DuoKey

PKI et gestion du cycle de vie des certificats

DuoKey vs Keyfactor

Keyfactor associe Keyfactor Command pour la gestion du cycle de vie des certificats à EJBCA pour l'autorité de certification, ainsi que Signum et SignServer pour la signature, livrés sous forme de logiciel, d'appliances, de conteneurs ou en SaaS. DuoKey est une plateforme suisse de PKI et de cycle de vie des certificats : CA privées, ACME, EST, SCEP et CMP, découverte, déploiement avec retour arrière, certificats post-quantiques et journal d'audit infalsifiable, opérée par DuoKey ou sur site.

DuoKey

21 / 32

Keyfactor

28 / 32

Capacités comparées prises en charge, d'après la documentation publique.

Réserver un appel→Voir le comparatif

Uniquement chez DuoKey

  • Déploiement vers les équipements (répartiteurs de charge, pare-feu, serveurs web, Windows) avec retour arrière
  • Support 24/7 avec délais de réponse garantis par SLA

Critère par critère

DuoKey et Keyfactor, côte à côte

CapacitéDuoKeyKeyfactor

Autorité de certification et émission

1Hiérarchie de CA privée

Exploiter ses propres CA racines et intermédiaires avec contrôle du cycle de vie

OuiCA racines, intermédiaires, importées ; révocation en cascadeSource
OuiHiérarchie de CA EJBCA, nœud unique ou clusterSource

2Courtage de CA publiques / externes

Commander et renouveler des certificats de CA publiques ou cloud (Let's Encrypt, DigiCert, Sectigo, AWS PCA, ADCS...) depuis une seule console

OuiLet's Encrypt, DigiCert, Sectigo, AWS, Azure, GCP, ADCSSource
OuiAnyCA Gateway : DigiCert, Sectigo, AWS PCA, ADCSSource

3Révocation

CRL et OCSP pour les parties utilisatrices

OuiOCSP et CRL par CASource
OuiCRL et OCSPSource

4Services PKI connexes

SSH CA et/ou horodatage RFC 3161

OuiSSH CA, horodatage RFC 3161Source
OuiSSH CA EJBCA, SignServer RFC 3161Source

Inscription

5ACME (RFC 8555)

OuiAnnuaire ACME par CASource
OuiACME (Enterprise)Source

6EST (RFC 7030)

OuiDont serverkeygen, csrattrsSource
OuiEST (Enterprise)Source

7SCEP (RFC 8894)

OuiProfils SCEP configurablesSource
OuiSCEPSource

8CMPv2 (RFC 4210/9483)

OuiCMP, profil allégé inclusSource
OuiCMP, avec limitationsSource

9Auto-inscription Microsoft (GPO / WCCE / MS-XCEP)

Non documentéPas d'auto-inscription WindowsSource
OuiIntégration de l'auto-inscription MicrosoftSource

10Distribution de certificats via Intune / MDM

PartielDistribution Intune pour S/MIME uniquementSource
OuiRA SCEP validée avec IntuneSource

11Émetteur Kubernetes cert-manager

OuiVia l'émetteur ACME, vérifié de bout en boutSource
OuiÉmetteurs cert-manager EJBCA et CommandSource

Visibilité et automatisation

12Découverte des certificats (scan réseau et/ou agents)

OuiScanners réseau et agentsSource
OuiDécouverte SSL réseau via orchestrateursSource

13Inventaire central avec contrôles de politique / conformité

OuiContrôles Mozilla/NIST/PCI, CMDB ServiceNowSource
OuiInventaire avec alertes de non-conformitéSource

14Renouvellement et redéploiement automatisés

PartielRenouvellement piloté par client ACME documentéSource
OuiRenouvellement et déploiement sans interventionSource

15Alertes d'expiration

PartielAlertes génériques par webhook et e-mailSource
OuiAlertes et workflows d'expirationSource

16Déploiement vers les équipements (répartiteurs de charge, pare-feu, serveurs web, Windows) avec retour arrière

OuiF5, FortiGate, Azure, IIS, Nginx, JKS + retour arrièreSource
PartielDéploiement par orchestrateur ; retour arrière non documentéSource

17Certificats de courte durée / préparation au TLS à 47 jours à grande échelle

PartielValidité à la journée et ACMESource
OuiDocumentation dédiée aux 47 joursSource

Protection des clés

18Clés de CA protégées par HSM (non exportables)

PartielAdossé à un coffre ; HSM pour les CA PQCSource
OuiHSM cloud/sur site, appliance avec HSMSource

19Clés de CA fragmentées par MPC / seuil (jamais entières en un seul endroit)

Non documentéNon documenté pour les clés de CA
Non documenté

20Certificats post-quantiques (ML-DSA, SLH-DSA, hybrides/composites)

OuiML-DSA, SLH-DSA, composite ML-DSA-65+P256Source
OuiML-DSA, SLH-DSA, compositeSource

Cas d'usage

21S/MIME avec séquestre et recouvrement des clés

OuiSéquestre et recouvrement, distribution IntuneSource
OuiRecouvrement des clés générées par la CASource

