Chiffrement post-quantique : le guide complet pour comprendre comment Tuta, Signal et Proton protègent vos messages

Début août 2026, des chercheurs de l'université de Wuppertal ont publié une preuve mathématique de la sécurité de TutaCrypt, le protocole de chiffrement de Tuta Mail. C'est l'occasion de se faire quelques nœuds au cerveau et de comparer cette approche à celle de la messagerie Signal et à celle, encore différente, choisie par Proton Mail.

Tuta Mail, Signal et Proton ont tous préparé leurs services à l'arrivée des ordinateurs quantiques en combinant chiffrement classique et chiffrement post-quantique, une approche que les cryptographes résument par l'image de la ceinture et des bretelles. Si l'une des deux protections cède, l'autre retient quand même le pantalon. Mais les trois services n'ont pas choisi la même méthode entre protocole sur mesure et extension d'un standard existant.

Introduction

Le chiffrement en 3 questions

Pourquoi chiffrer ses messages ?
Imaginez que vous envoyez une carte postale : tout le monde peut lire son contenu. Avec le chiffrement, c’est comme si vous glissiez la carte dans une enveloppe scellée : seul le destinataire peut l’ouvrir.

Comment ça marche ?
Le chiffrement transforme votre message en une suite de caractères illisibles (comme un code secret). Pour le déchiffrer, il faut une clé. Sans elle, même un supercalculateur ne peut rien en faire.

Pourquoi "post-quantique" ?
Aujourd’hui, les méthodes de chiffrement (comme RSA ou Diffie-Hellman) reposent sur des calculs trop complexes pour les ordinateurs classiques. Mais les ordinateurs quantiques, une fois suffisamment puissants, pourront les résoudre en un clin d’œil. Le chiffrement post-quantique utilise des problèmes mathématiques résistants même aux ordinateurs quantiques, comme les réseaux de points.

Un même problème, trois réponses hybrides

Avant d'aller plus loin, posons quelques bases. Chiffrer un message, c'est le transformer en une suite de caractères illisible grâce à un calcul mathématique piloté par une clé. Sans connaître la clé qui permet de déchiffrer, le résultat ressemble à du bruit aléatoire. Avec elle, l'opération inverse redonne le texte d'origine.

Reste une question très concrète : comment chiffrer un message pour quelqu'un qu'on n'a jamais rencontré, sans que la clé permettant de le déchiffrer ait besoin de transiter sur le réseau ? Les trois services y répondent de deux façons différentes, détaillées plus loin. Soit le destinataire garde sa clé de déchiffrement pour lui depuis le départ et ne partage que ce qui sert à chiffrer, comme le fait OpenPGP. Soit les deux correspondants font naître ensemble un secret qu'aucun des deux n'a choisi ni transmis, comme le font Diffie-Hellman et les mécanismes KEM.

Le problème du message qui doit se suffire à lui-même

Envoyer un email ou un message chiffré pose un défi bien particulier. Contrairement à une connexion HTTPS classique, l'expéditeur ne peut pas dialoguer en direct avec le destinataire pour négocier une clé de chiffrement. Il doit produire un message unique, immédiatement exploitable, même si le destinataire est hors ligne. Les cryptographes appellent ça un échange de clé "one-pass".

Prenons un exemple. Se connecter à un site bancaire en HTTPS s'apparente à un coup de fil. Le navigateur et le serveur échangent plusieurs messages en quelques millisecondes avant même d'afficher la page, le temps de se mettre d'accord ensemble sur une clé de chiffrement propre à cette visite. Envoyer un email chiffré ressemble davantage à glisser une lettre scellée dans la boîte aux lettres de quelqu'un qui est absent. L'expéditeur ne sait pas quand le destinataire ouvrira sa boîte, il n'a donc qu'une seule occasion de tout préparer correctement, l'enveloppe, le cachet, le contenu, sans possibilité de rectifier le tir après coup ni d'attendre une réponse pour finaliser le chiffrement.

