-quantique de son référentiel “Cryptographic Right Answers”, recommandant la combinaison X25519 et ML-KEM-768 ainsi que l’algorithme de signature ML-DSA-44, avec un objectif de transition complète d’ici 2029, selon la synthèse publiée par Cyberverso.