DuoKey

PKI et gestion du cycle de vie des certificats

DuoKey vs Evertrust

Evertrust, éditeur français, commercialise Evertrust PKI (Stream) et Evertrust CLM (Horizon), déployés sur site, en conteneurs, dans le cloud ou en SaaS managé. DuoKey est une plateforme suisse de PKI et de cycle de vie des certificats : CA privées aux clés protégées par HSM, ACME, EST, SCEP et CMP, découverte, déploiement et renouvellement automatique avec retour arrière, signature de code, gouvernance M-of-N, certificats post-quantiques et journal d'audit infalsifiable, opérée par DuoKey ou sur site.

DuoKey

31 / 32

Evertrust

23 / 32

Capacités comparées prises en charge, d'après la documentation publique.

Réserver un appel→Voir le comparatif

Uniquement chez DuoKey

  • CMPv2 (RFC 4210/9483)
  • Déploiement vers les équipements (répartiteurs de charge, pare-feu, serveurs web, Windows) avec retour arrière
  • Certificats de courte durée / préparation au TLS à 47 jours à grande échelle
  • Service de signature de code
  • Workflow d'approbation / quorum M-of-N pour les opérations PKI sensibles
  • Politique contextuelle (IP, localisation, horaire) sur les opérations CA / PKI
  • Intégration SIEM
  • Support 24/7 avec délais de réponse garantis par SLA

Critère par critère

DuoKey et Evertrust, côte à côte

CapacitéDuoKeyEvertrust

Autorité de certification et émission

1Hiérarchie de CA privée

Exploiter ses propres CA racines et intermédiaires avec contrôle du cycle de vie

OuiCA racines, intermédiaires, importées ; révocation en cascadeSource
OuiCA racines, intermédiaires, externesSource

2Courtage de CA publiques / externes

Commander et renouveler des certificats de CA publiques ou cloud (Let's Encrypt, DigiCert, Sectigo, AWS PCA, ADCS...) depuis une seule console

OuiLet's Encrypt, DigiCert, Sectigo, AWS, Azure, GCP, ADCS (NDES, Server 2025)Source
OuiDigiCert, Sectigo, GlobalSign, AWS, ADCS, Let's EncryptSource

3Révocation

CRL et OCSP pour les parties utilisatrices

OuiOCSP et CRL par CASource
OuiCRL et OCSP RFC 6960Source

4Services PKI connexes

SSH CA et/ou horodatage RFC 3161

OuiSSH CA, horodatage RFC 3161Source
OuiTSA RFC 3161, CA OpenSSHSource

Inscription

5ACME (RFC 8555)

OuiAnnuaire ACME par CASource
OuiACME (marketing)Source

6EST (RFC 7030)

OuiDont serverkeygen, csrattrsSource
OuiESTSource

7SCEP (RFC 8894)

OuiProfils SCEP configurablesSource
OuiSCEP, émulation NDESSource

8CMPv2 (RFC 4210/9483)

OuiCMP, profil allégé inclus ; testé avec OpenSSLSource
Non documentéAucun support CMP trouvé

9Auto-inscription Microsoft (GPO / WCCE / MS-XCEP)

OuiMS-XCEP / MS-WSTEP, validé sur Server 2025 et Windows 11Source
OuiAuto-inscription WCCESource

10Distribution de certificats via Intune / MDM

OuiIntune SCEP et PKCS ; SCEP statique pour JamfSource
OuiIntune, Jamf, Workspace ONESource

11Émetteur Kubernetes cert-manager

OuiVia l'émetteur ACME, vérifié de bout en boutSource
OuiÉmetteur cert-manager (marketing)Source

Visibilité et automatisation

12Découverte des certificats (scan réseau et/ou agents)

OuiScanners réseau et agentsSource
OuiScan réseau, agent, importSource

13Inventaire central avec contrôles de politique / conformité

OuiContrôles Mozilla/NIST/PCI, CMDB ServiceNowSource
OuiÉcarts de politique, notation A à ESource

14Renouvellement et redéploiement automatisés

OuiRenouvellement et redéploiement côté serveur, reprises, retour arrièreSource
OuiRenouvellement et redéploiement par politiqueSource

15Alertes d'expiration

OuiE-mail, Teams, Slack, webhooks par seuilSource
OuiAlertes e-mail, Slack/Teams, webhookSource

16Déploiement vers les équipements (répartiteurs de charge, pare-feu, serveurs web, Windows) avec retour arrière

OuiF5, FortiGate, Azure, IIS, Nginx, JKS, AD LDAPS + retour arrièreSource
PartielDéploiement F5, AKV, AWS ACM, IIS ; sans retour arrièreSource

17Certificats de courte durée / préparation au TLS à 47 jours à grande échelle

OuiACME ARI, http-01/dns-01/tls-alpn-01 ; ~50 cert/s mesurésSource
PartielCite les 47 jours ; sans engagement de préparationSource

Protection des clés

18Clés de CA protégées par HSM (non exportables)

OuiClés de CA générées dans un HSM ou KMS, jamais exportéesSource
OuiSignature HSM PKCS#11 et KMS cloudSource

