Cloudflare s’apprête à devenir une Autorité de Certification (CA) publique, une initiative visant à préparer l’infrastructure de confiance du web face à la menace des futurs ordinateurs quantiques. L’entreprise annonce que cette nouvelle CA supportera les certificats Merkle Tree Certificates (MTCs), une architecture conçue pour gérer la transition vers la cryptographie post-quantique sans sacrifier la performance.

Le problème, c’est que la transition n’est pas anodine. Si l’on injectait simplement les signatures post-quantiques actuelles à l’échelle d’Internet, on observerait une dégradation de performance inacceptable. Selon les estimations de Cloudflare, les signatures PQ pourraient augmenter la quantité de données que les journaux de transparence (CT logs) doivent stocker par un facteur de 40. C’est ce défi d’échelle qui motive cette refonte de la Web PKI.

Les MTCs représentent la réponse à ce goulot d’étranglement. Cette spécification de l’IETF PLANTS working group permet de regrouper les certificats dans un arbre de Merkle append-only. Au lieu qu’une CA signe chaque certificat individuellement, elle signe la racine de cet arbre. Cela autorise les navigateurs à vérifier un certificat en utilisant une preuve d’inclusion compacte, c’est-à-dire une séquence de hachages cryptographiques, au lieu de valider chaque élément séparément.

Cette approche modifie fondamentalement le rôle de la transparence. Traditionnellement, la transparence était un ajout, un mécanisme qui engendrait des problèmes de mise à l’échelle, obligeant les moniteurs à télécharger et traiter chaque journal. Avec les MTCs, la transparence devient une condition de fonctionnement, car l’émission et l’enregistrement sont couplés.

L’expérimentation et la feuille de route

Cloudflare a déjà validé ce concept en le déployant en phase expérimentale avec Chrome. D’après InfoQ, cet essai a montré une amélioration médiane de performance de 9 %, bien que cet essai initial n’utilisait pas encore les signatures post-quantiques. Ce test a concerné des milliards de MTCs distribués à la moitié de Chrome Beta 146 pour certains domaines.

L’entreprise prévoit d’intégrer cette CA dans le magasin de racines résistantes aux quantiques de Chrome au début de 2027. Pour fluidifier l’adoption, Cloudflare va acquérir le matériel de racine CA de GlobalSign, ce qui assurera une reconnaissance immédiate des certificats émis, y compris sur les appareils plus anciens. De plus, l’opérateur promet de fournir l’émission standard des MTCs gratuitement.

La nouvelle CA vise à offrir une transparence opérationnelle totale, dépassant les audits statiques. Elle partagera des détails techniques en temps réel et utilisera un tableau de bord public pour permettre à la communauté d’inspecter ses opérations.

Un chemin sans friction vers le futur

Le système des certificats actuels repose sur des chaînes de confiance. La CA valide la propriété d’un nom de domaine et atteste du lien entre ce nom et une clé publique. Cependant, la complexité et l’ajout de vérifications (comme la révocation ou la transparence) alourdissent la charge. Pour les utilisateurs, cela se traduit par une surcharge de données dans la poignée de main TLS.

Les MTCs viennent alléger ce poids. Dans le cas le plus courant, la poignée de main ne devrait transmettre qu’une clé publique, une signature et une preuve d’inclusion inférieure à 1 kilo-octet. C’est la promesse d’une migration sans friction. Le système permettra aux propriétaires de sites de gérer simultanément les certificats TLS classiques et les MTCs, assurant une transition douce.

Malgré ce projet ambitieux, des points de vigilance demeurent. L’architecture repose encore sur plusieurs piliers : la présence d’un écosystème diversifié de CA et de cosigners indépendants, le soutien des navigateurs et la capacité à gérer la révocation à l’échelle en s’appuyant sur la rapidité de l’inclusion dans l’arbre plutôt que sur les vieux mécanismes OCSP/CRL. Il faudra surveiller comment cette approche gère ces aspects critiques lorsque le volume de trafic atteindra l’échelle Internet.

Sources

• Building a post-quantum certificate authority with Merkle Tree Certificates, blog.cloudflare.com
• Cloudflare Announces Public Certificate Authority for the Post-Quantum Web, cloudflare.com
• Cloudflare Develops Public Certificate Authority for Post-Quantum Web Security, InfoQ, 9 novembre 2026
• The post-quantum future of web privacy, Cloudflare, 6 novembre 2026