Quand viendra le Q-Day ? Ce que montre la recherche en 2025 et 2026

Ce que désigne le Q-Day

Le « Q-Day » désigne le jour où un ordinateur quantique pourra casser la cryptographie à clé publique aujourd’hui répandue. Il s’agit surtout de RSA et des algorithmes sur courbes elliptiques, sur lesquels reposent TLS, les VPN, la signature de code, les PKI et les identités numériques. Les spécialistes parlent d’un ordinateur quantique cryptographiquement pertinent, en abrégé CRQC.

Qu’une telle machine puisse casser ces algorithmes est connu depuis 1994, année où Peter Shor a publié les algorithmes quantiques correspondants. La question ouverte est de savoir quand une machine suffisamment grande et suffisamment peu sujette aux erreurs pourra être construite. Sur cette question, la recherche a nettement évolué en 2025 et 2026. Cet article résume les principaux travaux et précise ce qu’ils démontrent et ce qu’ils ne démontrent pas.

Une notion au préalable : les ordinateurs quantiques actuels fonctionnent avec des qubits physiques, sujets aux erreurs. La correction d’erreurs quantiques regroupe de nombreux qubits physiques en un qubit logique plus stable. Les estimations de ressources indiquent donc généralement les deux nombres. Pour savoir à quelle distance se trouve encore le matériel, c’est le nombre de qubits physiques qui compte.

Ce qu’attendent les spécialistes : le Quantum Threat Timeline Report

L’enquête de long terme la plus connue est le Quantum Threat Timeline Report du Global Risk Institute. Michele Mosca et Marco Piani, d’evolutionQ, y interrogent chaque année des spécialistes de la recherche et de l’industrie. La septième édition, datée du 9 mars 2026, repose sur les réponses de 26 spécialistes. Global Risk Institute

Résultat : les personnes interrogées jugent « tout à fait possible » un ordinateur quantique cryptographiquement pertinent dans les dix prochaines années, avec une probabilité de 28 à 49 %. À 15 ans, elles le jugent « probable », à 51 à 70 %. La série de rapports définit une telle machine comme capable de casser RSA-2048 en 24 heures.

Une enquête auprès de 26 personnes n’est pas une mesure. Sa valeur tient à la série temporelle : la même question est posée depuis des années, et les estimations se sont rapprochées au fil des éditions.

Ce qu’attend le BSI

Le BSI, l’office fédéral allemand de la sécurité des systèmes d’information, fait évaluer l’état de développement des ordinateurs quantiques dans une étude dédiée depuis 2017, mise à jour pour la dernière fois en 2025. La ligne directrice nationale allemande sur la migration post-quantique en résume ainsi le résultat : il est probable qu’un tel ordinateur quantique soit réalisable dans 15 ans au maximum, soit d’ici 2040 ou plus tôt. Les hypothèses fondamentales de la correction d’erreurs quantiques ont été entièrement vérifiées en 2024, et de nouveaux progrès pourraient raccourcir nettement ce délai. Ligne directrice, PDF

Pour le domaine de la haute sécurité, le gouvernement fédéral allemand est plus prudent. Il y travaille sur l’hypothèse que des ordinateurs quantiques cryptographiquement pertinents seront disponibles au début des années 2030. La ligne directrice cite à ce sujet un document imprimé du Bundestag (Drucksache) de février 2025.

Les estimations du BSI et des spécialistes sont donc proches : pas de percée demain, mais une possibilité réaliste pendant la durée de vie des systèmes planifiés aujourd’hui.

Les estimations matérielles baissent

Ce qui a surtout bougé, ce sont les estimations de la taille qu’un ordinateur quantique devrait avoir pour mener une attaque. Trois travaux de 2025 et 2026 sont au centre de l’attention.

RSA-2048 avec moins d’un million de qubits. En mai 2025, Craig Gidney, de Google Quantum AI, a estimé qu’un ordinateur quantique doté de moins d’un million de qubits bruités pourrait factoriser un nombre RSA de 2048 bits en moins d’une semaine. arXiv:2505.15917 En 2019, son estimation avec Martin Ekerå s’élevait encore à 20 millions de qubits. arXiv:1905.09749 Les hypothèses matérielles sont restées les mêmes : une grille carrée avec des connexions uniquement entre voisins, un taux d’erreur de 0,1 % par porte et un cycle de correction d’erreurs d’une microseconde. Le gain provient de meilleurs algorithmes et d’une correction d’erreurs plus efficace, pas d’un meilleur matériel. La contrepartie est une durée d’exécution plus longue.

RSA-2048 avec environ 100 000 qubits. En février 2026, l’entreprise australienne Iceberg Quantum a présenté l’architecture « Pinnacle ». Elle remplace la correction d’erreurs habituellement utilisée jusqu’ici par des codes dits qLDPC. Avec les mêmes hypothèses de taux d’erreur et de cadence, Iceberg estime environ 98 000 qubits physiques pour une durée d’environ un mois, ou environ 471 000 qubits pour environ un jour. arXiv:2602.11457 L’architecture n’a jusqu’à présent été vérifiée qu’en simulation. Elle exige des connexions entre qubits éloignés et un décodage des erreurs très rapide, deux choses qui n’ont pas encore été démontrées à cette échelle.

