Cloudflare ha publicado este 9 de julio un análisis técnico con una recomendación directa para el mercado: las organizaciones deberían avanzar con las firmas poscuánticas disponibles, en particular ML-DSA, mientras los nuevos candidatos de NIST siguen su proceso de evaluación. La compañía sitúa el debate en un punto sensible para la seguridad empresarial. La criptografía poscuántica empieza a dejar de ser una discusión de laboratorio y entra en decisiones de arquitectura, certificados, compatibilidad de software y ciclos reales de migración.
El movimiento llega en un momento en el que NIST mantiene abiertos nuevos candidatos para futuras firmas digitales poscuánticas. Cloudflare reconoce el valor de esa investigación, pero advierte de un riesgo operativo evidente: esperar a que lleguen alternativas mejores puede retrasar cambios que muchas empresas necesitarán desplegar con tiempo, pruebas y coordinación entre proveedores.
La urgencia pasa del algoritmo al calendario
La amenaza que impulsa la transición poscuántica es conocida: un ordenador cuántico suficientemente capaz podría romper sistemas criptográficos ampliamente utilizados hoy, como RSA o ECDSA. La parte difícil para una empresa no está únicamente en elegir un algoritmo, sino en localizar dónde se usan firmas digitales, cómo se emiten certificados, qué librerías dependen de criptografía clásica y qué sistemas externos deben aceptar los nuevos formatos.
Cloudflare defiende ML-DSA porque ya forma parte del conjunto de opciones estandarizadas para firmas poscuánticas y ofrece una base práctica para empezar. La compañía recuerda que NIST estudia nuevos esquemas con propiedades prometedoras, pero su disponibilidad futura no elimina la necesidad de preparar infraestructuras desde ahora. En entornos empresariales, las migraciones criptográficas rara vez se resuelven con una actualización aislada: afectan a navegadores, APIs, dispositivos, appliances de seguridad, sistemas legacy, proveedores cloud, herramientas de despliegue y auditorías.
La recomendación tiene una lectura clara para responsables de tecnología. El coste de esperar puede concentrarse en el último tramo, cuando la presión regulatoria, contractual o de mercado obligue a actuar con poco margen. Empezar antes permite inventariar dependencias, probar compatibilidad, definir políticas de ciclo de vida y reducir la probabilidad de interrupciones en servicios críticos.
Certificados, software y cadenas de confianza
La transición poscuántica será especialmente visible en certificados y firmas digitales. Muchas comunicaciones empresariales dependen de una cadena de confianza que combina autoridades certificadoras, protocolos, librerías y validadores. Cambiar esa base exige coordinación técnica entre capas que a menudo pertenecen a equipos distintos.
Cloudflare ya opera en una posición relevante dentro de esa cadena: CDN, seguridad perimetral, protección DDoS, DNS, certificados y servicios de red. Su análisis apunta a una realidad que muchas compañías tendrán que asumir: la preparación poscuántica no pertenece solo al equipo de seguridad. También toca a arquitectura cloud, desarrollo de software, operaciones, cumplimiento y compras tecnológicas.
En la práctica, una hoja de ruta razonable empieza por conocer la exposición real. Qué sistemas firman código, qué certificados protegen servicios públicos, qué comunicaciones internas dependen de TLS, qué dispositivos tienen firmware difícil de actualizar y qué proveedores ofrecen ya soporte poscuántico o híbrido. A partir de ahí, la empresa puede priorizar pilotos de bajo riesgo y preparar políticas de adopción progresiva.
Una decisión de gobierno tecnológico
La publicación de Cloudflare también ayuda a ordenar el discurso sobre riesgo cuántico. La pregunta inmediata para la mayoría de empresas no es si mañana existirá un atacante cuántico capaz de romper todo el ecosistema digital, sino cuánto tiempo necesitan para adaptar una infraestructura compleja. En sectores regulados, industria, servicios financieros, salud o administración pública, ese plazo puede medirse en años.
ML-DSA aparece así como una decisión práctica: una opción madura para comenzar pruebas, construir experiencia interna y evitar que la organización dependa de un calendario externo. Los nuevos algoritmos que NIST evalúa podrían mejorar tamaño, rendimiento o propiedades técnicas en el futuro. Esa mejora será valiosa, pero la preparación operativa que se haga ahora seguirá sirviendo para adoptar mejores opciones cuando estén listas.
Para empresas como las que acompañan proyectos de transformación digital, cloud y ciberseguridad, la transición poscuántica abre una línea de trabajo que combina auditoría, arquitectura y ejecución. Inventariar criptografía, modernizar componentes, probar compatibilidad y documentar decisiones será tan importante como seleccionar el algoritmo final.
Fuentes
- Cloudflare Blog: “Why we cannot wait for better post-quantum signature algorithms” — https://blog.cloudflare.com/ml-dsa-will-have-to-do/
- NIST: Post-Quantum Cryptography project — https://csrc.nist.gov/projects/post-quantum-cryptography
- NIST: FIPS 204, Module-Lattice-Based Digital Signature Standard — https://csrc.nist.gov/pubs/fips/204/final
