Meilleure solution KMS et de gestion des clés en 2026 : guide d'achat

Il n'existe pas de meilleure solution KMS valable pour toutes les organisations. La meilleure solution de gestion des clés est celle qui correspond à l'endroit où vos clés doivent résider (vos HSM, votre cloud, ou nulle part en un seul morceau), aux clouds et services SaaS qui doivent l'appeler, et à la part que vous voulez exploiter vous-même. Ce guide explique comment choisir un KMS en 2026, compare Thales, Entrust, Fortanix, Utimaco, Cosmian et DuoKey sur des critères sourcés, et dit clairement où chacun est en tête.

Un mot sur le périmètre et l'honnêteté. Le comparatif ci-dessous reprend les critères d'un cahier des charges client pour le Double Key Encryption (DKE) de Microsoft 365 et la gestion des clés. Chaque cellule renvoie à la documentation publique de l'éditeur, consultée en octobre 2026. Lorsqu'une capacité n'a pas été trouvée dans la documentation publique, nous écrivons « non trouvé », jamais « n'existe pas ». DuoKey publie ce guide : lisez-le en le sachant, d'autant que nous y montrons aussi nos propres limites.

---

Table des matières

1. Ce que fait un KMS, et ce qu'il ne fait pas
2. Le vocabulaire : DKE, HYOK, XKS, EKM et BYOK
3. Comment choisir la meilleure solution de gestion des clés : huit critères
4. HSM ou MPC : où se trouve la clé
5. Comparatif des meilleures solutions KMS : six éditeurs, sources à l'appui
6. Les points forts de chaque éditeur
7. Où se situe DuoKey, et où il est en retrait
8. Quel KMS pour quel acheteur
9. FAQ
10. Conclusion
11. Références

---

Ce que fait un KMS, et ce qu'il ne fait pas

Un système de gestion des clés (KMS, Key Management System) gère le cycle de vie et la politique d'accès des clés cryptographiques (génération, utilisation, rotation, révocation, destruction) et expose les opérations cryptographiques aux applications via des API et des protocoles standard. C'est la couche de politique et d'audit. Un module de sécurité matériel (HSM) est autre chose : un équipement résistant à l'intrusion qui stocke les clés et exécute les opérations cryptographiques à l'intérieur d'une frontière matérielle. La plupart des architectures d'entreprise utilisent les deux : « KMS ou HSM » est donc une question de qui exploite quelle fonction, pas un choix exclusif.

Le marché se répartit en cinq familles :

• KMS du fournisseur cloud. Natif, économique et bien intégré, mais le fournisseur détient la clé à côté de vos données.
• Plateformes de clés centrées sur le HSM. Une couche KMS au-dessus de matériel certifié, vendue avec des appliances (Thales, Entrust, Utimaco) ou comme plateforme (Fortanix).
• KMS open source ou à code source disponible. Vous exploitez le logiciel (Cosmian KMS en est un exemple).
• Logiciels de secrets et de coffre-fort. Conçus d'abord pour les secrets applicatifs ; voir notre produit Vault pour l'auto-déverrouillage d'OpenBao par MPC.
• KMS fondé sur le MPC. La clé est divisée en parts et n'est jamais assemblée en un seul endroit (DuoKey).

Pour le contexte complet, lisez notre guide de la gestion des clés de chiffrement en entreprise, qui couvre le cycle de vie NIST SP 800-57, PKCS#11, KMIP et FIPS 140-3.

---

Le vocabulaire : DKE, HYOK, XKS, EKM et BYOK

Les résultats de recherche mélangent ces sigles et les éditeurs les emploient librement. Dans ce guide :

Notre guide HYOK et l'explication du BYOK passent en revue chaque plateforme. Conséquence pratique : si vous avez besoin de HYOK, votre KMS doit être joignable par l'API de clé externe du fournisseur et rester disponible, car AWS, Microsoft et d'autres vous laissent la responsabilité de la disponibilité des opérations de clé.

