Les preuves d’abord. Ces réponses reprennent uniquement ce qu’affirment nos pages produit, notre centre de confiance et nos preuves publiées. Votre question n’y figure pas ? Posez-la-nous : nous répondons sous un jour ouvré.
Aucune question ne correspond à cette recherche. Essayez un autre mot, ou posez-nous la question.
Le risque post-quantique
La menace « récolter maintenant, déchiffrer plus tard » est-elle réelle ?
Oui. Enregistrer un trafic chiffré ou des données stockées ne demande aucun ordinateur quantique : un attaquant peut les capter aujourd’hui et les déchiffrer dès qu’un ordinateur quantique cryptographiquement pertinent existera. Si ces données doivent encore rester confidentielles à ce moment-là, elles sont déjà exposées. Le risque est maximal pour les données à longue durée de confidentialité (dossiers de santé, données financières, contrats de long terme) protégées par un échange de clés vulnérable au quantique (RSA, ECDH, Diffie-Hellman).
En savoir plus : Calculateur d’exposition HNDL · Évaluer son exposition HNDL (en anglais)
Quand un ordinateur quantique cassera-t-il RSA et la cryptographie sur courbes elliptiques ?
Personne ne le sait : l’année d’arrivée doit donc être traitée comme une hypothèse de planification. CRYPTAGION utilise un scénario de planification paramétrable, 2032 par défaut, avec 2030 et 2038 comme valeurs de référence pour tester la sensibilité de votre plan. C’est une hypothèse de planification, pas une prédiction.
En savoir plus : Calculateur d’exposition HNDL
Pourquoi agir en 2026 si la menace est encore lointaine ?
Parce que le premier jalon européen tombe fin 2026, et que la durée de la migration joue aussi contre vous. La feuille de route coordonnée de l’UE pour la cryptographie post-quantique attend des premières étapes d’ici fin 2026 (dont les inventaires cryptographiques, la cartographie des dépendances et l’analyse du risque quantique), la migration des cas d’usage à haut risque d’ici fin 2030, et celle des cas à risque moyen d’ici 2035. Elle s’adresse aux États membres et ne crée à elle seule aucune obligation juridique nouvelle, mais elle fixe l’échéance à l’aune de laquelle seront lues les obligations existantes de NIS2 et de DORA.
En savoir plus : La feuille de route PQC de l’UE : 2026, 2030 et 2035
La menace quantique concerne-t-elle aussi les signatures, et pas seulement le chiffrement ?
Oui, mais selon un autre calendrier. Les signatures RSA, ECDSA et Ed25519 sont robustes aujourd’hui mais cassables par l’algorithme de Shor : elles doivent migrer, par exemple vers ML-DSA (FIPS 204) ou SLH-DSA (FIPS 205). Une signature ne se « récolte » pas comme un trafic chiffré : la falsifier exige un ordinateur quantique au moment même de l’attaque. Les certificats TLS post-quantiques reconnus publiquement n’existent pas encore : un certificat RSA ou ECDSA est donc normal aujourd’hui, ce n’est pas une erreur de configuration.
En savoir plus : Calculateur HNDL : hypothèses et limites · Vérificateur TLS post-quantique
AES est-il menacé ?
Pas de la même façon. L’algorithme de Grover n’apporte au mieux qu’une accélération quadratique, si bien qu’AES-256 est généralement considéré comme sûr, et certaines recommandations exigent des clés de 256 bits pour une protection de long terme. CRYPTAGION classe AES-256, SHA-256 et au-delà, SHA-3 et HMAC en « conserver et surveiller » : on les garde, on les suit dans l’inventaire et on les réévalue à mesure que les recommandations évoluent.
En savoir plus : Glossaire : AES
Qu’est-ce qui remplace RSA et la cryptographie sur courbes elliptiques ?
Le NIST a publié trois normes définitives le 13 août 2024 : ML-KEM (FIPS 203) pour l’établissement de clés, ML-DSA (FIPS 204) et SLH-DSA (FIPS 205) pour les signatures. Les agences européennes comme l’ANSSI et le BSI recommandent de les déployer en mode hybride, combinées à un algorithme classique, pendant la transition. CRYPTAGION associe à chaque résultat vulnérable au quantique son remplaçant recommandé.
En savoir plus : Suivi des normes post-quantiques
Ce que CRYPTAGION trouve
Qu’analyse CRYPTAGION ?