19Clés de CA fragmentées par MPC / seuil (jamais entières en un seul endroit)

PartielClés de CA détenues en MPC, ECDSA P-256 uniquement (préversion)Source
Non documenté

20Certificats post-quantiques (ML-DSA, SLH-DSA, hybrides/composites)

OuiML-DSA, SLH-DSA, composite ML-DSA-65+P256Source
OuiML-DSA, ML-KEM, SLH-DSASource

Cas d'usage

21S/MIME avec séquestre et recouvrement des clés

OuiSéquestre et recouvrement, distribution IntuneSource
OuiSéquestre par profil, recouvrementSource

22Service de signature de code

OuiSignTool, JAR, Git, cosign ; clés en coffre, M-of-NSource
PartielCertificats de signature de code ; sans service de signatureSource

23Identité IoT / des équipements à grande échelle

OuiEn production chez Volkswagen ; provisionnement EST et CMPSource
OuiCertificats IoT (marketing)Source

Gouvernance

24RBAC granulaire

OuiPermissions PKI hiérarchiquesSource
OuiRôles et équipesSource

25Workflow d'approbation / quorum M-of-N pour les opérations PKI sensibles

OuiM-of-N sur révocation, archivage, modifications et émission de CASource
PartielApprobations multi-étapes ; pas de M-of-NSource

26Politique contextuelle (IP, localisation, horaire) sur les opérations CA / PKI

OuiUtilisateur, IP, pays, horaire sur émission et révocationSource
Non documenté

27Journal d'audit inviolable (signé / chaîné par hachage)

OuiHMAC-SHA256 et chaîne de hachageSource
OuiÉvénements chaînés et scellésSource

28Intégration SIEM

OuiSplunk, syslog, ElasticSource
PartielJournaux syslog et JSONSource

Déploiement et éditeur

29Options SaaS et sur site

OuiHébergé par DuoKey ou sur siteSource
OuiSur site, conteneurs, cloud, SaaSSource

30Haute disponibilité / reprise après sinistre

OuiNœuds API sans état, répliquesSource
OuiClustering actif-actifSource

31Support 24/7 avec délais de réponse garantis par SLA

Oui24/7 en Platinum, 1 heure pour le critiqueSource
Partiel24/7 annoncé ; partenaires aux heures ouvréesSource

32Certifications de l'éditeur (ISO 27001, SOC 2, WebTrust / eIDAS QTSP, Common Criteria)

OuiISO 27001, SOC 2, TISAX AL3Source
OuiISO 27001, ANSSI CSPNSource

Pourquoi choisir DuoKey

Les différences clés avec Evertrust

01

CMP pour les équipements télécoms et industriels

Aucun support CMP n'est documenté pour Evertrust. DuoKey sert CMP (RFC 4210 et le profil allégé RFC 9483) aux côtés d'ACME, EST et SCEP.

02

Déploiement avec retour arrière

Evertrust déploie les certificats vers F5, Azure Key Vault, AWS ACM et IIS ; le retour arrière n'est pas documenté. DuoKey déploie vers F5, FortiGate, Azure, IIS, Nginx et les keystores Java avec validation et retour arrière.

03

Certificats composites hybrides

Evertrust annonce ML-DSA, ML-KEM et SLH-DSA. DuoKey émet également un composite hybride ML-DSA-65 + ECDSA-P256 qui conserve un repli classique pendant la migration.

04

La PKI au sein d'une plateforme de clés plus large

DuoKey exploite la PKI dans le même Cockpit que la gestion des clés, Microsoft 365 DKE et la gestion de la posture cryptographique, sous juridiction suisse plutôt que française.

Les points forts de Evertrust

Evertrust est un choix européen solide : certification ANSSI CSPN (2025) et ISO 27001, ACME, EST, SCEP, auto-inscription Windows, Intune et cert-manager, environ 18 connecteurs de CA, ML-DSA, ML-KEM et SLH-DSA, une SSH CA et l'horodatage, une HA actif-actif et un journal d'audit signé et chaîné.

FAQ

DuoKey est-il une alternative à Evertrust pour la PKI et la gestion des certificats ?

Oui. DuoKey fournit des autorités de certification privées dont les clés restent dans un HSM ou un KMS, le pilotage de CA publiques et cloud, ACME, EST, SCEP et CMP, la découverte, le déploiement et le renouvellement automatique avec retour arrière, les alertes d'expiration, un service de signature de code, l'approbation M-of-N des opérations sensibles et des certificats post-quantiques, opérés par DuoKey ou sur site.

Peut-on garder Evertrust et ajouter DuoKey ?

Oui. DuoKey peut piloter des autorités existantes comme émetteurs (Microsoft AD CS via NDES, DigiCert, Sectigo, Let's Encrypt, AWS, Azure, Google) tout en centralisant l'inventaire et le déploiement.

Comment ces critères ont-ils été choisis ?

Ils suivent les sections d'un appel d'offres PKI et gestion du cycle de vie des certificats : émission, protocoles d'inscription, visibilité et automatisation, protection des clés, cas d'usage, gouvernance et déploiement. Chaque cellule renvoie au document public sur lequel elle s'appuie.