---

Comment choisir la meilleure solution de gestion des clés : huit critères

1. Modèle de garde. Qui peut techniquement utiliser ou exporter une clé complète : vous, l'éditeur, le fournisseur cloud ? C'est le premier filtre, car il détermine ce qu'une réquisition, un initié ou une intrusion peut atteindre.
2. Intégrations que vous utilisez aujourd'hui. Comptez les plateformes nécessaires dans les 12 prochains mois (Microsoft 365, AWS, Azure, Salesforce, Snowflake, Oracle, SQL Server, VMware, Kubernetes) et vérifiez chacune dans la documentation, pas dans la feuille de route.
3. Interfaces standard. PKCS#11 pour les applications et bases de données, KMIP pour le stockage et la virtualisation. Demandez quelles opérations KMIP sont implémentées et quelles fonctions PKCS#11 sont couvertes.
4. Cycle de vie et rotation. États de clé explicites, rotation planifiée, et anciennes versions de clé qui continuent de déchiffrer les données existantes.
5. Contrôle d'accès et gouvernance. Rôles fins, approbation par quorum des actions destructrices, règles contextuelles (IP, pays, heure) sur l'usage des clés.
6. Audit et supervision. Export SIEM, journal infalsifiable, tableaux de bord de santé, et SNMP si vos équipes d'exploitation en dépendent.
7. Disponibilité et réversibilité. Haute disponibilité, conception multi-sites, sauvegarde et restauration, et une méthode documentée pour exporter les clés dans des formats standard si vous changez d'éditeur.
8. Mode d'exploitation et souveraineté. Hébergé par l'éditeur ou par vous, lieu d'exécution, juridiction applicable, et certifications (ISO/IEC 27001, SOC 2, FIPS 140-3 sur le module) qui l'étayent.

Pour rédiger un appel d'offres, notre modèle de cahier des charges KMS transforme ces critères en exigences, avec les preuves à demander et un modèle de notation.

---

HSM ou MPC : où se trouve la clé

Un HSM garde la clé complète à l'intérieur d'une frontière unique résistante à l'intrusion. C'est un modèle solide et bien compris, avec une certification mature (FIPS 140-3 niveau 3, Critères Communs), et c'est le modèle exigé par certains mandats. C'est aussi un point de confiance unique : celui qui contrôle l'équipement, ses administrateurs ou les identifiants de sa partition contrôle la clé.

Le calcul multipartite (MPC) divise la clé en parts détenues par des nœuds indépendants et calcule les opérations de façon conjointe : la clé entière n'est jamais assemblée. Compromettre un nœud, un opérateur ou un compte cloud donne une part, pas une clé. Les contreparties sont réelles : la signature à seuil ajoute des échanges réseau, donc une latence supérieure à celle d'un appel HSM local, et tous les mandats de certification n'acceptent pas une frontière logicielle.

Dans beaucoup de parcs, la réponse pragmatique est de combiner les deux : coffres adossés à un HSM là où une frontière matérielle validée est imposée, MPC là où la garde distribuée et la souveraineté comptent. Notre comparatif MPC et HSM détaille latence, coût et conformité.

---

Comparatif des meilleures solutions KMS : six éditeurs, sources à l'appui

Le tableau résume les données des pages DuoKey vs Thales, Entrust, Fortanix, Utimaco et Cosmian. Il retient 16 des 33 critères. Légende : Oui documenté ; Partiel documenté avec des limites ; Non documenté comme indisponible ; Non trouvé non trouvé dans la documentation publique.

Trois précautions de lecture. D'abord, les critères viennent d'un cahier des charges DKE Microsoft 365 et gestion des clés : ils sous-représentent les HSM de paiement, la tokenisation ou une large couverture de bases de données. Ensuite, un « Oui » signifie qu'une capacité est documentée, pas qu'elle convient à votre architecture : faites un test de faisabilité (PoC). Enfin, « Non trouvé » reflète notre revue de la documentation publique d'octobre 2026 et peut être dépassé ; les éditeurs sont invités à nous corriger.

