TechAtelier
DÉVELOPPEMENT · SSH · GITHUB

GitHub durcit SSH : faut-il changer vos clés avant octobre 2026 ?

À partir du 14 octobre 2026, GitHub imposera au moins 3072 bits aux nouvelles clés RSA et activera un nouvel échange de clés hybride post-quantique. Mais une clé RSA existante n’est pas forcément à remplacer.

GitHub modernise sa pile SSH : retrait progressif de l’ancienne signature RSA basée sur SHA-1, abandon d’un ancien échange Diffie-Hellman, taille minimale renforcée pour les nouvelles clés RSA et prise en charge de ML-KEM. Pour la majorité des utilisateurs à jour, la transition sera transparente.

Ce qui change le 14 octobre 2026

  • Les nouvelles clés RSA ajoutées à GitHub devront faire au moins 3072 bits.
  • GitHub activera mlkem768x25519-sha256, un échange de clés hybride post-quantique, sur github.com et certaines offres GitHub Enterprise Cloud.
  • L’ancienne signature ssh-rsa utilisant SHA-1 est en voie de retrait.
  • diffie-hellman-group-exchange-sha256 est également retiré progressivement.

Votre clé RSA n’est pas forcément obsolète

Le point le plus facile à mal comprendre est le nom ssh-rsa. Il peut désigner le type de clé RSA, mais GitHub utilise ici ce terme pour parler de l’ancienne signature RSA avec SHA-1.

Une clé RSA existante peut continuer à fonctionner si votre client SSH sait signer avec rsa-sha2-256 ou rsa-sha2-512. GitHub précise qu’il n’est alors pas nécessaire de générer une nouvelle clé.

À retenir

RSA n’est pas supprimé. GitHub retire surtout RSA+SHA-1. La nouvelle exigence de 3072 bits concerne les clés RSA ajoutées après le 14 octobre 2026.

Faut-il passer à Ed25519 ?

Pour une nouvelle clé, GitHub recommande Ed25519 lorsque c’est possible. C’est généralement le choix le plus simple pour un poste développeur moderne.

RSA reste utile lorsque la compatibilité avec certains outils ou équipements l’impose. Dans ce cas, toute nouvelle clé ajoutée après le 14 octobre devra atteindre au moins 3072 bits.

Que signifie ML-KEM dans SSH ?

mlkem768x25519-sha256 est un mécanisme d’échange de clés hybride : il combine un mécanisme post-quantique ML-KEM avec X25519, une primitive classique déjà largement utilisée.

L’objectif n’est pas de remplacer votre clé SSH personnelle. L’échange de clés sert à établir le secret de session entre votre client et GitHub. Votre clé Ed25519 ou RSA continue, elle, à authentifier votre identité.

Si votre client sait utiliser ce nouvel algorithme et le préfère, il pourra le négocier automatiquement. Un client plus ancien retombera sur un échange compatible.

Qui doit vérifier sa configuration ?

Les utilisateurs dont les remotes Git commencent par git@github.com: ou utilisent explicitement SSH sont concernés par ces changements. Les remotes en HTTPS ne le sont pas.

GitHub cite notamment comme versions disposant d’un support robuste de RSA-SHA-2 : OpenSSH 7.2p1+, TeamCity 2021.2.3+, Go SSH 0.16.0+, libssh2 1.11.0+ et PuTTY 0.82+.

Les vérifications simples à faire

  • Vérifier si vos remotes utilisent SSH ou HTTPS avec git remote -v.
  • Contrôler la version du client avec ssh -V.
  • Éviter de forcer manuellement l’algorithme de signature ssh-rsa dans une vieille configuration SSH.
  • Pour toute nouvelle clé, préférer Ed25519 lorsque vos outils le permettent.
  • Si RSA reste nécessaire, générer au minimum 3072 bits pour les nouvelles clés.
  • Tester les automatisations anciennes, bibliothèques embarquées et runners qui utilisent leur propre implémentation SSH.

Les dates à surveiller

GitHub prévoit un premier brownout des anciens algorithmes le 4 novembre 2026, puis un second le 9 décembre 2026. Ces interruptions temporaires sont utiles pour détecter les clients qui reposent encore sur les mécanismes en voie de retrait.

Pas de panique, mais un bon moment pour auditer SSH

Pour un développeur utilisant un OpenSSH récent et Ed25519, il n’y a probablement rien à faire. Pour une clé RSA existante, la priorité est de vérifier que le client utilise RSA-SHA-2 plutôt que SHA-1.

Le changement le plus visible à partir du 14 octobre sera surtout la nouvelle exigence de taille pour les clés RSA ajoutées. L’arrivée de ML-KEM, elle, montre que la migration post-quantique commence à devenir une évolution normale des protocoles plutôt qu’un sujet purement théorique.

Sources

Publié le 23 septembre 2026. Les dates et recommandations techniques proviennent de l’annonce GitHub du 22 septembre 2026.