Pour résoudre ce problème tout en résistant aux futurs ordinateurs quantiques, Tuta et Signal ont adopté la même architecture de base : un échange Diffie-Hellman classique, couplé à un mécanisme d'encapsulation de clé post-quantique appelé ML-KEM, standardisé par le NIST américain.

Diffie-Hellman et ML-KEM, en clair

Diffie-Hellman : le secret partagé par mélange

Pour comprendre le principe de l'échange Diffie-Hellman sans entrer dans les mathématiques, imaginez deux personnes qui veulent se mettre d'accord sur une couleur secrète sans que personne d'autre ne puisse la deviner, même en observant tous leurs échanges. Chacune part d'une couleur de base commune, connue de tous, y mélange sa propre couleur secrète, puis envoie publiquement le résultat à l'autre. Chacune ajoute alors sa couleur secrète au mélange reçu : les deux obtiennent la même teinte finale, alors qu'un espion qui aurait vu tous les échanges ne peut pas la reconstituer, faute de connaître les couleurs secrètes de départ. Transposé en mathématiques, c'est ce principe qui permet de fabriquer une clé commune sans jamais l'envoyer elle-même sur le réseau.

Prenons un exemple concret. La couleur de base, connue de tous, est jaune. Alice y mélange son rouge secret et obtient de l'orange, qu'elle envoie publiquement. Bob y mélange son bleu secret et obtient du vert, qu'il envoie publiquement lui aussi. Alice reçoit le vert de Bob et y ajoute à son tour son rouge secret. Elle obtient un marron. Bob reçoit l'orange d'Alice et y ajoute son bleu secret. Il obtient exactement le même marron. Un espion qui aurait vu passer le jaune, l'orange et le vert ne peut pourtant pas reconstituer ce marron. Il lui manquerait une étape car une fois deux couleurs mélangées, il n'existe aucune opération pour les "démélanger" et retrouver le rouge et le bleu d'origine. Des dizaines de combinaisons de couleurs secrètes peuvent produire le même orange visible sur le réseau, l'espion n'a aucun moyen de savoir laquelle est la bonne.

ML-KEM : la cryptographie à clé publique et l'encapsulation

ML-KEM vise le même but, mais en s'appuyant sur un principe différent, la cryptographie à clé publique. Voici comment l'imaginer : le destinataire conçoit un seul modèle de cadenas ouvert, sa clé publique, qu'il peut faire fabriquer et distribuer librement au grand jour en autant d'exemplaires identiques que nécessaire. N'importe qui peut prendre l'un de ces cadenas, l'enclencher sur un coffret et l'envoyer, sans échange préalable de secret ni besoin de savoir si le destinataire est disponible. Une fois le cadenas fermé, plus personne ne peut le rouvrir, pas même celui qui vient de le fermer. Car la clé qui ferme n'est pas celle qui ouvre. Seul le destinataire le peut, car il est le seul à posséder la clé privée correspondant à ces cadenas.

Ce principe n'a rien de nouveau. C'est celui du chiffrement à clé publique, utilisé depuis les années 1970 avec RSA par exemple. ML-KEM en hérite directement, mais s'en distingue sur deux points précis :

1 - Le problème mathématique sous-jacent : Fermer un tel cadenas revient à résoudre un problème facile dans un sens, mais extrêmement difficile à inverser sans raccourci secret. RSA repose sur la difficulté à décomposer un très grand nombre en facteurs premiers, un problème qu'un ordinateur quantique saurait résoudre rapidement grâce à l'algorithme de Shor (une méthode de calcul quantique conçue spécifiquement pour ce cas), tout comme pour Diffie-Hellman. ML-KEM s'appuie sur un problème différent : des calculs sur des réseaux de points (lattices), pour lesquels aucune faille quantique n'est connue à ce jour.

2 - Ce que l'on verrouille (le mécanisme KEM) : avec RSA, l'expéditeur choisit librement ce qu'il enferme dans le coffret, y compris le message lui-même. Avec ML-KEM, ce n'est pas possible, et c'est précisément la différence à retenir. Avec un cadenas classique, on choisit ce qu'on enferme avant de le fermer. Avec celui de ML-KEM, c'est l'inverse. Fermer le cadenas est un calcul qui fabrique lui-même son propre contenu. Ni l'expéditeur ni personne d'autre ne décide de ce contenu à l'avance. À partir de la seule clé publique du destinataire, cette opération produit deux éléments liés en même temps : 1 - une suite de caractères aléatoire, et 2 - une capsule scellée qui lui correspond exactement. L'expéditeur garde la suite aléatoire de son côté et envoie uniquement la capsule.

