Meilleure solution de gestion de la posture cryptographique : guide d'achat 2026 des outils de préparation post-quantique

La meilleure solution de gestion de la posture cryptographique est celle qui trouve la cryptographie que vous exploitez réellement, la note par rapport aux référentiels auxquels vous répondez, l'exporte dans un format ouvert et transforme les constats en plan de migration exécutable par vos équipes. Aucun produit ne gagne sur tous les critères. Dans la documentation publique, Keyfactor AgileSec est en tête pour l'analyse des binaires et l'étendue des HSM, IBM pour l'installation en réseau isolé (air-gapped), Fortanix et Keyfactor pour l'inventaire de clés multicloud, et SandboxAQ pour l'analyse du trafic TLS. DuoKey est à retenir si vous voulez une sonde en direct de l'échange de clés post-quantique, la couverture des bases de données et de STARTTLS, un CBOM CycloneDX 1.7, la planification de migration et un point d'entrée gratuit. Ce guide explique comment trancher, critère par critère.

Si vous cherchez le meilleur outil de préparation post-quantique, commencez par définir ce que « préparé » signifie chez vous : un inventaire à jour (CBOM), une liste de correctifs classée par risque, des preuves pour le régulateur et un moyen de déployer et de vérifier le changement. Un scanner qui ne produit qu'un tableur est un point de départ, pas un programme.

Les faits ci-dessous proviennent de la documentation publique des éditeurs, relue en octobre 2026, et sont les mêmes que sur nos pages comparatives SandboxAQ, Fortanix, Keyfactor AgileSec et IBM. Lorsqu'une fonction n'a pas été trouvée dans la documentation publique, nous l'écrivons ainsi : cela ne signifie pas qu'elle n'existe pas. Les éditeurs avancent vite : vérifiez ce qui compte lors d'une preuve de concept. Pour rédiger votre cahier des charges, utilisez le modèle d'appel d'offres et la checklist cryptographie post-quantique.

---

Table des matières

1. Ce qu'est la gestion de la posture cryptographique
2. Les critères qui font la meilleure solution
3. Découverte : ce que chaque outil voit ou non
4. CBOM, notation du risque et priorisation
5. Planification de la migration et remédiation
6. Déploiement, confiance et coût d'entrée
7. Où chaque éditeur est en tête
8. La place de DuoKey, et ses limites
9. Mener une évaluation équitable
10. FAQ
11. Conclusion
12. Références

---

Ce qu'est la gestion de la posture cryptographique

La gestion de la posture cryptographique (CPM, pour Cryptographic Posture Management) consiste à découvrir en continu tous les endroits où la cryptographie est utilisée, à l'évaluer par rapport à une politique et à des normes, et à piloter les corrections. Elle se situe entre trois disciplines plus anciennes : la gestion du cycle de vie des certificats (qui gère les certificats), la gestion des clés (qui gère les clés) et la gestion des vulnérabilités (qui gère les failles logicielles). Le CPM comble l'espace entre elles : quels algorithmes, tailles de clés, protocoles et bibliothèques sont utilisés, où, et lesquels ne survivront pas à la transition post-quantique.

Les livrables essentiels :

• Un inventaire, idéalement un CBOM (cryptography bill of materials, nomenclature cryptographique) dans un format ouvert comme CycloneDX. Voir notre guide de l'inventaire cryptographique.
• Une vue du risque, par actif et pour l'organisation, qui intègre l'exposition « stocker maintenant, déchiffrer plus tard » des données à longue durée de vie.
• Un plan de migration qui séquence le passage aux normes post-quantiques du NIST : ML-KEM (FIPS 203), ML-DSA (FIPS 204) et SLH-DSA (FIPS 205).
• Un pilotage continu : politique, détection de dérive et preuves, ce qui est le sens pratique de la crypto-agilité.

---

Les critères qui font la meilleure solution

Pondérez-les selon votre environnement. Une banque avec des mainframes et des zones isolées et une société SaaS cloud native ne choisiront pas le même produit.