Trois surfaces réunies dans un seul inventaire : le code source en Python, JavaScript/TypeScript, Java, Go et C/C++ ; les certificats X.509 aux formats PEM, DER, CRT et CER, avec émetteur, validité et algorithme de signature ; et les endpoints TLS en production, avec protocoles et suites de chiffrement négociés. Chaque résultat conserve sa provenance : fichier et ligne, certificat ou endpoint.
En savoir plus : Inventaire cryptographique (en anglais)
Chaque détection est-elle une vulnérabilité ?
Non. Imports, tables de correspondance d’algorithmes, vecteurs de test et tests de capacité comptent tous comme des détections, et ils n’ont pas le même sens. Chaque résultat est étiqueté par périmètre (production, test, exemple ou code tiers), pour ne pas confondre fixtures de test et bibliothèques embarquées avec la cryptographie de production, et pour les exclure d’une barrière CI. Dans notre analyse publiée de pyca/cryptography, 1 746 des 1 804 détections se trouvent dans les tests et 46 dans le code de la bibliothèque.
En savoir plus : Explorateur de l’analyse pyca/cryptography
Trouvera-t-il chaque usage de la cryptographie dans notre code ?
Nous ne le prétendons pas. La couverture dépend du langage et du style de code, et des valeurs transmises d’une méthode à une autre peuvent encore échapper à l’analyse. Dans notre comparatif publié sur Keycloak, CBOMkit a trouvé des lignes de production que notre première analyse avait manquées ; nous avons corrigé les règles Java et publié la nouvelle analyse, y compris les 4 lignes encore manquées. Testez tout outil sur du code qui ressemble au vôtre avant de choisir.
En savoir plus : CBOMkit vs CRYPTAGION (en anglais)
Comment le risque est-il noté, et pouvons-nous l’ajuster ?
Chaque actif reçoit un score de 0 à 100, rattaché à sa ligne exacte et expliqué facteur par facteur : algorithme, taille de clé, durée de vie des données et exposition « récolter maintenant, déchiffrer plus tard », en s’appuyant sur NIST IR 8413, BSI TR-02102-1 et CNSA 2.0. Vous l’ajustez avec une politique .cryptagion.yaml qui attribue à chaque chemin sa classification et sa durée de confidentialité, de sorte que les secrets de long terme pèsent plus que le trafic public. L’année de planification quantique est elle aussi paramétrable.
En savoir plus : À quoi ressemble un résultat (en anglais)
Devons-nous remplacer toute notre cryptographie ?
Non. CRYPTAGION distingue trois cas. Corriger maintenant : MD5, SHA-1, RSA-1024 et certificats expirés, déjà cassés ou hors politique. Migrer vers le post-quantique : RSA, ECDSA, ECDH, DH et Ed25519, robustes aujourd’hui mais cassables par l’algorithme de Shor. Conserver et surveiller : AES-256, SHA-256 et au-delà, SHA-3 et HMAC.
En savoir plus : Corriger, migrer, conserver
Qu’est-ce qu’un CBOM, et pourquoi CycloneDX 1.6 ?
Un CBOM (Cryptographic Bill of Materials) est un inventaire lisible par machine des actifs cryptographiques de vos systèmes, avec l’endroit où chacun a été trouvé. CRYPTAGION l’exporte au format CycloneDX 1.6, validé contre le schéma officiel : un standard ouvert que vos outils GRC savent ingérer, et qui reste exploitable si vous cessez de travailler avec nous. Les scores de risque et les recommandations sont écrits dans des sorties distinctes, pour que le CBOM reste un relevé neutre de ce qui a été trouvé.
En savoir plus : Générateur de CBOM (en anglais)
Que recevons-nous concrètement ?
Un CBOM CycloneDX 1.6 ; un rapport exécutif PDF aligné sur DORA, NIS2, le CRA européen et FIPS 203/204/205, avec un score de posture et un plan à 30, 90 et 180 jours ; une feuille de route de migration en 4 vagues avec estimation de l’effort ; et un fichier SARIF pour les équipes de développement. Tous sont des formats ouverts, exploitables sans notre plateforme.
En savoir plus : Comment ça marche
Quelle différence avec les outils CBOM open source ?
Les outils CBOM open source produisent un inventaire cryptographique ; ils sont gratuits, performants, et constituent le bon choix si vous avez l’expertise et le temps de les assembler et de les maintenir en interne. CRYPTAGION repose sur le même standard ouvert et ajoute la couche de décision : score de risque quantique par actif, exposition HNDL, rapport pour la direction, feuille de route de migration par vagues et correspondance réglementaire, avec un praticien nommé responsable du résultat. Nous avons aussi publié une comparaison directe avec CBOMkit sur deux dépôts réels, y compris là où CBOMkit a trouvé davantage que nous.