Le destinataire n'a donc rien à deviner ni à extraire d'un contenu caché. Un lien mathématique unit la capsule à sa clé privée. L'ouvrir avec cette clé revient à recalculer, de son côté, exactement la même suite aléatoire que celle obtenue par l'expéditeur à la fermeture. Cette suite n'est pourtant jamais écrite en clair ni transmise. Chacun l'obtient séparément, par un calcul distinct, à partir d'éléments différents (la clé publique pour l'un, la clé privée pour l'autre).

Les deux se retrouvent donc avec un secret commun qu'aucun des deux n'a choisi au départ. Et c'est justement ce qui en fait un bon secret : n'ayant jamais existé ailleurs que dans ce double calcul, personne d'autre ne pouvait le deviner non plus.

Pourquoi les réseaux de points résistent (pour l'instant)
Imaginez un immense quadrillage à plusieurs centaines de dimensions, truffé de milliards de points. Le problème consiste à retrouver, à partir d'une position quelconque, le point du quadrillage le plus proche, sans connaître l'orientation exacte de ce dernier. Un ordinateur classique s'y perd déjà. Un ordinateur quantique, aussi efficace soit-il pour factoriser de grands nombres (le point faible de RSA et de Diffie-Hellman), ne dispose d'aucun raccourci connu pour ce type de problème géométrique. C'est cette absence de faille identifiée, pas une preuve mathématique définitive, qui vaut à ML-KEM son statut d'algorithme post-quantique.

Le message lui-même n'entre jamais dans cette capsule. Une fois la suite aléatoire obtenue, l'expéditeur s'en sert comme clé pour chiffrer le vrai message séparément, avec une méthode classique et beaucoup plus rapide. C'est ce mécanisme en deux temps, d'abord 1 - faire circuler une clé aléatoire dans une capsule scellée, puis 2 - chiffrer le message avec cette clé, qu'on appelle KEM (Key Encapsulation Mechanism, ou mécanisme d'encapsulation de clé).

L'exemple de TutaCrypt : la combinaison hybride

Qu'est-ce qu'une fonction de hachage ?

Une fonction de hachage prend n'importe quelle donnée en entrée, aussi longue soit-elle, et produit toujours en sortie une suite de caractères de taille fixe, un peu comme une empreinte digitale. Deux propriétés la rendent utile en cryptographie. D'abord, elle est à sens unique : impossible de retrouver les données d'origine à partir de l'empreinte. Ensuite, elle est imprévisible : changer un seul caractère en entrée bouleverse totalement le résultat, sans qu'on puisse deviner comment. C'est cette seconde propriété qui permet à TutaCrypt de mélanger huit éléments en une seule clé de session, sans qu'un attaquant ne puisse en déduire quoi que ce soit à partir d'un résultat partiel.

Chez TutaCrypt par exemple, une fonction de hachage combine huit éléments pour fabriquer une clé de chiffrement unique. Parmi eux, trois sont de stricts secrets que ni l'expéditeur ni le destinataire n'envoient en clair. Deux sont issus de l'échange Diffie-Hellman et un de ML-KEM. Les cinq autres sont des informations publiques (clés publiques des deux correspondants, capsule scellée ML-KEM envoyée avec le message). Elles ne sont pas secrètes, mais leur présence garantit que la clé finale calculée est strictement unique à cet échange précis et ne pourra pas être réutilisée d'une conversation à l'autre.

Une fonction de hachage possède une propriété fondamentale. La moindre variation dans les données d'entrée change entièrement le résultat final de façon imprévisible, comme une recette où changer un seul ingrédient parmi huit donnerait un plat méconnaissable. Connaître l'un des trois secrets ne donne donc aucun indice sur les deux autres ni sur la clé finale. Un peu comme un coffre-fort à trois serrures indépendantes où connaître un code n'aide en rien à deviner les deux autres.

