Comparatif des fournisseurs DKE pour Microsoft 365 : DuoKey, Thales, Entrust, Fortanix, Utimaco, Cosmian, IBM

Microsoft 365 Double Key Encryption (DKE) nécessite une seconde clé que Microsoft ne détient jamais. Microsoft publie un service de clés de référence que vous pouvez héberger vous-même, et plusieurs éditeurs proposent d'opérer ou d'adosser cette seconde clé pour vous. Ils se distinguent sur trois points qui comptent en production : la manière dont la clé est protégée, qui opère le service DKE, et ce qui se passe lorsque vous effectuez une rotation ou restreignez l'accès.

Cette page compare les principales options telles que chaque éditeur les documente publiquement. Elle est rédigée par DuoKey : nous exposons donc clairement notre propre positionnement et indiquons les cas où un autre fournisseur est mieux adapté.

Méthode. Les informations sur les concurrents proviennent uniquement de la documentation publique de chaque éditeur, examinée en octobre 2026. « Non trouvé dans la documentation publique » signifie exactement cela : la fonctionnalité peut exister sans être documentée. Vérifiez chaque point avec l'éditeur lors d'un pilote.

---

Table des matières

1. Tableau récapitulatif
2. DuoKey
3. Thales (CipherTrust / Luna)
4. Entrust (KeyControl Vault)
5. Fortanix (DSM)
6. Utimaco
7. Cosmian
8. IBM (UKO for z/OS)
9. Héberger soi-même l'exemple de Microsoft
10. Quel fournisseur pour quel acheteur
11. FAQ

---

Tableau récapitulatif

Comparatifs fonctionnalité par fonctionnalité : DuoKey vs Thales · DuoKey vs Entrust · DuoKey vs Fortanix · DuoKey vs Utimaco · DuoKey vs Cosmian

---

DuoKey

DuoKey commercialise DKE comme un produit, et non comme un module d'un KMS plus large. Avec le backend MPC, la seconde clé est répartie entre des nœuds indépendants, de sorte qu'aucun serveur, aucun administrateur et aucun nœud compromis isolément ne peut la reconstituer ; un backend HSM est également disponible. Le service DKE se déploie depuis un assistant dans DuoKey Cockpit, qui provisionne aussi l'inscription d'application Entra ID via Microsoft Graph.

• Rotation avec continuité. Une fenêtre de cache configurable permet à la clé précédente de continuer à servir GetKey et Decrypt pendant la rotation. L'URL de l'étiquette de sensibilité Purview désigne le service, pas une clé : elle ne change donc pas.
• Zero Trust à chaque déchiffrement. Chaque déchiffrement est vérifié par rapport à une politique d'accès combinant utilisateur, groupe du fournisseur d'identité, plage d'adresses IP, pays et horaire, avec des règles Block qui prévalent sur les autorisations.
• Gouvernance et audit. Approbations par quorum M-of-N pour la suppression de clés et de coffres, et enregistrements d'audit signés par HMAC et chaînés par hachage.
• Opéré pour vous. DuoKey opère l'endpoint DKE, le TLS et la disponibilité (ISO 27001, SOC 2, TISAX AL3). Les clients qui doivent tout conserver en interne peuvent exécuter Cockpit sur site ou sur OpenShift.

Choisissez DuoKey si vous voulez DKE sans opérer de service de clés, si vous préférez MPC plutôt qu'un HSM unique pour détenir la seconde clé, ou si vous avez besoin d'une juridiction suisse.

Thales (CipherTrust / Luna)

Thales propose DKE de deux manières : comme module de CipherTrust Cloud Key Manager (sur une appliance CipherTrust Manager, ou hébergé par Thales en tant que service), et sous la forme de Luna Key Broker for DKE, un conteneur que le client déploie sur Kubernetes avec des clés dans des Luna HSM (FIPS 140-3 niveau 3). La documentation CCKM couvre la rotation DKE planifiée et versionnée, les DKE Authorized Tenants pour l'usage multi-tenant, l'approbation par quorum, SNMP, l'export de clés standard et l'autorisation par tenant par adresse e-mail ou groupe Active Directory. C'est une option mature et bien documentée, avec une édition hébergée dans l'UE ou aux États-Unis.