---

Les points forts de chaque éditeur

Thales (CipherTrust Cloud Key Manager, Luna). La documentation publique la plus complète de cette liste pour la gestion classique des clés en entreprise : support 24/7 avec réponse en une heure sur les incidents critiques, quorum sur la suppression, la sauvegarde et la restauration, SNMP (v1, v2c, v3), rotation planifiée par point d'accès DKE, export de clés standard (PKCS#1, #8, #12 et KMIP), HSM Luna en FIPS 140-3 niveau 3, essai de 90 jours et édition hébergée dans l'UE ou aux États-Unis. Si vous exploitez déjà CipherTrust pour d'autres usages, consolider là est un choix raisonnable.

Entrust (KeyControl Vault avec nShield). Fort lorsque vous avez standardisé sur les HSM nShield : FIPS 140-2 niveau 3, cluster actif-actif sur deux sites, sauvegardes automatiques toutes les 12 heures, SNMP v2c et v3, export SIEM vers Sentinel, rotation planifiée (annuelle, six mois, 30 jours ou personnalisée) et essai de 30 jours. Son guide public ne précise pas ce qu'il advient des documents protégés par des versions de clé antérieures, et l'enregistrement de l'application Azure est manuel.

Fortanix (Data Security Manager). Une plateforme solide pour qui veut une gestion des clés en SaaS ou sur site avec de larges interfaces : support 24/7 avec réponse P1 en 30 minutes en offre Premium, authentification SAML, OIDC et LDAP avec option de double authentification obligatoire, rôles personnalisés, politique de quorum de groupe, export SIEM, tableau de bord d'usage, rotation planifiée, trois centres de données par région SaaS, KMIP et PKCS#11. Son service web DKE est exploité par le client, et l'offre SaaS fonctionne en mode non FIPS d'après sa documentation.

Utimaco (CryptoServer HSM, DKE Anchor). Le savoir-faire matériel : HSM certifiés FIPS 140-2 niveau 3 et Critères Communs, agrément allemand VS-NfD, diagnostic à distance via SNMP et support premium 24/7. Son logiciel DKE est installé et exploité par le client, avec des fichiers journaux locaux et des droits par utilisateur (adresse e-mail) ; il convient surtout aux organisations qui exploitent déjà des HSM Utimaco.

Cosmian (Eviden KMS). Un KMS à code source disponible que vous exploitez vous-même, avec KMIP, des formats d'export standard (KMIP, PKCS#8, PKCS#1), une montée en charge horizontale et l'export SIEM. Le support n'est documenté que via GitHub Issues, et la page DKE limite la prise en charge à Office pour Windows. Il convient aux équipes qui veulent exploiter elles-mêmes un KMS européen.

---

Où se situe DuoKey, et où il est en retrait

DuoKey est une plateforme suisse de gestion des clés fondée sur le calcul multipartite. Les clés sont réparties entre des parts indépendantes : aucun fournisseur cloud, opérateur ou hôte compromis ne détient une clé complète. Les coffres peuvent aussi reposer sur un HSM (par exemple Securosys) lorsqu'une garde matérielle validée FIPS est requise. DuoKey Cockpit gère ces coffres depuis une console et une API uniques.

Là où la documentation place DuoKey devant les autres sur les critères DKE :

• Clé jamais assemblée en un seul lieu (backend MPC) : seul éditeur de cette comparaison pour lequel nous l'avons trouvé documenté.
• Règles contextuelles de déchiffrement (plage IP, pays, heure) avec des règles Block qui l'emportent sur les autorisations.
• Enregistrements d'audit infalsifiables : HMAC-SHA256 par enregistrement et chaîne SHA-256.
• Enregistrement automatique de l'application Entra ID via Microsoft Graph, là où les autres documentent des étapes manuelles dans le portail.
• Approbation par quorum (M sur N) pour la suppression de clés et de coffres et la rotation de coffre, et une rotation qui n'exige pas de nouvelle étiquette Purview.