Le scénario harvest now, decrypt later

Prenons un cas concret. Un service de renseignement intercepte aujourd'hui un email chiffré avec TutaCrypt et le stocke, en pariant sur l'arrivée d'un ordinateur quantique suffisamment puissant d'ici une dizaine d'années. C'est précisément le scénario "harvest now, decrypt later" évoqué dans l'étude. Le jour où cet ordinateur existe, il peut en théorie casser l'échange Diffie-Hellman largement plus vite qu'aucun supercalculateur classique ne pourrait jamais l'envisager, grâce à l'algorithme de Shor. Alors que ce même calcul prendrait, avec les meilleurs supercalculateurs classiques actuels, un temps quasi infini. Il pourrait ainsi récupérer le secret classique.

Mais ça ne lui sert à rien pour lire le message. Il doit aussi retrouver le second secret, celui produit par ML-KEM. Ce secret-là repose sur un problème mathématique totalement différent : les fameux calculs sur des réseaux de points, appelés lattices. Et, comme nous l'avons vu, pour ce problème précis, aucun algorithme quantique efficace n'est connu à ce jour. Tant que ML-KEM résiste, la clé finale reste donc illisible, même avec un ordinateur quantique parfaitement fonctionnel entre les mains. Et ça marche aussi dans l'autre sens, avec une nuance importante : si une faiblesse purement mathématique était un jour découverte dans les réseaux de points, indépendamment de toute avancée quantique (ça s'est déjà produit avec d'autres candidats post-quantiques comme SIKE), la partie Diffie-Hellman continuerait de protéger le message contre un attaquant classique.. Ceinture et bretelles, dans les deux sens : chaque protection est prête à prendre le relais si l'autre cède.

Signal, Tuta, Proton : trois approches différentes

Avant d'entrer dans le détail technique de chaque service, un mot sur ce qui les sépare vraiment. Tuta a construit son propre protocole de A à Z, TutaCrypt. Signal a fait évoluer le sien, déjà éprouvé depuis des années. Proton, de son côté, n'a inventé aucun nouveau protocole. L'entreprise a simplement greffé les briques post-quantiques sur un standard qui existait déjà, OpenPGP. Nous avons donc trois philosophies, pour un même objectif.

Signal avait posé cette base hybride dès 2023, en remplaçant sa spécification X3DH par PQXDH pour la mise en place initiale d'une session chiffrée (l'échange de messages entre deux personnes, du premier message jusqu'à la fin de la conversation), exactement le rôle que joue TutaCrypt chez Tuta. Nous rapportions en octobre 2025 comment Signal était allé plus loin avec un nouveau protocole appelé SPQR, ajouté à son système de Double Ratchet historique pour sécuriser aussi le renouvellement continu des clés durant une conversation.

Proton, lui, a suivi la même logique côté chiffrement, mais sans construire de protocole de session à proprement parler. Depuis mai 2026, Proton Mail permet désormais de chiffrer les nouveaux messages avec une combinaison de ML-KEM et d'une courbe elliptique, X25519 ou X448, intégrée directement dans OpenPGP, le standard de chiffrement email utilisé depuis les années 1990.

Contrairement à TutaCrypt et PQXDH, qui définissent un vrai protocole d'échange avec ses propres règles de session (une identité expéditeur, une identité destinataire, la possibilité de révéler ou de corrompre une clé au cours de l'expérience de sécurité), OpenPGP ne change rien à son fonctionnement historique. Chaque message continue d'être chiffré directement avec la clé publique de long terme du destinataire, exactement comme le faisait déjà PGP dans les années 1990 avec RSA. La seule nouveauté de la RFC 9980, le document technique qui définit ce nouveau standard, porte sur l'algorithme utilisé pour cette opération, pas sur la façon dont il est utilisé.