En savoir plus : Comparatif des outils (en anglais) · CBOMkit vs CRYPTAGION (en anglais)
Peut-on voir des résultats réels avant un rendez-vous ?
Oui. Nous avons publié une analyse figée de pyca/cryptography : 243 fichiers Python, 1 804 détections, un CBOM CycloneDX 1.6 validé contre le schéma officiel, les résultats de validation et le dossier de preuves. L’explorateur permet de filtrer chaque détection et de l’ouvrir à sa ligne exacte sur GitHub. L’étude de cas énonce aussi ses limites, par exemple que les 109 fichiers Rust n’ont pas été analysés.
En savoir plus : Explorateur de l’analyse · Étude de cas Python (en anglais)
Déploiement, sécurité et intrusivité
Mon code source quitte-t-il mon environnement ?
Non. La découverte s’exécute dans votre périmètre ; seuls des résultats agrégés sont produits. Les exécutions isolées (air-gapped) sont prises en charge. Analyse statique, lecture des certificats, handshakes TLS, score de risque, CBOM et rapport : tout s’exécute localement.
En savoir plus : Déploiement et flux de données (en anglais)
Peut-il fonctionner en environnement isolé (air-gapped) ?
Oui. Les exécutions entièrement hors ligne sont prises en charge, et la synthèse pour la direction passe alors en mode hors ligne déterministe, sans aucun appel externe. Les partenaires qui interviennent chez des clients isolés disposent d’un paquet d’installation hors ligne.
En savoir plus : Déploiement et flux de données (en anglais) · Partenaires
Une analyse a-t-elle un impact sur nos systèmes de production ?
L’analyse du code et des certificats est statique : les fichiers sont lus et analysés, le code analysé n’est pas exécuté. La découverte TLS ouvre des handshakes avec les endpoints que vous incluez dans le périmètre, comme le ferait un client qui se connecte. Aucun agent n’est à installer sur votre parc : vous pointez la ligne de commande vers un dépôt, un répertoire de certificats ou une cible TLS.
En savoir plus : Déploiement et flux de données (en anglais)
De quels accès CRYPTAGION a-t-il besoin ?
Quand vous l’exécutez vous-même, il lui suffit d’atteindre ce que vous lui indiquez : un dépôt, un répertoire de certificats ou une cible TLS, sur vos serveurs, dans votre CI/CD ou hors ligne. Lors d’une prestation de découverte où nous lançons l’analyse pour vous, vous choisissez comment le code nous parvient : une clé de déploiement en lecture seule sur un miroir que vous contrôlez, un transfert ponctuel à accès temporaire, ou une analyse en partage d’écran où vous suivez chaque commande.
En savoir plus : Centre de confiance
Où vont nos données pendant une prestation de découverte ?
Sur une machine virtuelle dédiée, hébergée sur un serveur dédié que nous louons à OVHcloud à Gravelines (France). Les VM ne sont jamais partagées entre clients, et aucune donnée client n’est transférée ni traitée hors de l’Espace économique européen. Les livrables sont déposés à l’emplacement de votre choix, avec leurs empreintes SHA-256. Dans les 7 jours suivant la clôture, la VM est détruite et vous recevez un certificat de destruction des données signé.
En savoir plus : Centre de confiance
De l’IA ou un LLM est-il utilisé sur nos données ?
Pas par défaut. La synthèse pour la direction est générée à partir de règles et fonctionne en mode hors ligne déterministe, sans appel externe. L’assistance LLM facultative pour cette synthèse utilise un modèle souverain européen que vous choisissez et pouvez remplacer ; c’est le seul appel externe possible, et votre code source n’est jamais envoyé.
En savoir plus : Déploiement et flux de données (en anglais)
Peut-il s’intégrer à notre chaîne CI/CD ?
Oui. La découverte s’exécute dans le pipeline : le code source ne quitte pas le runner. Elle produit un CBOM CycloneDX 1.6 à chaque modification, peut faire échouer le build quand une cryptographie cassée ou vulnérable au quantique enfreint votre politique, et écrit un fichier SARIF pour les outils d’analyse de code. Commencez en mode rapport seul, établissez une base de référence, puis resserrez la politique vague par vague.
En savoir plus : Barrière CI/CD (en anglais)
Que signons-nous, et que se passe-t-il en cas d’incident ?