22Service de signature de code

PartielCertificats de signature de codeSource
OuiSignum, SignServerSource

23Identité IoT / des équipements à grande échelle

Non documentéAucun chiffre de volumétrie publiéSource
OuiCommand for IoT (marketing)Source

Gouvernance

24RBAC granulaire

OuiPermissions PKI hiérarchiquesSource
OuiPermissions basées sur les rôlesSource

25Workflow d'approbation / quorum M-of-N pour les opérations PKI sensibles

PartielWorkflow d'approbation ; quorum pour recouvrement S/MIMESource
OuiProfils d'approbation cumulatifs/partitionnésSource

26Politique contextuelle (IP, localisation, horaire) sur les opérations CA / PKI

Non documentéPolitiques d'accès non liées aux CASource
PartielHoraire/lieu uniquement pour la signature SignumSource

27Journal d'audit inviolable (signé / chaîné par hachage)

OuiHMAC-SHA256 et chaîne de hachageSource
OuiEntrées d'audit signées, numéros de séquenceSource

28Intégration SIEM

OuiSplunk, syslog, ElasticSource
OuiSIEM/ITSM, rsyslog/LogstashSource

Déploiement et éditeur

29Options SaaS et sur site

OuiHébergé par DuoKey ou sur siteSource
OuiAppliance, conteneur, cloud, SaaSSource

30Haute disponibilité / reprise après sinistre

OuiNœuds API sans état, répliquesSource
OuiClustering ; SaaS redondant multirégionSource

31Support 24/7 avec délais de réponse garantis par SLA

Oui24/7 en Platinum, 1 heure pour le critiqueSource
Partiel24/7 annoncé ; délais de réponse non publicsSource

32Certifications de l'éditeur (ISO 27001, SOC 2, WebTrust / eIDAS QTSP, Common Criteria)

OuiISO 27001, SOC 2, TISAX AL3Source
OuiISO 27001, SOC 2 Type II, Common CriteriaSource

Pourquoi choisir DuoKey

Les différences clés avec Keyfactor

01

Un journal d'audit sans failles connues

EJBCA signe les entrées d'audit et les numérote par nœud ; la documentation de Keyfactor indique que les dernières entrées peuvent être supprimées sans détection après l'arrêt d'un nœud, et que des entrées peuvent être falsifiées si le jeton de protection est compromis. DuoKey intègre chaque enregistrement signé en HMAC-SHA256 à une chaîne de hachage SHA-256 : toute modification ou suppression est détectable.

02

Déploiement avec retour arrière

Command déploie les certificats via des orchestrateurs ; le retour arrière n'est pas documenté. DuoKey déploie vers F5, FortiGate, Azure, IIS, Nginx et les keystores Java avec validation et retour arrière.

03

Une plateforme au-delà de la PKI

DuoKey exploite la CA, le cycle de vie des certificats, la SSH CA et l'horodatage dans le même Cockpit que la gestion des clés, Microsoft 365 DKE et la gestion de la posture cryptographique, avec un seul modèle RBAC et un seul journal d'audit.

04

Juridiction suisse

Keyfactor est une entreprise américaine, et EJBCA SaaS fonctionne sur AWS ou Azure, certaines fonctionnalités n'étant pas disponibles avec AWS KMS. DuoKey SA est suisse et exploite son service sous droit suisse, ou fonctionne sur site chez vous.

Les points forts de Keyfactor

Keyfactor est un leader de la PKI : couverture complète des protocoles (ACME, EST, SCEP, CMP, auto-inscription Microsoft, Intune, cert-manager), certificats ML-DSA, SLH-DSA et composites, profils d'approbation cumulatifs, outillage dédié au renouvellement à 47 jours, EJBCA certifié Common Criteria, ISO 27001 et SOC 2 Type II. C'est le concurrent le plus solide en étendue fonctionnelle PKI.

FAQ

DuoKey est-il une alternative à Keyfactor pour la PKI et la gestion des certificats ?

Oui. DuoKey fournit des autorités de certification privées, le pilotage de CA publiques et cloud, ACME, EST, SCEP et CMP, la découverte, le déploiement avec retour arrière et des certificats post-quantiques, opérés par DuoKey ou sur site.

Peut-on garder Keyfactor et ajouter DuoKey ?

Oui. DuoKey peut piloter des autorités existantes comme émetteurs (Microsoft AD CS via NDES, DigiCert, Sectigo, Let's Encrypt, AWS, Azure, Google) tout en centralisant l'inventaire et le déploiement.

Comment ces critères ont-ils été choisis ?

Ils suivent les sections d'un appel d'offres PKI et gestion du cycle de vie des certificats : émission, protocoles d'inscription, visibilité et automatisation, protection des clés, cas d'usage, gouvernance et déploiement. Chaque cellule renvoie au document public sur lequel elle s'appuie.