La vraie différence : comment authentifier l'expéditeur

Chiffrer et authentifier, ce n'est pas la même chose

Commençons par le début, avec, tout d'abord, une précision. Chiffrer un message garantit que seul le destinataire peut le lire, l'authentifier garantit qu'il provient bien de qui il prétend. Un message peut être parfaitement illisible pour un espion tout en étant falsifiable par quelqu'un qui usurperait l'identité de l'expéditeur. Et c'est justement sur ce point que les trois approches divergent le plus nettement.

Qu'est-ce qu'une signature numérique ?

Signer un message numériquement n'a rien à voir avec une signature manuscrite scannée. C'est un calcul qui combine le contenu du message avec une clé privée, connue du seul expéditeur. Le résultat, la signature, est joint au message et envoyé avec lui.

N'importe qui peut ensuite vérifier cette signature avec la clé publique correspondante, sans jamais avoir accès à la clé privée. Si la vérification réussit, deux garanties en découlent. D'une part le message provient bien du détenteur de la clé privée, d'autre part, il n'a pas été modifié depuis sa signature. Changer ne serait-ce qu'un caractère invalide la signature entière.

C'est donc l'inverse du chiffrement en termes de clés utilisées : pour chiffrer, on utilise la clé publique du destinataire. Pour signer, on utilise la clé privée de l'expéditeur.

Signal et ses pré-clés signées

Chez Signal, c'est bien PQXDH qui gère cette authentification au tout premier échange, y compris depuis l'ajout de SPQR. Ce dernier renouvelle les clés tout au long d'une conversation déjà engagée, mais ne change rien à la façon dont l'identité du correspondant est vérifiée au départ. PQXDH s'appuie sur une paire de clés d'identité dédiée à la signature. Elle sert à signer les "pré-clés", des clés publiques que chaque utilisateur dépose à l'avance sur les serveurs de l'application. Ça permet à n'importe qui de lui écrire un premier message chiffré sans qu'il soit connecté au moment de l'envoi, exactement le problème du "one-pass" évoqué plus haut. Ces pré-clés jouent donc, dans PQXDH, un rôle comparable à celui des clés publiques de long terme de TutaCrypt ou d'OpenPGP, à ceci près qu'elles sont signées et distinctes de l'identité elle-même. Cette même paire de clés d'identité, utilisée pour signer les pré-clés, intervient aussi directement, en parallèle, dans deux des calculs Diffie-Hellman qui composent la clé de session finale.

TutaCrypt, une authentification qui tient jusqu'à l'ordinateur quantique

TutaCrypt, de son côté, ne recourt à aucune signature. L'authentification y est implicite. La clé secrète de long terme de l'expéditeur intervient directement dans le calcul de la clé de session. Et cela suffit à prouver qu'un message provient bien de son expéditeur légitime. Pour autant, Tuta et Signal, n'ont pas d'infrastructures radicalement différentes. D'ailleurs, les chercheurs de Wuppertal précisent que l'architecture centralisée de Tuta, où l'entreprise contrôle à la fois le client et le serveur, ressemble plutôt à celle de Signal. C'est l'écosystème email traditionnel et fédéré, avec ses multiples fournisseurs indépendants, qui tranche avec ce modèle.

Selon l'étude de Wuppertal, ce choix a une conséquence directe. Le secret qui sert à authentifier l'expéditeur chez TutaCrypt est de type Diffie-Hellman, un problème mathématique que les ordinateurs classiques ne savent pas résoudre, mais qu'un ordinateur quantique casserait en théorie sans difficulté. Face à un attaquant qui n'a pas d'ordinateur quantique, TutaCrypt atteint donc ce que les chercheurs appellent une sécurité "forte". Un attaquant peut fabriquer un faux message et l'envoyer en se faisant passer pour l'expéditeur, mais il ne peut ni deviner ni contrôler la clé de chiffrement qui en résultera, faute de connaître la clé secrète de l'expéditeur légitime. Autant dire que la tentative ne lui rapporte rien, sauf si ce dernier a été corrompu.

Deux postures d'attaquant à distinguer ici. Un attaquant "passif" se contente d'écouter et d'enregistrer les échanges, sans jamais intervenir dessus. Un attaquant "actif" va plus loin : il intercepte des messages, en fabrique de faux, ou tente de se faire passer pour l'un des correspondants, en temps réel. Un protocole peut résister au premier sans résister au second.