Un accord de confidentialité mutuel (NDA), un bon de commande et un accord de traitement des données au sens de l’article 28 du RGPD, tous signés avant tout travail technique ; les livrables vous appartiennent. Si un incident est raisonnablement susceptible de concerner vos données, nous prévenons votre DPO ou votre contact sécurité désigné sous 48 heures, participons à votre réponse à incident, et ne faisons aucune déclaration publique sans votre accord écrit.
En savoir plus : Centre de confiance
Comment signaler une vulnérabilité dans CRYPTAGION ?
Écrivez à security@cryptagion.io en décrivant le problème, son impact, les étapes pour le reproduire et le composant concerné. Nous accusons réception sous 5 jours ouvrés, pratiquons la divulgation coordonnée et garantissons un cadre protecteur (safe harbour) pour la recherche de bonne foi. La politique lisible par machine se trouve à l’adresse /.well-known/security.txt.
En savoir plus : Sécurité et divulgation responsable (en anglais)
Tarifs et prestations
Combien coûte CRYPTAGION ?
Nos tarifs sont publics. Le Pilote PQC Readiness coûte 18 000 €. La Discovery est à prix fixe : 45 000 € sur 60 jours. L’offre Platform démarre à 80 000 € par an. Le conseil en migration est cadré selon votre parc et facturé séparément.
En savoir plus : Tarifs
Qu’est-ce que le pilote, et qui peut en bénéficier ?
Une mission à périmètre fixe pour établir l’état des lieux d’un domaine critique : 3 à 5 dépôts et jusqu’à 20 endpoints TLS, avec un exemple de CBOM CycloneDX, une synthèse du risque quantique et un aperçu pour la direction. Il est proposé au tarif du programme de référence, 18 000 €, en échange d’une référence publique et d’un entretien de 30 minutes pour une étude de cas, et il est réservé aux 5 premiers clients de référence. C’est la première étape naturelle avant une Discovery complète.
En savoir plus : Tarifs
Que comprend la Discovery ?
Un prix fixe de 45 000 € sur 60 jours, pour un périmètre allant jusqu’à 50 dépôts, 100 endpoints TLS et vos magasins de certificats, sur site ou en environnement isolé, avec un atelier de restitution. Vous recevez une découverte complète du code, des certificats et du TLS, un CBOM CycloneDX 1.6, un rapport exécutif PDF prêt pour le comité, une feuille de route de migration en 4 vagues et une correspondance réglementaire avec DORA, NIS2 et le CRA.
En savoir plus : Découverte post-quantique · Tarifs
Que se passe-t-il après la Discovery ?
Deux suites possibles, facultatives. L’offre Platform, à partir de 80 000 € par an, maintient l’inventaire à jour : analyses continues sur un nombre illimité de dépôts, intégration CI/CD et API, rafraîchissement trimestriel du CBOM, alertes sur toute nouvelle cryptographie et piste d’audit. Le conseil en migration, chiffré à part, accompagne la migration elle-même, directement ou via votre intégrateur sécurité.
En savoir plus : Tarifs
Pouvons-nous passer par notre intégrateur ou notre cabinet de conseil ?
Oui. Les intégrateurs et cabinets peuvent prendre une licence partenaire pour utiliser CRYPTAGION dans leurs missions clients, au sein de l’environnement de chaque client, et KOR IT peut co-réaliser une évaluation ou le conseil en migration avec eux. Les conditions partenaires dépendent du volume et du mode de délivrance et sont établies sur demande ; l’OEM et la redistribution relèvent d’un accord distinct.
En savoir plus : Programme partenaires
Existe-t-il un essai gratuit ?
Nos tarifs publics ne prévoient pas d’essai gratuit. Les points de départ gratuits sont une démo en direct de 30 minutes sur un dépôt public, et trois outils qui fonctionnent dans le navigateur : une auto-évaluation de maturité en 2 minutes, un calculateur d’exposition « récolter maintenant, déchiffrer plus tard » et un vérificateur TLS post-quantique pour un domaine public.
En savoir plus : Demander une démo · Auto-évaluation
Faut-il vous donner accès à notre code pour une démo ?
Non. La démo n’utilise que du code public : nous lançons la découverte en direct sur un dépôt public, par exemple l’un de vos projets open source ou une bibliothèque dont votre stack dépend, et nous ne demandons jamais l’accès à vos dépôts. Vous repartez avec un aperçu de CBOM CycloneDX et les principaux résultats vulnérables au quantique.
