Amazon Corretto 27 rend le TLS post-quantique et les en-têtes compacts disponibles par défaut
Le 17 septembre 2026, AWS a publié Corretto 27, sa distribution OpenJDK gratuite, avec l’échange de clés hybride post-quantique pour TLS 1.3 et les en-têtes d’objets compacts activés par défaut. Testez ces gains en environnement non critique, mais gardez vos charges LTS sur Java 21 ou 25 : cette version n’est supportée que jusqu’en avril 2027.
17 septembre 2026. AWS publie Amazon Corretto 27, sa distribution OpenJDK gratuite et multi-plateforme. Avril 2027. La date de fin de support de cette version Feature Release. JEP 527. L’échange de clés hybride post-quantique pour TLS 1.3. Pourquoi c’est important : pour la première fois, un JDK de production rend la cryptographie post-quantique et la compression mémoire activées par défaut, sans réglage ni ligne de configuration.
Corretto 27 n’est pas un produit exotique. C’est l’OpenJDK que des millions de charges Java font tourner sur EC2, Lambda et les services managés d’AWS, distribué sous licence open source GPLv2+CE pour Linux, Windows et macOS. Sa particularité tient au calendrier Java : 27 est une version Feature Release, pas une LTS, ce qui en fait un banc d’essai plutôt qu’une cible de migration à long terme.
Le TLS post-quantique entre par la porte de service
Le titre du communiqué, c’est JEP 527. Corretto 27 ajoute à TLS 1.3 un échange de clés hybride qui combine un algorithme classique avec un algorithme post-quantique — la famille ML-KEM, standardisée par le NIST. La logique est défensive : même si un attaquant futur casse la cryptographie à courbes elliptiques avec un ordinateur quantique, la moitié post-quantique de l’échange protège encore le secret de session.
Ce n’est pas une panacée magique. L’échange hybride protège le secret de session, pas la signature des certificats, qui reste classique tant que l’infrastructure PKI n’a pas basculé. Mais c’est la première brique que les équipes peuvent activer sans rien faire — la négociation se fait automatiquement quand le serveur la supporte — et elle couvre le risque le plus urgent, celui de la capture et du déchiffrement ultérieur de trafic enregistré aujourd’hui.
Pour un RSSI, l’enjeu est clair : la migration post-quantique est une course longue, et chaque composant qui active l’hybride par défaut réduit la surface laissée aux attaques store now, decrypt later. Corretto 27 permet d’évaluer le comportement réel de cette négociation sur vos charges avant que les LTS ne l’imposent.
Deux gains de performance qui ne demandent rien
Le second changement notable est JEP 534, les en-têtes d’objets compacts activés par défaut. Chaque objet Java porte un en-tête de quelques octets ; en le réduisant, on diminue l’empreinte mémoire de la JVM entière, on améliore l’utilisation du cache processeur et, mécaniquement, on réduit la pression du garbage collector sur les gros tas. C’est un gain « gratuit » pour qui ne dépend pas d’une disposition mémoire précise.
JEP 523 complète le tableau en faisant de G1 le garbage collector par défaut dans tous les environnements. Jusqu’ici, les petits tas basculaient parfois sur d’autres collecteurs selon la machine. Désormais, le comportement est homogène, avec des temps de pause plus prévisibles — un vrai confort pour qui exécute la même application en conteneur, sur une instance EC2 et sur son poste.
JEP 536 mérite une mention à part, car elle touche à la conformité : la réduction de données in-process de JFR permet de masquer les données sensibles d’un enregistrement Java Flight Recorder avant qu’elles ne quittent la JVM. Pour les équipes qui profilent en production sans vouloir exporter des secrets, c’est un garde-fou de plus.
Les fonctionnalités en avant-première
Le reste de la version est un aperçu de ce qui deviendra standard dans les prochaines LTS. JEP 532 étend le pattern matching aux types primitifs (int, boolean) dans instanceof et switch, JEP 533 affine l’API de concurrence structurée qui traite un groupe de tâches comme une unité, et JEP 531 introduit les constantes paresseuses pour différer l’initialisation d’une donnée immuable jusqu’à son premier usage. JEP 537 maintient la Vector API en incubator pour le calcul vectoriel.
Ces preview et incubator ne sont pas activés par défaut et ne doivent pas guider une décision de production. Ils signalent une direction — moins de boilerplate, plus de sûreté de concurrence — qu’il vaut la peine d’expérimenter en environnement de développement.
Ce que ça change pour vos charges AWS
Le premier réflexe est de se demander si « passer à 27 » est une action urgente. La réponse est non. Corretto 27 est une Feature Release supportée jusqu’en avril 2027 seulement, soit environ sept mois. Les charges de production ont intérêt à rester sur une LTS — Corretto 21 ou Corretto 25 — dont le support s’étend sur plusieurs années.
Le bon usage de Corretto 27 est la préparation. C’est l’occasion de tester, sur des environnements non critiques, les trois changements par défaut — G1 partout, en-têtes compacts, TLS hybride post-quantique — et de mesurer leur effet sur vos métriques. Si l’en-tête compact casse une bibliothèque qui lit la mémoire, vous le découvrez maintenant, pas lors de la migration LTS suivante.
# Vérifier la version de Corretto installée et la présence du TLS post-quantique (JEP 527)
java -version
# Java 27 doit exposer le groupe de chiffrement hybride X25519-MLKEM768 (selon la JEP 527)
java -XshowSettings:properties -version 2>&1 | grep -i 'java.version'
# Tester la négociation hybride contre un serveur local qui la supporte
keytool -list -v -keystore /tmp/test.jks -storepass changeit 2>/dev/null || echo "générez d'abord un keystore de test"La conclusion est d’une simplicité confortable : ne migrez pas vos charges critiques vers une Feature Release, mais utilisez-la pour valider les nouveaux défauts et préparer le terrain de la prochaine LTS.
Verdict
Corretto 27 est une version d’essai stratégique, pas une cible de production. Si vous gérez des charges Java sur AWS, restez sur Corretto 21 ou 25 pour la production, mais déployez 27 en staging pour mesurer les gains de l’en-tête compact et de G1 généralisé, et pour valider que le TLS hybride post-quantique négocie correctement avec vos équilibreurs et vos services. Si vous traitez des données sensibles transitant en TLS, la simple disponibilité de cette négociation par défaut est un argument pour pousser la bascule post-quantique dans votre feuille de route — avant que la prochaine LTS ne rende la question inévitable.