Les différences avec DuoKey sont structurelles : Thales vend une plateforme de gestion de clés multicloud dans laquelle DKE est un module parmi d'autres, et l'inscription d'application Azure est une étape manuelle. Le guide de configuration public de Luna Key Broker de Thales compte plus de 50 commandes manuelles sur AKS, avec une image CentOS 7 (en fin de vie depuis juin 2024) et une politique d'exemple qui admet tout utilisateur dont le jeton contient un UPN.

Choisissez Thales si vous exploitez déjà CipherTrust ou des Luna HSM et souhaitez DKE sur la même plateforme que vos autres clés.

Entrust (KeyControl Vault)

Entrust propose DKE via KeyControl Vault adossé à des HSM nShield (FIPS 140-2 niveau 3, Common Criteria EAL4+), déployé en cluster actif-actif géoredondant. Sa documentation couvre la rotation DKE planifiée, des options multi-tenant (tous les tenants ou des tenants spécifiques), la restriction par GUID de tenant et la haute disponibilité. La continuité pendant la rotation n'a pas été trouvée dans sa documentation publique. L'inscription d'application Azure est manuelle.

Choisissez Entrust si vous êtes standardisé sur nShield et KeyControl et souhaitez DKE au sein de ce parc.

Fortanix (DSM)

Le service DKE de Fortanix repose sur l'implémentation DKE open source de Microsoft, avec des clés conservées dans Fortanix Data Security Manager (FIPS 140-2 niveau 3). Son guide de déploiement publié demande au client d'installer le SDK .NET Core 3.1 (en fin de vie depuis décembre 2022) et l'hébergement .NET 6, de décompresser le service dans IIS, de modifier appsettings.json à la main et d'inscrire l'application Azure manuellement. Il recommande de conserver les anciennes clés jusqu'à ce que tous les documents aient été réétiquetés. L'autorisation repose sur une liste d'adresses e-mail autorisées ; si la liste est vide, tous les utilisateurs du tenant sont autorisés.

Choisissez Fortanix si DSM est déjà votre plateforme de clés et si votre équipe est à l'aise pour opérer le service web DKE sur IIS.

Utimaco

L'offre DKE d'Utimaco est DKE Anchor, un logiciel que le client installe devant un HSM CryptoServer (FIPS 140-2 niveau 3, CC EAL4+, agrément allemand VS-NfD), sur site ou avec le HSM as a Service d'Utimaco. Il prend en charge les tenants partenaires et conserve les anciennes versions de clé lisibles. Les autorisations de déchiffrement sont accordées utilisateur par utilisateur, par adresse e-mail, les journaux d'audit sont des fichiers locaux, et l'inscription d'application Azure est manuelle. Les articles de blog d'Utimaco publiés en 2026 décrivent son Enterprise Key Manager as a Service comme détenteur de la clé DKE : vérifiez donc la disponibilité actuelle.

Choisissez Utimaco si vous avez besoin de matériel agréé VS-NfD ou exploitez déjà des HSM Utimaco.

Cosmian

Cosmian KMS, désormais documenté sous le nom d'Eviden KMS, expose des endpoints DKE depuis un serveur opéré par le client, administré avec son outil en ligne de commande ckms, sous juridiction française. Depuis KMS 5.22 (mai 2026), les endpoints DKE passent par la chaîne d'authentification du KMS : le jeton Entra ID est validé et les droits par utilisateur sur la clé s'appliquent, mais sans condition de groupe, d'IP, de pays ou d'horaire. Sa page de documentation DKE n'a pas été mise à jour et indique encore que le client Office n'envoie aucune authentification. Sa rotation documentée crée une nouvelle étiquette de sensibilité dans Purview et y bascule les utilisateurs, ce qui transforme chaque rotation en exercice de conduite du changement. Le provisioning est manuel.