Là où DuoKey n'est pas en tête, ou où la documentation est plus mince :

• L'export de clé est optionnel. Les clés ne sont pas exportables par défaut. Les voies de sortie (PKCS#8, PKCS#12, enveloppe RSA-AES, KMIP) valent pour les clés créées comme exportables, sous contrôles de permission, de quorum et d'audit. Une clé créée non exportable ne peut pas quitter la plateforme, c'est le but, mais cela conditionne votre plan de sortie : décidez dès la création quelles clés nécessitent une voie de sortie.
• KMIP et PKCS#11 sont des sous-ensembles. Le serveur KMIP 2.1 documente des opérations non implémentées (CreateKeyPair, DeriveKey, Certify, Sign et SignatureVerify, MAC et MACVerify, modification d'attributs) et la bibliothèque PKCS#11 documente des fonctions multi-parties non prises en charge. Confrontez les besoins de vos clients aux pages de couverture KMIP et PKCS#11.
• Portée de SNMP et de la rotation. SNMP sert aux notifications : DuoKey envoie des traps et des informs v2c et v3, n'a pas d'agent SNMP à interroger et expose ses métriques via Prometheus. La rotation planifiée couvre les clés DKE ; les autres intégrations font tourner leurs clés comme leur propre documentation le décrit.
• La certification matérielle est déléguée. Le niveau 3 FIPS 140 s'applique avec un backend HSM ; le backend MPC ne revendique pas de validation matérielle.
• Écosystème matériel. Thales, Entrust et Utimaco apportent leurs propres gammes de HSM certifiés. DuoKey intègre des HSM, il n'en vend pas de propriétaire.

Les intégrations documentées par DuoKey comprennent Microsoft 365 DKE et Customer Key, AWS XKS, le proxy EKM Azure Managed HSM, Salesforce, Snowflake Tri-Secret Secure, Oracle TDE, SQL Server EKM, OpenBao et HashiCorp Vault, le chiffrement de disques et de machines virtuelles via KMIP, et OpenAI EKM. La liste complète figure sur la page des intégrations. DuoKey est certifié ISO 27001, SOC 2 et TISAX AL3.

---

Quel KMS pour quel acheteur

Quelle que soit la présélection, testez-la en projet pilote sur votre propre charge. Pour Microsoft 365, nos six critères d'évaluation d'un fournisseur DKE forment une liste de contrôle pratique.

---

FAQ

Q : Quelle est la meilleure solution KMS en 2026 ?

Il n'y a pas de meilleure solution universelle. Le meilleur KMS dépend de votre modèle de garde, des plateformes qui doivent l'appeler et de qui l'exploite. Thales, Entrust, Fortanix et Utimaco sont solides lorsqu'on veut une plateforme centrée sur le HSM ; Cosmian convient aux déploiements auto-exploités à code source disponible ; DuoKey s'adresse à ceux qui veulent une garde par MPC et des clés externes pour Microsoft 365, AWS et les SaaS. Présélectionnez deux ou trois solutions et faites un PoC.

Q : Quelle différence entre un KMS et un HSM ?

Un KMS gère le cycle de vie, la politique et l'accès aux clés entre les systèmes et expose des services cryptographiques par API. Un HSM est un équipement résistant à l'intrusion qui stocke les clés et exécute des opérations cryptographiques dans une frontière matérielle. De nombreux KMS utilisent un HSM comme magasin de clés : les deux sont complémentaires.

Q : Que choisir entre le KMS d'un fournisseur cloud et une solution de gestion des clés indépendante ?

Le KMS d'un fournisseur cloud est simple et très intégré, mais le fournisseur détient la clé à côté de vos données. Une solution indépendante garde la clé hors du fournisseur, ce qui permet le HYOK, la cohérence multicloud et une piste d'audit unique, au prix de plus d'intégration et de la responsabilité de la disponibilité.

Q : Que signifient DKE, HYOK, XKS et EKM ?