Face à un attaquant équipé d'un ordinateur quantique en revanche, cette authentification ne tient plus, et la preuve n'établit qu'une sécurité "faible". L'attaquant doit rester passif sur la session testée. Autrement dit il doit se contenter d'observer sans intervenir. Attention à ne pas lire "faible" comme "nulle". Cela ne veut pas dire que l'attaquant peut lire vos messages, seulement qu'il perd la possibilité d'agir activement sur la conversation, en falsifiant ou en interceptant des messages en temps réel. Les chercheurs précisent eux-mêmes que cette limite est inhérente à tout protocole dont la sécurité post-quantique repose uniquement sur un mécanisme d'encapsulation de clé, ce qui vaudrait vraisemblablement aussi pour PQXDH, même si l'étude de Wuppertal ne porte que sur TutaCrypt.

Proton et OpenPGP, deux clés bien séparées

Proton a opté pour une troisième solution encore différente. L'extension post-quantique d'OpenPGP sépare totalement chiffrement et authentification. Le chiffrement des messages repose sur la combinaison ML-KEM plus courbe elliptique décrite plus haut, tandis que la signature repose sur une paire de clés entièrement distincte, combinant ML-DSA et EdDSA. Contrairement à PQXDH, où la même paire de clés d'identité sert à la fois à signer et à alimenter le calcul Diffie-Hellman, et contrairement à TutaCrypt, où l'authentification est implicite et ne repose sur aucune clé de signature dédiée, OpenPGP conserve ainsi une séparation stricte entre les deux fonctions.

Une différence sur la protection des messages passés

La parade de Signal, une clé à usage unique

Autre différence technique à connaître : la forward secrecy (ou confidentialité persistante), cette propriété qui garantit que la compromission d'une clé de long terme ne permet pas de déchiffrer les messages passés. Comme on l'a vu plus haut, PQXDH intègre chez Signal une clé éphémère générée à l'avance par le destinataire, une pré-clé à usage unique, qui apporte un aléa supplémentaire au calcul quand elle est disponible côté serveur.

Imaginons, par exemple, un journal intime :

Sans Forward Secrecy : Vous fermez votre journal tous les jours avec la même clé. Si quelqu'un vous vole cette clé dans dix ans, il pourra ouvrir et lire toutes les pages écrites depuis le premier jour.

Avec Forward Secrecy (comme Signal) : À chaque fois que vous écrivez une page, vous changez la serrure et vous détruisez l'ancienne clé. Si quelqu'un vous vole votre clé actuelle, il ne pourra lire que la page d'aujourd'hui. Les pages d'hier restent verrouillées à jamais par des clés qui n'existent plus.

Mais l'essentiel de la protection de Signal sur la durée ne vient pas de cette seule pré-clé initiale. Une fois la conversation lancée, le Double Ratchet fait tourner les clés de chiffrement à quasiment chaque message et supprime aussitôt les anciennes. Voler la clé de long terme des mois plus tard ne redonne donc accès qu'à une toute petite fenêtre de la conversation, jamais à l'historique complet. C'est cette rotation permanente, bien plus que la pré-clé du tout premier message, qui distingue vraiment Signal de Tuta et Proton sur la durée.

TutaCrypt a un point faible et voici pourquoi

TutaCrypt ne fait pas intervenir cet aléa côté destinataire. Les chercheurs de Wuppertal reconnaissent eux-mêmes, dans leur étude, que ça limite la forward secrecy du protocole. Voici pourquoi, avec un exemple.

Un client envoie des emails chiffrés à son avocate depuis plusieurs années, via Tuta Mail. Un attaquant intercepte et conserve chacun de ces messages au fil du temps, sans jamais parvenir à les lire.