---

Découverte : ce que chaque outil voit ou non

La découverte est l'endroit où les produits diffèrent le plus, et où le marketing est le moins fiable. Le tableau résume la documentation publique (O = documenté, P = partiel ou limité, ? = non trouvé dans la documentation publique).

Trois lectures honnêtes de ce tableau :

1. Binaires et artefacts compilés. Si votre risque se trouve dans des exécutables tiers, des micrologiciels ou des archives JAR/WAR, Keyfactor AgileSec documente l'analyse de binaires et SandboxAQ cite les binaires comme surface de scan. DuoKey documente l'analyse des images de conteneurs et des dépendances Artifactory, mais pas l'analyse du contenu binaire. C'est une lacune réelle de la documentation publique de DuoKey aujourd'hui.
2. Bases de données et TLS hors HTTP. DuoKey documente STARTTLS et le sondage TLS de PostgreSQL, MySQL, MongoDB, Redis et Kafka. Les documents publics des quatre autres éditeurs montrent une couverture plus étroite ou absente de ces protocoles. Si votre cryptographie de transport se trouve dans des bases, des bus de messages et des relais de messagerie, testez-le explicitement.
3. Étendue KMS cloud et HSM. Fortanix (quatre clouds) et Keyfactor (trois clouds et plusieurs familles de HSM) documentent un inventaire plus large que DuoKey, dont la position est AWS en production et Azure/GCP en bêta.

---

CBOM, notation du risque et priorisation

CBOM

Un CBOM doit pouvoir s'exporter dans un format standard afin d'alimenter d'autres outils et les auditeurs. La documentation publique indique :

Notation du risque

Cherchez deux niveaux. Un score par actif ordonne les constats pour que l'équipe sache quoi corriger d'abord. Un score au niveau de l'organisation donne un chiffre à la direction et une tendance. DuoKey documente un score par actif de 0 à 10 avec des priorités P0 à P4, et un score de préparation de 0 à 100 qui inclut l'exposition « harvest now, decrypt later ». IBM et Fortanix documentent une mesure de préparation au niveau de l'organisation (Fortanix la définit comme la part de clés résistantes au quantique). Keyfactor documente une note par objet et la progression de la posture sans indicateur unique, et aucun score de préparation unique n'a été trouvé dans la documentation de SandboxAQ.

Quel que soit l'éditeur, demandez comment le score est calculé. Un score que vous ne savez pas expliquer à un auditeur est un tableau de bord, pas une preuve.

Correspondance aux référentiels

La correspondance NIST et CNSA 2.0 est documentée par DuoKey, SandboxAQ, Fortanix et Keyfactor ; IBM documente des contrôles NIST et FIPS 140-3 mais CNSA 2.0 n'a pas été trouvé. Les correspondances européennes et suisses sont plus minces partout : DuoKey documente BSI dans ses documents et indique la correspondance ANSSI, NCSC, FINMA, DORA et NIS2 sur son site plutôt que dans sa documentation ; Keyfactor a un article de blog sur DORA ; pour les autres, rien n'a été trouvé. Si FINMA, DORA ou NIS2 est votre moteur, demandez à chaque éditeur un exemple concret, et consultez notre aperçu de la réglementation PQC en Suisse et du BSI TR-02102 allemand.

---

Planification de la migration et remédiation

Trouver le problème n'est que la moitié du travail. Les différences portent sur la suite.

Le proxy Remediator d'IBM mérite d'être cité : il ajoute du TLS post-quantique hybride devant des applications existantes sans modifier le code, ce qui est précieux quand on ne peut pas toucher à l'application. La force de Keyfactor est sa pile de certificats (Command et EJBCA). Celle de Fortanix est la garde des clés sur matériel dans DSM, qui prend en charge ML-KEM, ML-DSA, LMS et XMSS. Celle de DuoKey est de relier découverte, planification et déploiement de certificats dans un même flux. Pour la partie PKI, voir nos guides sur les certificats ML-DSA et la gestion des clés ML-KEM.