Les courbes elliptiques en quelques minutes. Fin mars 2026, Google Quantum AI, avec des chercheurs de l’Ethereum Foundation et de l’université Stanford, a publié des estimations de ressources pour les courbes de 256 bits qui sécurisent notamment Bitcoin et Ethereum. Deux circuits optimisés se contentent de moins de 1 200 qubits logiques et moins de 90 millions de portes de Toffoli, ou de moins de 1 450 qubits logiques et moins de 70 millions de portes de Toffoli. Sur un matériel supraconducteur avec un taux d’erreur de 0,1 %, cela correspond à moins de 500 000 qubits physiques et à une durée d’exécution de quelques minutes. Google chiffre cela à une réduction d’environ un facteur 20 par rapport à la meilleure estimation précédente. Google Research, arXiv:2603.28846

La manière dont Google a publié est également remarquable. Les circuits eux-mêmes n’ont pas été publiés, afin de ne pas fournir de mode d’emploi aux attaquants. À la place, une preuve à divulgation nulle de connaissance atteste que les estimations sont exactes. Pour les entreprises, c’est un signal : la recherche traite désormais elle-même le sujet comme relevant de la sécurité.

Ce que les chiffres ne disent pas

Aussi frappante que soit la courbe, ces travaux ont des limites claires.

• La machine n’existe pas. La puce Willow de Google comptait 105 qubits lors de sa présentation en décembre 2024 et a démontré une correction d’erreurs sous le seuil critique. Google Le matériel est encore loin de centaines de milliers de qubits calculant avec correction d’erreurs pendant des jours ou des semaines.
• Les hypothèses sont optimistes, mais pas exotiques. Toutes les estimations citées supposent un taux d’erreur de 0,1 % et des temps de cycle de l’ordre de la microseconde. Certaines plateformes atteignent aujourd’hui de telles valeurs, mais pas à cette taille ni de manière durable.
• La plupart des travaux sont des prépublications. Ils n’ont pas encore été évalués par les pairs. Dans le cas d’Iceberg s’ajoute le fait que les résultats proviennent uniquement de simulations.
• Le progrès vient des algorithmes. C’est en même temps le côté inquiétant. Chaque réduction de ces dernières années est venue de meilleures mathématiques et d’une meilleure correction d’erreurs. De tels progrès sont difficiles à prévoir et peuvent survenir soudainement.

En déduire une date précise, c’est lire dans ces travaux plus qu’ils n’en disent. L’affirmation solide est autre : la barre a baissé de plus d’un ordre de grandeur en sept ans, sans que les hypothèses matérielles aient changé.

Pourquoi l’incertitude n’est pas une raison d’attendre

Pour la planification, un raisonnement simple, qui remonte à Michele Mosca, est utile. Il faut comparer trois durées :

• combien de temps les données doivent rester confidentielles,
• combien de temps dure la migration vers la cryptographie post-quantique,
• combien de temps il faudra avant qu’existe un ordinateur quantique cryptographiquement pertinent.

Si la somme des deux premières dépasse la troisième, la migration arrive trop tard. Les données interceptées et stockées aujourd’hui pourront alors être déchiffrées plus tard (« Store now, decrypt later »).

La feuille de route de l’UE pour la migration post-quantique repose précisément sur ce principe. Elle classe les cas d’usage à risque élevé lorsque des données doivent rester confidentielles pendant au moins dix ans, et estime la durée d’une migration complète à cinq à dix ans. Feuille de route de l’UE, PDF Même en n’attendant le Q-Day qu’en 2040, avec dix ans de confidentialité et cinq ans de migration, on arrive à un démarrage en 2025 au plus tard.

Pour les signatures, la pression est moindre, car une signature ne doit tenir que jusqu’à l’arrivée de l’ordinateur quantique. En revanche, les délais de migration y sont les plus longs : les PKI, les mises à jour de micrologiciels et les appareils à longue durée de vie ne se transforment pas en un an. C’est pourquoi la feuille de route de l’UE exige que les mises à jour logicielles et micrologicielles soient signées par défaut de manière résistante au quantique d’ici 2030.

Conclusion

La recherche ne fournit pas de date pour le Q-Day, mais une direction claire. Les spécialistes jugent tout à fait possible un ordinateur quantique cryptographiquement pertinent d’ici dix ans, le BSI le juge probable d’ici 2040, et les besoins matériels estimés ont fortement baissé en 2025 et 2026. Pour les entreprises, l’année exacte n’est de toute façon pas la question décisive. Ce qui compte, c’est de savoir si leurs propres données doivent rester confidentielles plus longtemps que la migration ne le permet. Quelles échéances les autorités en tirent et lesquelles sont contraignantes, vous le lirez dans Cryptographie post-quantique : les échéances 2026, 2030 et 2035 et ce qui est contraignant.

Sources

• Quantum Threat Timeline Report 2025 (Michele Mosca, Marco Piani, Global Risk Institute, 9 mars 2026)
• Nationale Umsetzung der EU-Roadmap zur Umstellung auf Post-Quanten-Kryptografie (ligne directrice commune du BMDS, du BMI et du BSI, 12 octobre 2026)
• How to factor 2048 bit RSA integers with less than a million noisy qubits (Craig Gidney, arXiv, 21 mai 2025)
• How to factor 2048 bit RSA integers in 8 hours using 20 million noisy qubits (Craig Gidney, Martin Ekerå, arXiv 2019, paru dans Quantum en 2021)
• The Pinnacle Architecture: Reducing the cost of breaking RSA-2048 to 100 000 physical qubits using quantum LDPC codes (Iceberg Quantum, arXiv, février 2026)
• Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations (Babbush, Zalcman, Gidney et al., arXiv, 30 mars 2026)
• Safeguarding cryptocurrency by disclosing quantum vulnerabilities responsibly (Google Research, 31 mars 2026)
• Meet Willow, our state-of-the-art quantum chip (Google, 9 décembre 2024)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream du groupe de coopération SRI (NIS Cooperation Group), juin 2025)