Le calcul de la clé de chiffrement de chaque email repose sur deux secrets. Le premier ne dépend que des clés secrètes de long terme du client et de l'avocate. Il reste donc strictement identique d'un email à l'autre, tant qu'aucun des deux ne change de clé. Le second combine la clé secrète de long terme de l'avocate avec une valeur différente à chaque email, générée par le client au moment de l'envoi. Mais cette valeur est transmise en clair, dans le message lui-même. N'importe qui peut la récupérer en interceptant l'email, sans avoir besoin de la déchiffrer.

Trois ans plus tard, l'ordinateur de l'avocate est piraté, et sa clé secrète de long terme est dérobée. L'attaquant peut alors recalculer le premier secret pour tous les emails échangés, puisqu'il lui suffit de combiner la clé volée avec la clé publique du client, connue de tous. Il peut aussi recalculer le second secret pour chacun des emails interceptés par le passé, puisqu'il avait déjà en main la valeur nécessaire, transmise en clair avec chaque message.

Et le troisième secret, celui produit par ML-KEM ? Il ne s'en sort pas mieux. Les clés ML-KEM de Tuta sont elles aussi générées une fois pour toutes au niveau du compte, et non recréées à chaque message. La capsule qui transporte ce secret post-quantique voyage donc en clair avec l'email, tout comme la valeur éphémère du second secret. Une fois la clé ML-KEM de l'avocate dérobée en même temps que sa clé X25519, l'attaquant peut la décapsuler et récupérer ce troisième secret. La dimension post-quantique de TutaCrypt n'apporte ici aucune protection supplémentaire : le problème n'est pas la puissance de calcul de l'attaquant, mais la simple compromission d'une clé de long terme, quel que soit l'algorithme qui s'appuie dessus.

L'intégralité des échanges accumulés au fil des années redevient donc lisible d'un coup, y compris les emails envoyés bien avant le piratage.

Avec Signal, l'attaquant n'aurait pas toujours cette chance. Certains échanges initiaux impliquent une pré-clé à usage unique du destinataire, supprimée aussitôt après avoir servi. Pour ceux-là, cette part du secret reste hors de portée de l'attaquant, même après le vol de la clé long terme.

Concrètement, cette limite touche surtout les correspondances qui doivent rester confidentielles sur plusieurs années : un journaliste et sa source, un avocat et son client comme dans notre exemple, ou toute relation professionnelle qui repose sur des emails jamais renouvelés. Pour un échange ponctuel, sans importance, le risque reste largement théorique.

Proton & OpenPGP : aucune forward secrecy

Proton a encore une approche différente, et de façon plus marquée. OpenPGP repose depuis toujours sur des paires de clés de long terme, sans aléa additionnel ni renouvellement automatique à chaque message. Le protocole n'offre donc, par construction, aucune forward secrecy. Si la clé privée d'un destinataire venait à être compromise, l'ensemble des messages jamais chiffrés avec sa clé publique redeviendrait lisible, y compris avec l'ajout des nouveaux algorithmes post-quantiques de la RFC 9980. Ce choix n'a rien de spécifique à Proton, il découle directement de l'architecture d'OpenPGP elle-même, largement antérieure à l'ère post-quantique.

Reprenons notre avocate. Avec OpenPGP, il n'existe qu'un seul secret par email, celui qui découle de sa clé privée de long terme. Aucune valeur jetable ne vient s'y ajouter au moment de l'envoi, contrairement aux pré-clés de Signal. Le jour où cette clé est dérobée, l'ensemble des emails échangés avec elle depuis des années redevient lisible d'un coup, un peu comme pour TutaCrypt, mais sans même le sursis que les pré-clés à usage unique de Signal peuvent apporter sur certains échanges.

Dans les faits, pour un email professionnel banal, cette absence de forward secrecy ne change probablement pas grand-chose. Mais pour des correspondances qui restent sensibles pendant des années, comme celles d'un dissident, d'un homme politique ou d'un cabinet médical avec ses patients, c'est un autre problème.

La validation académique des trois protocoles

Au-delà de leur conception, les trois services ne se valent pas non plus sur un point : le niveau de vérification indépendante dont leur chiffrement a fait l'objet.

