# Oltre metà del traffico web è ormai post-quantum: cosa significa
Table of Contents
A fine ottobre 2025 Cloudflare, una delle grandi reti che smistano una fetta importante del traffico di Internet, ha annunciato un traguardo: oltre la metà del traffico web avviato da persone che passa dai suoi server è ormai protetto con crittografia post-quantum. È un termine che sa di laboratorio, ma la questione riguarda chiunque usi un sito, faccia acquisti online o mandi un messaggio. Vale la pena capire cosa vuol dire, contro quale minaccia protegge e cosa resta ancora da fare.
La notizia in breve
L’annuncio segna un punto di svolta silenzioso. Fino a pochi anni fa la crittografia post-quantum era confinata agli esperimenti; oggi è attiva per impostazione predefinita in buona parte dei browser più diffusi. Chrome l’ha abilitata sui computer da marzo 2024 e su Android da novembre 2024; nel corso del 2025 si sono aggiunti Firefox e i sistemi di Apple, su iPhone, iPad e Mac. Il risultato è che, senza che l’utente debba fare nulla, più di una connessione su due parte già protetta contro un attacco che oggi non è ancora possibile, ma che potrebbe diventarlo.
Il problema: “raccogli ora, decifra dopo”
Per capire perché tutto questo conta bisogna partire da una minaccia dal nome poco rassicurante: harvest now, decrypt later, cioè “raccogli ora, decifra dopo”. L’idea è semplice e sgradevole. Oggi il traffico su Internet è cifrato: quando nel browser compare il lucchetto, i dati che viaggiano tra il dispositivo e il sito sono resi illeggibili a chi li intercetta. Questa protezione regge perché i computer attuali non hanno la potenza di calcolo per forzarla in tempi ragionevoli.
Il punto è che i computer quantistici - una tecnologia ancora in sviluppo, basata su principi diversi da quelli dei computer tradizionali - potrebbero un giorno rompere buona parte della crittografia che usiamo adesso. Quel momento ipotetico viene chiamato “Q-day”. Nessuno sa con certezza se e quando arriverà: le stime degli esperti vanno da poco più di dieci anni a diversi decenni. C’è però un dettaglio che rende il problema attuale e non futuro: chi intercetta traffico cifrato oggi può conservarlo e archiviarlo, in attesa di poterlo decifrare quando la tecnologia lo permetterà. Dati che restano sensibili per anni - cartelle cliniche, segreti industriali, comunicazioni riservate - sono quindi a rischio già ora, anche se il computer capace di aprirli non esiste ancora.
La risposta: crittografia post-quantum
La contromisura si chiama crittografia post-quantum: nuovi algoritmi progettati per resistere anche a un computer quantistico. Non richiedono hardware speciale, sono normale software e possono girare sui dispositivi di tutti i giorni. La parte arrivata per prima riguarda lo scambio di chiavi (in inglese key exchange o key agreement): il momento iniziale di una connessione sicura in cui il browser e il sito si mettono d’accordo su una chiave segreta condivisa, che poi serve a cifrare tutto il resto della conversazione. È proprio questo passaggio a essere esposto all’attacco “raccogli ora, decifra dopo”, ed è quindi il primo da mettere in sicurezza.
Lo scambio di chiavi ibrido
Nella pratica non si è buttata via la crittografia di prima per sostituirla con quella nuova. Si usa un approccio ibrido: si combinano un algoritmo classico, collaudato da anni, e uno post-quantum. La connessione resta protetta se almeno uno dei due regge. Così, se in futuro si scoprisse una debolezza nel nuovo algoritmo - cosa non impossibile, visto che è recente - resterebbe comunque la protezione di quello tradizionale; e all’inverso, contro un attacco quantistico, protegge la parte nuova. In pratica, cintura e bretelle insieme.
Lo schema più diffuso in questo momento si chiama X25519MLKEM768. Il nome è ostico, ma dice esattamente cosa contiene: X25519 è l’algoritmo classico usato da anni per lo scambio di chiavi, ML-KEM-768 è la parte post-quantum. ML-KEM (sigla di Module-Lattice-Based Key-Encapsulation Mechanism, in precedenza noto come Kyber) è stato standardizzato ufficialmente dall’ente statunitense NIST il 13 agosto 2024, con il nome di FIPS 203. Non è quindi la sperimentazione di un singolo fornitore, ma uno standard pubblico su cui l’industria si sta allineando. Il tutto viaggia dentro TLS 1.3, il protocollo che sta dietro all’https e al lucchetto del browser.
Perché “oltre il 50%” è una tappa concreta
Che una fetta così ampia del traffico usi già questi algoritmi non è un dettaglio da addetti ai lavori. Superare la metà significa che la protezione non è più un’eccezione, ma sta diventando la norma, in modo trasparente per chi naviga. Il merito è soprattutto dei browser, che l’hanno attivata di default: l’utente non ha dovuto installare o configurare niente. Sul lato dei siti la diffusione è più indietro - scansioni di settembre 2025 indicavano circa il 39% dei server web pubblici pronti a usarla - ma la direzione è chiara. Va anche ricordato che il dato di Cloudflare riguarda il traffico “avviato da persone”, cioè le connessioni di browser reali, tenute distinte da quelle automatiche dei bot.
Cosa manca ancora: firme e certificati
Il quadro, però, è a metà. La crittografia serve a due cose diverse, ed entrambe vanno rese post-quantum. La prima è tenere segreti i dati: è lo scambio di chiavi di cui si è parlato, ed è la parte già in produzione. La seconda è l’autenticazione: assicurarsi di parlare davvero con il sito giusto e non con un impostore. Questo si basa sui certificati e sulle firme digitali, ed è la parte ancora indietro.
Il motivo è tecnico ma comprensibile: le firme post-quantum occupano molto più spazio di quelle attuali, e questo crea problemi di prestazioni e di compatibilità con sistemi pensati per dimensioni più piccole. Al momento della notizia, a ottobre 2025, gli standard per i certificati post-quantum non erano ancora definitivi; il lavoro sui certificati “ibridi” era in corso, con la speranza di chiuderlo all’inizio del 2026. Difficilmente si vedranno certificati simili in uso diffuso prima del 2027. Restano intanto pronti altri standard NIST per le firme - ML-DSA (FIPS 204) e SLH-DSA (FIPS 205), pubblicati anch’essi nel 2024 - e un algoritmo di riserva per lo scambio di chiavi, HQC, scelto a marzo 2025 come alternativa basata su principi matematici diversi.
In sintesi
Per la maggior parte delle persone non c’è nulla da fare: basta tenere aggiornati browser e sistema operativo, e la protezione arriva da sola. Per chi gestisce siti e server il messaggio è di prepararsi senza fretta ma senza rimandare: verificare che il proprio stack supporti lo scambio di chiavi post-quantum, tenere aggiornato il software e, guardando più avanti, abituarsi all’idea che i certificati andranno rinnovati con nuovi formati. Diverse autorità - statunitensi, europee, britanniche, australiane - indicano scadenze di migrazione tra il 2030 e il 2035: c’è tempo, ma non è una buona ragione per aspettare in modo passivo.
Il superamento del 50% non risolve il problema, ma segna che la transizione è iniziata sul serio e sta procedendo in silenzio, un aggiornamento del browser alla volta.