Sources

Chaque affirmation de cette page, sourcée

Keyfactor

  1. [1]www.keyfactor.comcritères 1, 18, 29https://www.keyfactor.com/products/ejbca-enterprise/
  2. [2]pre-reqs.keyfactor.comcritères 2https://pre-reqs.keyfactor.com/customer-requirements/current/anyca-gateway-plug-ins
  3. [3]docs.keyfactor.comcritères 3, 5, 6, 7, 8, 9https://docs.keyfactor.com/ejbca/latest/interoperability-and-certifications
  4. [4]docs.keyfactor.comcritères 4https://docs.keyfactor.com/signserver/latest/time-stamp-signer
  5. [5]docs.keyfactor.comcritères 10https://docs.keyfactor.com/ejbca/latest/microsoft-intune-device-certificate-enrollment
  6. [6]docs.keyfactor.comcritères 11https://docs.keyfactor.com/how-to/latest/use-ejbca-with-cert-manager
  7. [7]software.keyfactor.comcritères 12https://software.keyfactor.com/Core-OnPrem/Current/Content/ReferenceGuide/SSLDiscovery.htm
  8. [8]www.keyfactor.comcritères 13, 16, 24, 28https://www.keyfactor.com/products/command/
  9. [9]software.keyfactor.comcritères 14, 17https://software.keyfactor.com/Core-OnPrem/Current/Content/MasterTopics/47daycerts.htm
  10. [10]software.keyfactor.comcritères 15https://software.keyfactor.com/Core-OnPrem/Current/Content/ReferenceGuide/WorkflowDefinitions.htm
  11. [11]docs.keyfactor.comcritères 20https://docs.keyfactor.com/ejbca/latest/supported-algorithms
  12. [12]docs.keyfactor.comcritères 21https://docs.keyfactor.com/ejbca/latest/ejbca-8-2-release-notes
  13. [13]www.keyfactor.comcritères 22, 26https://www.keyfactor.com/products/signum/
  14. [14]www.keyfactor.comcritères 23https://www.keyfactor.com/products/command-iot/
  15. [15]docs.keyfactor.comcritères 25https://docs.keyfactor.com/ejbca/latest/accumulative-approval-profiles
  16. [16]docs.keyfactor.comcritères 27https://docs.keyfactor.com/ejbca/latest/integrity-protected-security-audit-log
  17. [17]www.keyfactor.comcritères 30, 31https://www.keyfactor.com/products/keyfactor-ejbca-saas/
  18. [18]trust.keyfactor.comcritères 32https://trust.keyfactor.com/

DuoKey

  1. [1]docs.duokey.comcritères 1, 2, 3, 8, 13, 16, 18, 20https://docs.duokey.com/docs/pki-ssl/overview#core-capabilities
  2. [2]docs.duokey.comcritères 4https://docs.duokey.com/docs/cockpit/ssh-certificate-authority#what-is-an-ssh-certificate-authority
  3. [3]docs.duokey.comcritères 5https://docs.duokey.com/docs/developer/pki-api#acme-rfc-8555
  4. [4]docs.duokey.comcritères 6, 23https://docs.duokey.com/docs/pki-ssl/enrollment-protocols#est-rfc-7030
  5. [5]docs.duokey.comcritères 7https://docs.duokey.com/docs/pki-ssl/enrollment-protocols#scep-rfc-8894
  6. [6]docs.duokey.comcritères 9https://docs.duokey.com/docs/pki-ssl/issuers/adcs-ndes#overview
  7. [7]docs.duokey.comcritères 10, 21https://docs.duokey.com/docs/cockpit/release-notes#205-206
  8. [8]docs.duokey.comcritères 11, 14https://docs.duokey.com/docs/pki-ssl/enrollment-protocols#using-acme-with-kubernetes-cert-manager
  9. [9]docs.duokey.comcritères 12https://docs.duokey.com/docs/developer/pki-api#discovery-compliance
  10. [10]docs.duokey.comcritères 15, 28https://docs.duokey.com/docs/cockpit/deployment#observability
  11. [11]docs.duokey.comcritères 17, 22https://docs.duokey.com/docs/pki-ssl/operations/create-certificate#phase-1-create-the-request
  12. [12]docs.duokey.comcritères 24https://docs.duokey.com/docs/developer/pki-api#certificates-requests
  13. [13]docs.duokey.comcritères 25https://docs.duokey.com/docs/pki-ssl/getting-started#the-certificate-lifecycle
  14. [14]docs.duokey.comcritères 26https://docs.duokey.com/docs/developer/administration-api#access-policies
  15. [15]docs.duokey.comcritères 27https://docs.duokey.com/docs/cockpit/security#tamper-evident-audit
  16. [16]docs.duokey.comcritères 29https://docs.duokey.com/docs/openshift-on-prem/vm-deployment
  17. [17]docs.duokey.comcritères 30https://docs.duokey.com/docs/cockpit/deployment#high-availability-and-resilience
  18. [18]docs.duokey.comcritères 31https://docs.duokey.com/docs/why-mpc
  19. [19]duokey.comcritères 32https://duokey.com/en/compliance/iso-27001

Parlons des décisions qui comptent pour votre programme de sécurité.

Dites-nous où le contrôle est difficile aujourd’hui. Nous vous aiderons à définir une prochaine étape concrète.

Demander une démoDécouvrir les solutions