Sources

Chaque affirmation de cette page, sourcée

Evertrust

  1. [1]evertrust.iocritères 1, 3, 4, 18, 20, 24, 25, 29, 30https://evertrust.io/files/Datasheets/en-datasheet-pki.pdf
  2. [2]evertrust.iocritères 2, 5, 9, 11, 23https://evertrust.io/clm
  3. [3]docs.evertrust.frcritères 6https://docs.evertrust.fr/horizon/2.6/admin-guide/protocols/est/est
  4. [4]docs.evertrust.frcritères 7https://docs.evertrust.fr/horizon/2.6/admin-guide/protocols/scep/scep
  5. [5]evertrust.iocritères 10, 12, 13, 14, 15, 16, 17, 22https://evertrust.io/files/Datasheets/en-datasheet-clm.pdf
  6. [6]docs.evertrust.frcritères 21https://docs.evertrust.fr/horizon/2.2/admin-guide/protocols/est
  7. [7]docs.evertrust.frcritères 27https://docs.evertrust.fr/stream/2.1/admin-guide/system/events
  8. [8]docs.evertrust.frcritères 28https://docs.evertrust.fr/horizon/2.6/admin-guide/logging
  9. [9]evertrust.iocritères 31https://evertrust.io/demo/
  10. [10]evertrust.iocritères 32https://evertrust.io/newsroom/evertrust-pki-achieves-anssi-cspn-certification-reinforcing-european-digital-sovereignty/

DuoKey

  1. [1]docs.duokey.comcritères 1, 2, 3, 8, 13, 16, 20https://docs.duokey.com/docs/pki-ssl/overview#core-capabilities
  2. [2]docs.duokey.comcritères 4https://docs.duokey.com/docs/cockpit/ssh-certificate-authority#what-is-an-ssh-certificate-authority
  3. [3]docs.duokey.comcritères 5https://docs.duokey.com/docs/developer/pki-api#acme-rfc-8555
  4. [4]docs.duokey.comcritères 6https://docs.duokey.com/docs/pki-ssl/enrollment-protocols#est-rfc-7030
  5. [5]docs.duokey.comcritères 7https://docs.duokey.com/docs/pki-ssl/enrollment-protocols#scep-rfc-8894
  6. [6]docs.duokey.comcritères 9https://docs.duokey.com/docs/pki-ssl/windows-autoenrollment#overview
  7. [7]docs.duokey.comcritères 10https://docs.duokey.com/docs/pki-ssl/intune-mdm#overview
  8. [8]docs.duokey.comcritères 11https://docs.duokey.com/docs/pki-ssl/enrollment-protocols#using-acme-with-kubernetes-cert-manager
  9. [9]docs.duokey.comcritères 12https://docs.duokey.com/docs/developer/pki-api#discovery-compliance
  10. [10]docs.duokey.comcritères 14https://docs.duokey.com/docs/pki-ssl/renewal-and-alerts#renewal-policies
  11. [11]docs.duokey.comcritères 15https://docs.duokey.com/docs/pki-ssl/renewal-and-alerts#expiry-alerts
  12. [12]docs.duokey.comcritères 17https://docs.duokey.com/docs/pki-ssl/short-lived-certificates#load
  13. [13]docs.duokey.comcritères 18https://docs.duokey.com/docs/pki-ssl/ca-key-protection#supported-back-ends
  14. [14]docs.duokey.comcritères 19https://docs.duokey.com/docs/pki-ssl/ca-key-protection#mpc-ca-keys
  15. [15]docs.duokey.comcritères 21https://docs.duokey.com/docs/cockpit/release-notes#205-206
  16. [16]docs.duokey.comcritères 22https://docs.duokey.com/docs/pki-ssl/code-signing#overview
  17. [17]duokey.comcritères 23https://duokey.com/en/customers/volkswagen-ota-edge
  18. [18]docs.duokey.comcritères 24https://docs.duokey.com/docs/developer/pki-api#certificates-requests
  19. [19]docs.duokey.comcritères 25https://docs.duokey.com/docs/pki-ssl/governance#quorum
  20. [20]docs.duokey.comcritères 26https://docs.duokey.com/docs/pki-ssl/governance#access-policies
  21. [21]docs.duokey.comcritères 27https://docs.duokey.com/docs/cockpit/security#tamper-evident-audit
  22. [22]docs.duokey.comcritères 28https://docs.duokey.com/docs/cockpit/deployment#observability
  23. [23]docs.duokey.comcritères 29https://docs.duokey.com/docs/openshift-on-prem/vm-deployment
  24. [24]docs.duokey.comcritères 30https://docs.duokey.com/docs/cockpit/deployment#high-availability-and-resilience
  25. [25]docs.duokey.comcritères 31https://docs.duokey.com/docs/why-mpc
  26. [26]duokey.comcritères 32https://duokey.com/en/compliance/iso-27001

Parlons des décisions qui comptent pour votre programme de sécurité.

Dites-nous où le contrôle est difficile aujourd’hui. Nous vous aiderons à définir une prochaine étape concrète.

Demander une démoDécouvrir les solutions