Un standard écrit avec une agence d'État

L'extension post-quantique d'OpenPGP, publiée en juin 2026 sous la référence RFC 9980, a été rédigée conjointement avec l'Office fédéral allemand de la sécurité de l'information, le BSI, l'agence de cybersécurité qui joue en Allemagne un rôle comparable à celui de l'ANSSI en France.

Une preuve par ricochet

Ce chiffrement combine lui aussi deux secrets, un classique et un post-quantique, exactement comme chez TutaCrypt. Mais plutôt que d'inventer sa propre façon de les assembler, Proton et le BSI ont repris telle quelle une méthode déjà conçue et testée ailleurs, baptisée X-Wing. Cette méthode a été publiée en 2024 par une autre équipe de chercheurs, dans la même revue scientifique que l'étude sur TutaCrypt, IACR Communications in Cryptology. Ces chercheurs avaient déjà démontré, avant même que Proton ne s'en serve, que cette façon précise de combiner les deux secrets résiste tant que l'un des deux tient bon, même si l'autre venait à tomber.

Pour saisir la nuance, imaginez deux façons de certifier un coffre-fort. La première consiste à faire tester le coffre entier par un professionnel, qui essaie toutes les attaques possibles sur l'objet fini. La seconde consiste à faire certifier séparément la serrure, un composant déjà éprouvé ailleurs, puis à l'installer sur le coffre. Dans les deux cas la sécurité peut être solide, mais la première réponse couvre un périmètre plus large que la seconde.

Proton n'a donc pas fait auditer mathématiquement son propre protocole de bout en bout, comme Tuta l'a fait faire à Wuppertal pour TutaCrypt, ou comme cela a été fait pour PQXDH. Sa démarche s'appuie plutôt sur la robustesse déjà démontrée du combinateur X-Wing sur lequel repose sa brique de chiffrement, associée à une relecture par une agence gouvernementale de sécurité informatique.

C'est une garantie différente, pas nécessairement plus faible, mais qui ne répond pas tout à fait à la même question. Une preuve académique dédiée porte sur le protocole complet. Elle couvre un attaquant actif, capable non seulement d'écouter le réseau, mais aussi d'intercepter des messages, d'en modifier le contenu, d'en injecter de faux, ou de se faire passer pour l'un des deux correspondants. Elle couvre aussi la possibilité que certains utilisateurs soient corrompus en cours de route. La validation associée à Proton, elle, porte avant tout sur la robustesse du composant cryptographique central.

Chez Signal, PQXDH avait lui aussi fait l'objet d'une analyse de sécurité formelle, publiée en mai 2025 par les chercheurs Rune Fiedler et Felix Günther. TutaCrypt, PQXDH et le combinateur au cœur de l'extension post-quantique d'OpenPGP ont donc chacun, à des degrés différents, été passés au crible par des cryptographes indépendants. Et c'est un niveau de vérification encore rare dans le secteur du chiffrement grand public, où les entreprises se contentent souvent d'audits de sécurité classiques ou de déclarations commerciales.

Le travail sur TutaCrypt a été mené avec le soutien financier de l'État allemand, dans le cadre du projet PQDrive. Nous avions interrogé Matthias Pfau, cofondateur de Tuta, lequel évoquait notamment la subvention allemande liée à ces travaux de recherche.

Ce qu'il faut retenir

Alors quel service est le plus sécurisé ? Dans l'absolu, aucun des trois ne l'emporte. Ce sont trois compromis différents entre protocole sur mesure, standard ouvert et infrastructure centralisée. Et les processus de validation ne répondent pas à la même question. L'une porte sur un protocole entier face à un attaquant actif, l'autre sur la brique cryptographique centrale d'un standard plus large. Pour les utilisateurs des trois services, rien ne change concrètement puisque les protections sont déjà déployées par défaut ou disponibles en option.

Google a annoncé en mars 2026 vouloir achever sa propre migration post-quantique dès 2029, quand les États-Unis ont fixé par décret présidentiel des échéances 2030 et 2031 pour leurs agences fédérales. En France, l'ANSSI avait fixé sa propre date limite de préparation aux entreprises françaises. Elle concerne désormais directement les outils que des millions de personnes utilisent chaque jour pour protéger leurs échanges.