HYOK signifie que vous détenez la clé et que le fournisseur l'appelle à distance. DKE est le modèle HYOK de Microsoft 365, XKS est l'External Key Store d'AWS KMS, et EKM désigne en général un gestionnaire de clés externe, comme SQL Server EKM. Le BYOK est différent : vous importez une clé dans le service du fournisseur, qui en détient alors une copie utilisable.

Q : La gestion des clés par MPC est-elle meilleure qu'un HSM ?

Aucune n'est meilleure en général. Un HSM offre une frontière matérielle certifiée et une latence très faible. Le MPC supprime le point de confiance unique et convient aux besoins multicloud et de souveraineté, avec une latence plus élevée par opération. Beaucoup d'organisations combinent des coffres sur HSM et du MPC.

Q : Que demander à un éditeur de KMS avant d'acheter ?

Demandez qui peut utiliser ou exporter une clé complète, quelles intégrations sont documentées aujourd'hui, quelles opérations KMIP et fonctions PKCS#11 sont implémentées, comment fonctionne la rotation pour les anciennes données, comment les journaux d'audit sont protégés et exportés, et quelle est la voie de sortie. Notre modèle de cahier des charges KMS liste les exigences et les preuves à demander.

Q : DuoKey propose-t-il la supervision SNMP et la rotation planifiée ?

Oui, avec des limites. DuoKey envoie des traps et des informs SNMP v2c et v3 à votre outil de supervision ; il n'y a pas d'agent SNMP à interroger, les métriques se récupèrent via Prometheus. La rotation planifiée (30 jours, six mois, annuelle ou personnalisée) existe pour les clés DKE et attend toujours l'approbation par quorum lorsque la clé l'exige.

Q : Un module FIPS 140-2 est-il encore acceptable pour un nouvel achat ?

Le programme de validation du NIST fait passer les certificats FIPS 140-2 en liste historique après le 21 septembre 2026 : demandez donc du FIPS 140-3 pour tout backend matériel dans les nouveaux achats, et vérifiez le numéro de certificat sur le site du CMVP.

---

Conclusion

Choisir la meilleure solution KMS en 2026 commence par la garde, pas par les fonctionnalités : décidez qui peut jamais détenir une clé complète, listez ensuite les plateformes qui doivent appeler votre service de clés, puis comparez les modes d'exploitation. Les éditeurs centrés sur le HSM sont en tête sur la certification matérielle et la maturité de leur documentation classique. DuoKey est en tête sur la garde par MPC documentée, l'accès contextuel, l'audit infalsifiable et l'exploitation managée, et en retrait là où les sections ci-dessus l'indiquent.

• Rédigez votre exigence de garde (aucun accès éditeur, aucun détenteur unique, frontière matérielle)
• Listez les intégrations nécessaires dans les 12 mois et vérifiez chacune dans la documentation
• Confrontez la couverture KMIP et PKCS#11 à vos clients réels
• Demandez les numéros de certificat FIPS 140-3 de tout backend matériel
• Testez rotation, approbation par quorum et reprise dans un PoC
• Transformez la présélection en appel d'offres noté avec le modèle de cahier des charges KMS

Pour comparer DuoKey à un éditeur précis, utilisez les pages de comparaison ou l'aperçu des fournisseurs DKE Microsoft 365.

---

Références

• NIST SP 800-57 Part 1 Rev. 5, Recommendation for Key Management
• NIST Cryptographic Module Validation Program
• OASIS KMIP Specification Version 2.1
• OASIS PKCS #11 Specification Version 3.2
• AWS KMS Developer Guide : External key stores
• DuoKey : politiques de clés et approbations par quorum
• DuoKey : export de clés en formats standard
• DuoKey : rotation des clés DKE
• Thales CipherTrust Manager : SNMP
• Thales : Double Key Encryption
• Entrust nShield : guide d'intégration Microsoft DKE avec KeyControl
• Fortanix : DSM avec Double Key Encryption pour Microsoft 365
• Utimaco : Double Key Encryption
• Documentation Cosmian KMS