---

Déploiement, confiance et coût d'entrée

Si vous exploitez des réseaux classifiés ou totalement isolés, le déploiement en réseau isolé est aujourd'hui un filtre éliminatoire : IBM le documente ; DuoKey documente le miroir d'images avec un air-gap complet prévu ; les autres sont partiels ou non trouvés. Pour une posture fédérale américaine, le statut FedRAMP Ready de SandboxAQ compte. Pour un acheteur suisse ou européen soumis à des contraintes de résidence des données, le déploiement hébergé par DuoKey ou sur site laisse le choix du lieu des données ; vérifiez-le par rapport à vos exigences.

---

Où chaque éditeur est en tête

---

La place de DuoKey, et ses limites

DuoKey CPM (anciennement PQC Scanner) fait partie de la solution de gestion de la posture cryptographique de DuoKey Cockpit. Elle convient surtout si vous voulez un seul flux de la découverte à la migration, hébergé par DuoKey ou chez vous, et si le blocage CI/CD et les conseils hybrides d'abord comptent pour vous. Lisez les pages comparatives complètes : DuoKey vs SandboxAQ, DuoKey vs Fortanix, DuoKey vs Keyfactor AgileSec et DuoKey vs IBM.

Elle convient moins si l'analyse de binaires et de micrologiciels est votre besoin principal, si vous devez inventorier dès aujourd'hui les KMS Azure et GCP à un niveau de maturité de production, ou si vous avez besoin d'une installation totalement isolée maintenant. Dans ces cas, la capacité documentée d'un concurrent est en avance sur la nôtre.

Le point d'entrée gratuit : le Quantum Risk Score

Le Quantum Risk Score (QRS) est le point de départ gratuit et en libre-service de DuoKey. Il est calculé à partir de signaux publics, comme ce que vos services exposés sur Internet annoncent, sans accès aux systèmes internes et sans rien installer. Il restitue un score et un niveau plutôt qu'un inventaire complet. C'est le moyen rapide de mesurer l'exposition de la partie visible de l'extérieur de votre parc et d'ouvrir la discussion en interne. Le DuoKey CPM complet va ensuite à l'intérieur : code, KMS cloud, HSM, magasins de clés et équipements. Considérez le QRS comme la première étape, et un scan interne comme le véritable inventaire. Le score d'une organisation reste confidentiel : il n'est ni publié ni classé.

---

Mener une évaluation équitable

1. Définir d'abord le périmètre. Listez les surfaces qui comptent : TLS externe, TLS interne, code, KMS cloud, HSM, bases de données, équipements, binaires. Classez-les par durée de vie des données et impact métier.
2. Choisir une tranche représentative. Une entité, un compte cloud, un groupe de dépôts, un segment réseau.
3. Lancer chaque outil présélectionné sur la même tranche et comparer constats, faux positifs, délai avant le premier résultat et ce que chaque outil a manqué.
4. Tester l'export. Importez chaque CBOM dans un visualiseur neutre ou votre CMDB.
5. Tester le plan. Demandez à chaque éditeur une liste de migration priorisée pour la tranche et la piste de preuve d'un constat, de la détection à la clôture.
6. Vérifier la sortie. Pouvez-vous partir avec vos données dans un format ouvert ?

Le modèle d'appel d'offres et checklist cryptographie post-quantique transforme ces étapes en exigences, en grille de notation pondérée et en plan de preuve de concept à reprendre dans vos propres documents.

---

FAQ

Quelle est la meilleure solution de gestion de la posture cryptographique ?

Il n'y a pas de vainqueur unique. D'après la documentation publique, Keyfactor AgileSec a la découverte la plus large, IBM le meilleur dispositif en réseau isolé, Fortanix l'inventaire de clés multicloud le plus étendu, SandboxAQ l'analyse de trafic TLS la plus poussée, et DuoKey l'association sonde post-quantique en direct, couverture TLS des bases de données, CBOM CycloneDX 1.7, planification de migration et point d'entrée gratuit. Choisissez selon les surfaces et contraintes de votre propre environnement.

Quel est le meilleur outil de préparation post-quantique pour une banque ou une entreprise réglementée ?