En savoir plus : Demander une démo
Que deviennent nos livrables si nous arrêtons CRYPTAGION ?
Toutes les sorties sont des standards ouverts (CBOM CycloneDX, PDF) et restent pleinement exploitables sans la plateforme. Un séquestre du code source est disponible sur les engagements Platform, avec un droit d’audit documenté et une clause de réversibilité.
En savoir plus : Pourquoi une pratique spécialisée
Conformité
Utiliser CRYPTAGION nous rend-il conformes à DORA, NIS2 ou au CRA ?
Aucun outil ne le fait à lui seul. CRYPTAGION alimente les preuves des activités de gestion des risques cryptographiques, de résilience et de gouvernance pertinentes pour des cadres tels que NIS2, DORA et le Cyber Resilience Act. L’utilisation du produit n’établit pas à elle seule la conformité réglementaire.
En savoir plus : FAQ de la page d’accueil
À quels standards le CBOM est-il conforme ?
Crypto-BOM CycloneDX 1.6, validé contre le schéma strict, avec un reporting aligné sur DORA, NIS2, le CRA européen et FIPS 203/204/205. Chaque résultat vulnérable au quantique est associé à son remplaçant parmi ML-KEM, ML-DSA et SLH-DSA.
En savoir plus : Générateur de CBOM (en anglais)
Que disent réellement DORA et NIS2 sur la cryptographie ?
L’article 21, paragraphe 2, point h) de NIS2 exige des politiques et procédures relatives à l’utilisation de la cryptographie et, le cas échéant, du chiffrement. Pour DORA, les normes techniques de réglementation sur la gestion des risques (règlement délégué (UE) 2024/1774) exigent une politique documentée de chiffrement et de contrôles cryptographiques prévoyant la mise à jour des technologies cryptographiques au fil des progrès de la cryptanalyse, ainsi qu’une gestion des clés et un registre des certificats. Sans savoir où se trouve votre cryptographie, ces attentes sont difficiles à démontrer.
En savoir plus : La feuille de route PQC de l’UE
Les livrables peuvent-ils servir de preuve d’audit ?
Oui, comme éléments de preuve. Chaque résultat porte sa provenance (fichier, ligne ou endpoint), le CBOM est un fichier CycloneDX 1.6 validé contre le schéma, un livrable que les auditeurs attendent de plus en plus, et l’offre Platform conserve une piste d’audit à l’appui de vos preuves réglementaires. L’utilisation du produit n’établit pas à elle seule la conformité.
En savoir plus : Inventaire cryptographique (en anglais)
L’entreprise
Qui est derrière CRYPTAGION ?
KOR IT, une SAS française basée à Bordeaux, créée en 2021 et immatriculée au RCS de Bordeaux sous le numéro 905 247 706. CRYPTAGION est construit par une pratique spécialisée d’ingénierie sécurité, et les personnes qui cadrent votre mission sont celles qui exécutent l’outil sur votre code.
En savoir plus : Mentions légales (en anglais)
CRYPTAGION est-il conçu dans l’Union européenne ?
Oui. Il est conçu à Bordeaux par KOR IT, pour les organisations européennes réglementées. Quand nous menons une prestation de découverte pour vous, l’analyse s’exécute en France, et aucune donnée client n’est transférée ni traitée hors de l’Espace économique européen. Quand vous utilisez le produit vous-même, nous ne traitons aucune de vos données.
En savoir plus : Centre de confiance
Comment obtenir les documents de sécurité pour nos achats ?
Le document de posture de sécurité est public : téléchargez-le (PDF, en anglais). Pour les modèles de DPA, de NDA ou de bon de commande, nos réponses à votre questionnaire de sécurité ou un appel avec le responsable de la prestation, utilisez le formulaire du centre de confiance ; nous répondons sous un jour ouvré.
En savoir plus : Demander des documents
Recrutez-vous ?
Nous n’avons pas de poste ouvert pour le moment, mais nous lisons chaque candidature spontanée. Nous souhaitons surtout échanger avec des experts en cryptographie et des spécialistes du marketing B2B en cybersécurité, en hybride depuis la France. Écrivez à contact@cryptagion.io avec l’objet « Candidature spontanée ».
En savoir plus : Carrières
Une question reste sans réponse ?
Voyez CRYPTAGION analyser un dépôt public proche de votre stack lors d’une démo gratuite de 30 minutes, ou obtenez un premier score en 2 minutes.
Demander une démo → Faire l’auto-évaluation