PQC StatusSua criptografia tem data de validade.
RSA e curvas elípticas serão descontinuados após 2030 e proibidos após 2035, segundo o rascunho NIST IR 8547. Veja onde você está e o que falta fazer.
- Março de 2025PCI DSS 12.3.3: inventário de suítes obrigatório
- Fim de 2026UE: inventários e roteiros nacionais
- Dezembro de 2027Cyber Resilience Act plenamente aplicável
- Fim de 2030UE: sistemas de alto risco migrados, RSA-2048 descontinuado
- 2035RSA e ECC proibidos (NIST, rascunho)
Handshakes TLS passivos, como um navegador. Sem cadastro.
Como está o Brasil
Parcela de sites que negociam troca de chaves pós-quântica, medida todo mês pelo nosso observatório.
Sem CDN, apenas 14,3 % dos serviços públicos negociam troca de chaves pós-quântica nos próprios servidores. Ver o observatório
Observatório, novembro de 2026. País detectado pelo seu IP (não armazenado) com DB-IP
Desenvolvedores
pqcstatus scan na CI, SARIF nos seus merge requests e build com falha em achados críticos.
Obter uma chave de APISegurança e compliance
Um inventário sempre atualizado, mapeado para PCI DSS, DORA, NIS2 e o Cyber Resilience Act.
Ver o relatórioFornecedores
Responda a questionários de clientes com um relatório datado e um selo verificável em tempo real.
Obter o seloTudo o que a transição pós-quântica exige
- ScannerML-KEM híbrido, versões de TLS, suítes de cifras e certificados, em segundos.
- CBOM na sua CIUm só comando inventaria código, configurações e dependências. Seu código nunca sai da sua máquina.
- MonitoramentoNovo scan todos os dias, e um alerta no dia em que algo piorar.
- Relatório de prontidãoUm PDF para seu CISO, seu auditor e seus clientes: achados, inventário PCI DSS 12.3.3, plano com datas.
- Selo verificadoExiba no seu site. Ele se atualiza sozinho e nunca afirma mais do que medimos.
- Referência com fontesCada prazo do NIST, da ANSSI, do BSI e da UE, com link para o texto original.
Feito para as regras que você precisa cumprir
Cronograma completo- PCI DSS v4.0.1O requisito 12.3.3 torna obrigatório, desde 31 de março de 2025, um inventário de conjuntos de cifras (cipher suites) e protocolos revisado anualmente.Em vigor
- Cyber Resilience ActRequisitos essenciais de cibersegurança para produtos, incluindo a criptografia de dados em repouso e em trânsito com mecanismos de última geração.Próxima etapa: dez. de 2027
- DORAExige uma política de criptografia capaz de mudar a tecnologia criptográfica conforme a evolução da criptoanálise, além da gestão completa do ciclo de vida de chaves e certificados.Em vigor
- NIS2As medidas de gestão de riscos de cibersegurança incluem políticas de criptografia e cifragem; uma proposta de 2026 acrescenta a transição para PQC às estratégias nacionais.Em vigor
- Roteiro PQC da UECronograma comum da UE: primeiros passos e roteiros nacionais até o fim de 2026, sistemas de alto risco migrados até o fim de 2030 e de risco médio até o fim de 2035.Próxima etapa: dez. de 2026
- Diretrizes da ANSSIHibridização obrigatória no escopo regulado; iniciar já o inventário criptográfico; PQC esperada para a qualificação de produtos a partir de 2027.Próxima etapa: jan. de 2027
- BSI TR-02102-1PQC híbrida recomendada; acordo de chaves clássico isolado somente até o fim de 2031; RSA de pelo menos 3000 bits.Próxima etapa: dez. de 2031
- UK NCSCDescoberta e plano até 2028, migrações prioritárias até 2031, migração completa até 2035.Próxima etapa: dez. de 2028
- US federal PQC migrationInventário criptográfico automatizado e CBOM, estabelecimento de chaves PQC até o fim de 2030, assinaturas PQC até o fim de 2031, migração completa até 2035.Próxima etapa: dez. de 2030
- NSA CNSA 2.0Algoritmos obrigatórios: ML-KEM-1024, ML-DSA-87, LMS/XMSS, AES-256, SHA-384/512, com prazos específicos por categoria.Próxima etapa: dez. de 2030
Perguntas frequentes
O que significa um site estar pronto para a era pós-quântica?
Significa que o servidor consegue negociar uma troca de chaves pós-quântica ou híbrida, como X25519MLKEM768, no TLS 1.3. As chaves de sessão permanecem secretas mesmo diante de um futuro computador quântico. Os certificados são uma etapa separada: os certificados web públicos ainda são RSA ou ECDSA hoje.
A análise é intrusiva?
Não. Ela realiza handshakes TLS padrão e uma requisição HTTP, como faria um navegador. Nunca tenta fazer login, explorar vulnerabilidades ou sobrecarregar o servidor, e os resultados ficam em cache por uma hora para evitar conexões repetidas.
Meu site está atrás da Cloudflare ou de outra CDN. O resultado é válido?
É válido para a borda da CDN, que é onde os visitantes se conectam. A conexão entre a CDN e o seu servidor de origem é um link TLS separado: verifique-a também, pois ela pode ainda usar apenas troca de chaves clássica.
Isto é uma certificação de conformidade?
Não. A análise documenta fatos sobre a sua configuração TLS visível externamente, com datas e fontes. Ela ajuda a montar o inventário esperado pelo PCI DSS, pelo DORA ou pelo CRA, mas não é uma auditoria nem um certificado.
Quais prazos se aplicam à minha empresa?
Depende do seu setor e mercado: PCI DSS para pagamentos com cartão, DORA para entidades financeiras da UE, NIS2 para entidades essenciais e importantes, CRA para produtos vendidos na UE. Nossa página de regulamentações lista cada exigência com sua fonte primária.
Receba o boletim mensal pós-quântico
Novos prazos, dados de adoção do nosso observatório e guias práticos de migração. Um e-mail por mês, sem spam, cancelamento em um clique.