Privilégiez la correspondance aux textes auxquels vous répondez, un CBOM exportable, une notation du risque explicable et un modèle de déploiement compatible avec vos règles de résidence des données et d'isolation réseau. Demandez à chaque éditeur un exemple concret face aux exigences FINMA, DORA, NIS2 ou BSI, car la documentation publique sur ces sujets est mince chez tous.

Qu'est-ce qu'un CBOM et pourquoi est-ce important ?

Un CBOM (nomenclature cryptographique) est un inventaire lisible par machine des actifs cryptographiques, comme les algorithmes, clés, certificats et protocoles, dans un format tel que CycloneDX. Il permet de partager des preuves avec les auditeurs, d'alimenter d'autres outils et d'éviter la dépendance à un seul éditeur.

Quelle différence entre le CPM et la gestion du cycle de vie des certificats ?

La gestion du cycle de vie des certificats émet, renouvelle et révoque les certificats. La gestion de la posture cryptographique voit plus large : elle trouve la cryptographie dans le code, les magasins de clés, les KMS cloud, les HSM, SSH et les protocoles, l'évalue par rapport à la politique et pilote la migration. Les deux se complètent, surtout pour émettre des certificats post-quantiques.

Peut-on tester gratuitement un outil de posture cryptographique ?

Certains éditeurs en proposent un. Le Quantum Risk Score de DuoKey est gratuit et n'utilise que des signaux publics. IBM mentionne un essai de 90 jours sur AWS Marketplace que vous déployez vous-même. Pour les autres, les options gratuites étaient floues ou introuvables dans la documentation publique. Dans tous les cas, faites une preuve de concept sur une tranche réelle de votre parc avant de vous engager.

Faut-il un déploiement en réseau isolé ?

Seulement si vous exploitez des réseaux isolés qui ne peuvent joindre aucun service de l'éditeur. Dans ce cas, faites-en un critère éliminatoire, car les éditeurs diffèrent : IBM documente une installation isolée, les autres un support partiel ou aucun.

Quels standards un outil de préparation post-quantique doit-il prendre en charge ?

Au minimum, reconnaître ML-KEM (FIPS 203), ML-DSA (FIPS 204) et SLH-DSA (FIPS 205), relier les constats aux recommandations du NIST et à CNSA 2.0, et distinguer les configurations classiques, hybrides et post-quantiques. Demandez la preuve de la façon dont l'outil détecte un échange de clés hybride comme X25519MLKEM768.

À quelle fréquence actualiser l'inventaire ?

En continu autant que possible. Le code et le cloud changent chaque jour : les scans doivent tourner dans la CI/CD et selon un calendrier, avec détection de dérive pour repérer les retours vers des algorithmes classiques.

---

Conclusion

Choisissez l'outil qui voit ce que vous avez, explique ses scores, exporte des données ouvertes et vous aide à agir. Retenez deux ou trois éditeurs, lancez-les sur la même tranche de votre parc et laissez les preuves décider. Pour un premier regard sans engagement sur votre exposition externe, commencez par le Quantum Risk Score gratuit ; pour une checklist prête pour l'achat, utilisez le modèle d'appel d'offres.

---

Références

• NIST FIPS 203 : ML-KEM
• NIST FIPS 204 : ML-DSA
• NIST FIPS 205 : SLH-DSA
• NIST IR 8547 (projet initial) : Transition to Post-Quantum Cryptography Standards
• CycloneDX Cryptography Bill of Materials
• Documentation DuoKey : aperçu du CPM (PQC Scanner)
• Documentation DuoKey : planification de la migration
• Documentation DuoKey : limites de l'analyse des images de conteneurs
• Documentation DuoKey : analyse STARTTLS
• Documentation SandboxAQ AQtive Guard : sources de données
• Fortanix Key Insight PQC Central : concepts
• Keyfactor AgileSec : architecture des capteurs
• Keyfactor AgileSec : modèle de sécurité
• IBM Guardium Cryptography Manager 2.0.3 : nouveautés
• IBM Guardium Cryptography Manager sur AWS Marketplace