Trump signe l'EO 14409 et fixe à fin 2031 la migration fédérale vers la cryptographie post-quantique

Donald Trump a signé le 22 juin 2026 deux décrets — Executive Order 14409 « Securing the Nation Against Advanced Cryptographic Attacks » et EO 14411 « Ushering In the Next Frontier of Quantum Innovation » — qui fixent un calendrier contraignant à toutes les agences fédérales américaines pour migrer vers la cryptographie post-quantique. Échéances : fin 2030 pour l'établissement de clés, fin 2031 pour les signatures numériques, sur les standards NIST PQC.

Ce n'est pas une législation crypto. Mais le calendrier est celui que les protocoles blockchain — Bitcoin et Ethereum en tête — vont devoir s'imposer en parallèle s'ils veulent rester sécurisés à l'arrivée du « Q-Day ».

Ce que disent les décrets

EO 14409. Tous les high-value assets et high-impact systems fédéraux doivent passer à la PQC validée NIST :

• 31 décembre 2030 : key establishment (échange de clés).
• 31 décembre 2031 : signatures numériques.
• 30 jours après signature : chaque agence désigne un PQC migration lead.
• 180 jours : le NIST, via le Secrétaire au Commerce, lance un projet pilote de migration PQC sur un sous-ensemble de ses propres systèmes — pilote à boucler au 31 décembre 2027.

Le préambule cite explicitement la menace harvest now, decrypt later : un adversaire peut intercepter aujourd'hui du trafic chiffré et le déchiffrer rétroactivement le jour où il dispose d'un ordinateur quantique cryptographiquement pertinent. C'est cette logique de vol différé qui sert de justification au calendrier serré.

EO 14411. Fixe l'horizon scientifique de l'ensemble : déployer un ordinateur quantique scientifiquement pertinent d'ici 2028. Coordination interagences, sécurisation de la chaîne d'approvisionnement quantique, protection des chercheurs face aux menaces étrangères. C'est l'autre moitié du couple : pendant que la défense passe à la PQC, l'offensive américaine essaie d'arriver au quantique avant Pékin.

Pourquoi la crypto regarde

Bitcoin et Ethereum reposent sur ECDSA (et désormais Schnorr pour Bitcoin via Taproot) pour les signatures, et sur ECDH-style pour certains schémas dérivés. Un ordinateur quantique capable d'exécuter l'algorithme de Shor à grande échelle casse les deux. Le calendrier fédéral américain — fin 2031 pour les signatures numériques — est désormais une ligne d'horizon publique que les protocoles doivent eux-mêmes prendre comme repère.

Coinbase, dans un rapport publié plus tôt ce mois-ci, chiffrait à environ 7 millions de BTC la quantité de bitcoins assis sur des adresses « exposées » — typiquement les adresses P2PK des débuts (clé publique en clair on-chain), ou les adresses P2PKH réutilisées dont la clé publique a déjà été révélée par une dépense passée. Ces UTXO sont les premières cibles d'un attaquant quantique. Le débat communautaire sur un éventuel burn protecteur de ces fonds — déjà ouvert dans des proposals BIP — devient politiquement plus simple à porter quand le calendrier fédéral pose une date.

Côté Ethereum, la Glamsterdam devnet final qui vient d'entrer en phase finale et la Kohaku roadmap intègrent déjà les briques techniques nécessaires à une rotation vers la cryptographie post-quantique, sans en faire encore un hard fork dédié. Stellar a publié son Quantum Preparedness Plan début juin. Zcash et son hard fork d'urgence Orchard NU6.2 traitent un autre problème (faille de soundness), mais s'inscrivent dans le même calendrier de mises à niveau cryptographiques accélérées.

Chiffres

• EO 14409 — signé le 22 juin 2026.
• Échéance key establishment PQC : 31/12/2030.
• Échéance signatures PQC : 31/12/2031.
• Délai désignation PQC lead par agence : 30 jours.
• Pilote NIST à boucler : 31/12/2027.
• EO 14411 — objectif ordinateur quantique pertinent : 2028.
• Source primaire : pages Presidential Actions sur whitehouse.gov pour les deux décrets.

Impact

Pour les agences fédérales : le compte à rebours commence. Les systems of records qui passent par CISA et OMB vont devoir produire un inventaire de leurs primitives cryptographiques sous 12 à 18 mois, identifier les usages d'ECDSA, RSA et ECDH, et planifier le remplacement par les schémas NIST FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) ou FIPS 205 (SLH-DSA).

Pour les fournisseurs : Cloudflare, Microsoft, Google ont déjà déployé Kyber/ML-KEM en TLS 1.3. Le décret transforme leur effort volontaire en exigence d'achat fédéral. Tout vendeur qui veut renouveler un contrat fédéral à partir de 2028-2029 devra prouver une roadmap PQC.

Pour les blockchains : pas d'obligation directe, mais une ligne de mire publique. Les protocoles qui n'auront pas, d'ici 2030-2031, soit un schéma de signature post-quantique optionnel soit un chemin de migration crédible des UTXO/comptes vulnérables, devront répondre à la question — par les régulateurs, par les institutionnels, par leurs propres communautés.

Que surveiller

1. Le memorandum OMB d'application. Le décret délègue à l'Office of Management and Budget la fixation des sous-jalons concrets pour chaque agence. Texte attendu sous 90 jours.
2. La désignation du PQC lead au Trésor. L'agence qui héberge OFAC, IRS et FinCEN est celle dont les choix de migration auront le plus d'effets indirects sur l'écosystème crypto.
3. Le calendrier de NIST. Le pilote interne du NIST (échéance fin 2027) est le banc de test public dont les retours informeront tous les autres déploiements.
4. Réactions des core devs Bitcoin et Ethereum. Une mise à jour des BIP en discussion sur la migration post-quantique (BIP-360 et suivants) et des EIP correspondants serait le signal d'une accélération côté protocoles.
5. Coté Q-Day. Aucune annonce vérifiable d'un ordinateur quantique cryptographiquement pertinent. Les estimations d'experts oscillent entre 2030 et 2040. Le décret américain parie sur la fourchette basse.

Contexte

C'est la première fois qu'une administration américaine fixe par décret une date butoir contraignante pour la migration PQC fédérale — la NSM-10 de 2022 fixait une trajectoire mais sans échéance ferme. L'écart resserré (2031 contre 2035 dans les plans antérieurs) est l'élément vraiment nouveau.

Sur ce site, la séquence est cohérente : rapport de Coinbase sur les 7 M BTC vulnérables, Quantum Preparedness Plan de la Stellar Development Foundation, et maintenant le calendrier fédéral américain. Les trois pointent dans la même direction. La discussion publique sur la cryptographie post-quantique sort du cercle des cryptographes pour entrer dans celui des conseils d'administration et des trésoriers d'État.