La prise en charge, dans les versions de diffusion générale, de l’établissement de clés post-quantiques a atteint cinq des six catégories technologiques concernées, contre deux sur huit pour les signatures numériques, selon le rapport publié par MITRE en septembre. L’évaluation s’appuie sur des éléments recueillis en juillet 2026.
La Post-Quantum Cryptography Coalition a publié le rapport de développement des capacités PQC, qui évalue la maturité post-quantique de huit catégories de technologies d’entreprise à partir d’éléments accessibles au public recueillis en juillet 2026. Aucune des catégories évaluées n’a atteint le niveau « Intégration validée », la note la plus élevée de MITRE. Les chercheurs n’ont pas non plus trouvé de preuve de l’existence de modules matériels de plateforme de confiance (TPM) post-quantiques disponibles dans le commerce en juillet 2026.
Le calendrier est important pour les acheteurs fédéraux. Les agences civiles doivent soumettre des plans de migration à l’Office of Management and Budget (OMB) et à l’Office of the National Cyber Director (ONCD) d’ici au 22 octobre, en vertu du mémorandum M-26-15, et chaque plan de migration PQC doit couvrir la coordination avec les tiers ainsi que les calendriers de renouvellement du matériel.
Comment MITRE a évalué huit technologies d’entreprise
MITRE a évalué chaque technologie selon deux axes. L’axe de la confidentialité mesure la prise en charge des mécanismes post-quantiques qui protègent le secret des données, notamment l’établissement de clés pour les communications chiffrées et la gestion des clés pour les données au repos. L’axe de l’authentification couvre les signatures numériques post-quantiques, qui vérifient l’identité et l’intégrité.
Chaque axe va de « Bloqué », lorsqu’il n’existe aucune norme, à « Intégration validée ». Ce niveau maximal exige un produit en diffusion générale qui exécute ses fonctions post-quantiques au moyen d’un module validé selon la norme FIPS 140-3.
| Technologie | Établissement de clés | Signatures numériques |
| Navigateurs web | Intégration | Composants disponibles |
| Serveurs web | Intégration | Composants disponibles |
| VPN et chiffrement réseau | Intégration | Composants disponibles |
| Gestion de l’ICP/AC | Intégration | Intégration |
| Connectivité aux services cloud | Intégration | Intégration préliminaire |
| Chiffrement des volumes | Composants disponibles | Composants disponibles |
| Signature de code | Sans objet | Intégration |
| Garantie de la plateforme | Sans objet | Composants disponibles |
Source : MITRE, PQC Capability Development Report, septembre 2026. Éléments recueillis en juillet 2026.
MITRE a attribué à chaque catégorie le niveau le plus élevé trouvé dans ses sources. Le rapport précise qu’il s’est appuyé sur les déclarations des fournisseurs et qu’il n’évalue pas indépendamment la sécurité des produits.
Les signatures accusent du retard sur l’échange de clés dans les produits d’entreprise
Les évaluations se répartissent selon les deux axes :
Établissement de clés : Cinq catégories ont atteint le niveau Intégration : navigateurs, serveurs web, VPN, gestion de l’infrastructure à clés publiques/de l’autorité de certification (ICP/AC) et connectivité cloud. Les implémentations varient : les navigateurs et les serveurs web utilisent généralement X25519MLKEM768 en mode hybride, tandis que la prise en charge de l’ICP/AC inclut l’émission et la gestion de certificats contenant des clés ML-KEM. Le chiffrement des volumes est la seule catégorie concernée située sous le niveau Intégration.
Émission de signatures : Les produits d’AC privées de Keyfactor, Microsoft et DigiCert émettent des certificats ML-DSA, ce qui place la gestion de l’ICP/AC au niveau de la diffusion générale sur les deux axes.
Vérification des signatures : MITRE n’a trouvé aucune prise en charge, dans les navigateurs, de la validation de certificats X.509 signés avec des algorithmes post-quantiques. Les serveurs web ne prennent en charge l’authentification post-quantique qu’au moyen de versions compilées sur mesure.
Racines matérielles de confiance : ML-DSA est disponible dans des TPM basés sur des micrologiciels, mais MITRE n’a trouvé aucun TPM matériel post-quantique en vente en juillet.
Cette lacune est importante, car les échéances fédérales des deux axes sont séparées d’un an. Les décrets présidentiels de juin sur le quantique accordent aux systèmes fédéraux de grande valeur jusqu’au 31 décembre 2030 pour l’établissement de clés post-quantiques, et jusqu’au 31 décembre 2031 pour les signatures.
Ce qu’a constaté eWeek : les modules validés sont le maillon manquant
Pour les acheteurs d’entreprise, la question essentielle est de savoir si la prise en charge des signatures post-quantiques d’un produit fonctionne avec leurs systèmes existants et utilise un module validé pour ces fonctions. Les équipes chargées des achats devraient demander la version du produit prise en charge, le certificat de validation pertinent et la preuve que les opérations requises s’exécutent dans la configuration validée.
Le certificat CMVP n° 5523 de NIST répertorie un module logiciel validé doté de fonctions ML-KEM et ML-DSA approuvées. Cela ne permet pas d’établir si un produit d’entreprise donné utilise ces fonctions dans sa configuration validée.
Cette distinction pèse lourd pour les acheteurs fédéraux, qui dépendent de cryptographies validées selon la norme FIPS 140-3. Un produit qui distribue ML-DSA et un produit qui exécute ML-DSA au moyen d’un module validé sont deux achats différents, et seul le second atteint le sommet de l’échelle de MITRE.
La méthode d’évaluation mérite également d’être examinée attentivement. MITRE a évalué chaque catégorie en fonction de son fournisseur le plus avancé, de sorte qu’une seule version en diffusion générale peut faire passer toute une catégorie au niveau Intégration. C’est le pendant, du côté de l’offre, de l’audit du GAO portant sur 24 agences fédérales, qui a constaté qu’une seule agence avait achevé l’inventaire de ses systèmes prioritaires lors d’un audit terminé en septembre 2025. Une évaluation par catégorie montre qu’une capacité existe sur le marché. La maturité post-quantique d’une organisation dépend toujours de l’utilisation de cette version avec la fonctionnalité activée.
La planification du renouvellement du matériel constitue un autre point de tension. M-26-15 exige des agences qu’elles intègrent les mises à niveau PQC à leurs calendriers de renouvellement du matériel et demande séparément que l’attestation des appareils migre vers des algorithmes post-quantiques. Les conclusions de MITRE en juillet font de la disponibilité actuelle, de la prise en charge des mises à niveau et de la durée de service des appareils des questions importantes pour les achats, raison pour laquelle le matériel présenté comme prêt pour le quantique doit encore être vérifié.
Une prochaine mise à jour de MITRE pourrait indiquer si une catégorie de signatures a atteint le niveau Intégration validée. Une autre échéance est fixée au 19 décembre 2026 : il s’agit de la date limite donnée par le décret présidentiel à NIST pour réviser ses processus de validation des modules afin d’accélérer les validations. Les acheteurs devraient suivre ces évolutions parallèlement aux éléments prouvant que leurs propres produits et configurations satisfont aux exigences de migration.
Pour en savoir plus : la feuille de route de Google Cloud pour la sécurité quantique à l’horizon 2029 explique pourquoi les mises à niveau des fournisseurs laissent malgré tout aux entreprises des applications, des certificats et des configurations à migrer.