Choisissez Cosmian si vous voulez un KMS français, opéré par vos soins, et si votre équipe préfère une boîte à outils pilotée en ligne de commande.

IBM (UKO for z/OS)

IBM prend en charge Microsoft DKE via Unified Key Orchestrator for z/OS, avec des clés dans des adaptateurs IBM Z Crypto Express et un RBAC avec double contrôle. Sa documentation DKE publique est succincte : la rotation, la continuité, l'usage multi-tenant et le provisioning Azure n'y ont pas été trouvés. Le modèle opérationnel, une pile d'orchestration de clés sur mainframe, est à l'opposé d'un service managé cloud natif.

Choisissez IBM si votre gestion des clés est déjà centrée sur IBM Z et si vous souhaitez y gouverner les clés DKE.

Héberger soi-même l'exemple de Microsoft

Microsoft publie sur GitHub un magasin de clés DKE de référence. Il est gratuit et convient pour un laboratoire. En production, vous construisez et opérez tout vous-même : hébergement, TLS, magasin de clés, inscription d'application, règles d'accès dans des fichiers de configuration, rotation et audit. Plusieurs des offres d'éditeurs ci-dessus reposent sur ce même exemple. Notre guide de configuration DKE montre étape par étape à quoi ressemble l'alternative DuoKey.

---

Quel fournisseur pour quel acheteur

Quelle que soit la liste restreinte, testez les six critères d'évaluation DKE lors d'un pilote sur votre propre tenant.

---

FAQ

Qu'est-ce qu'un fournisseur DKE ? Un fournisseur DKE héberge ou protège la seconde clé de Microsoft 365 Double Key Encryption, celle que Microsoft ne détient jamais. Office appelle l'endpoint DKE du fournisseur pour récupérer la clé publique et demander des déchiffrements.

Microsoft peut-il déchiffrer du contenu protégé par DKE ? Non. Le contenu DKE nécessite à la fois la clé Azure RMS de Microsoft et la clé client détenue par le fournisseur DKE. Microsoft ne dispose jamais de la seconde clé.

Quel fournisseur DKE ne nécessite pas de HSM ? DuoKey peut protéger la clé DKE par Multi-Party Computation : la clé est répartie entre des nœuds indépendants et n'est jamais assemblée sur une seule machine. Un backend HSM est également disponible. Les autres fournisseurs cités ici s'appuient sur des HSM (Thales, Entrust, Utimaco, IBM), sur Fortanix DSM ou sur un KMS logiciel (Cosmian).

Quel fournisseur DKE effectue la rotation des clés sans modifier les étiquettes Purview ? DuoKey (fenêtre de cache configurable, URL de l'étiquette inchangée) et Thales (rotation versionnée) documentent une rotation avec continuité. Fortanix et Cosmian documentent des processus de rotation qui impliquent un réétiquetage ou une nouvelle étiquette.

Existe-t-il un fournisseur DKE suisse ? Oui. DuoKey SA est basée en Suisse et opère elle-même son service DKE, avec ISO 27001, SOC 2 et TISAX AL3.

---

Sources

• DuoKey : Double Key Encryption documentation
• Thales : Luna Key Broker for DKE setup guide (GitHub), CCKM Microsoft DKE resources, Managing DKE Authorized Tenants
• Entrust : Microsoft DKE and KeyControl Integration Guide
• Fortanix : Fortanix DSM with Double Key Encryption for Microsoft 365
• Utimaco : DKE and CryptoServer HSM integration guide
• Cosmian : Microsoft 365 Double Key Encryption (DKE)
• IBM : Understanding MSDKE support, UKO for z/OS (ibm.com)
• Microsoft Learn : Double Key Encryption

Documentation des éditeurs examinée en octobre 2026. Les noms de produits appartiennent à leurs propriétaires respectifs. Les corrections des éditeurs sont les bienvenues à l'adresse de contact indiquée sur ce site.