DuoKey

PKI et gestion du cycle de vie des certificats

DuoKey vs Keyfactor

Keyfactor associe Keyfactor Command pour la gestion du cycle de vie des certificats à EJBCA pour l'autorité de certification, ainsi que Signum et SignServer pour la signature, livrés sous forme de logiciel, d'appliances, de conteneurs ou en SaaS. DuoKey est une plateforme suisse de PKI et de cycle de vie des certificats : CA privées aux clés protégées par HSM, ACME, EST, SCEP et CMP, découverte, déploiement et renouvellement automatique avec retour arrière, signature de code, gouvernance M-of-N, certificats post-quantiques et journal d'audit infalsifiable, opérée par DuoKey ou sur site.

DuoKey

31 / 32

Keyfactor

28 / 32

Capacités comparées prises en charge, d'après la documentation publique.

Réserver un appel→Voir le comparatif

Uniquement chez DuoKey

  • Déploiement vers les équipements (répartiteurs de charge, pare-feu, serveurs web, Windows) avec retour arrière
  • Politique contextuelle (IP, localisation, horaire) sur les opérations CA / PKI
  • Support 24/7 avec délais de réponse garantis par SLA

Critère par critère

DuoKey et Keyfactor, côte à côte

CapacitéDuoKeyKeyfactor

Autorité de certification et émission

1Hiérarchie de CA privée

Exploiter ses propres CA racines et intermédiaires avec contrôle du cycle de vie

OuiCA racines, intermédiaires, importées ; révocation en cascadeSource
OuiHiérarchie de CA EJBCA, nœud unique ou clusterSource

2Courtage de CA publiques / externes

Commander et renouveler des certificats de CA publiques ou cloud (Let's Encrypt, DigiCert, Sectigo, AWS PCA, ADCS...) depuis une seule console

OuiLet's Encrypt, DigiCert, Sectigo, AWS, Azure, GCP, ADCS (NDES, Server 2025)Source
OuiAnyCA Gateway : DigiCert, Sectigo, AWS PCA, ADCSSource

3Révocation

CRL et OCSP pour les parties utilisatrices

OuiOCSP et CRL par CASource
OuiCRL et OCSPSource

4Services PKI connexes

SSH CA et/ou horodatage RFC 3161

OuiSSH CA, horodatage RFC 3161Source
OuiSSH CA EJBCA, SignServer RFC 3161Source

Inscription

5ACME (RFC 8555)

OuiAnnuaire ACME par CASource
OuiACME (Enterprise)Source

6EST (RFC 7030)

OuiDont serverkeygen, csrattrsSource
OuiEST (Enterprise)Source

7SCEP (RFC 8894)

OuiProfils SCEP configurablesSource
OuiSCEPSource

8CMPv2 (RFC 4210/9483)

OuiCMP, profil allégé inclus ; testé avec OpenSSLSource
OuiCMP, avec limitationsSource

9Auto-inscription Microsoft (GPO / WCCE / MS-XCEP)

OuiMS-XCEP / MS-WSTEP, validé sur Server 2025 et Windows 11Source
OuiIntégration de l'auto-inscription MicrosoftSource

10Distribution de certificats via Intune / MDM

OuiIntune SCEP et PKCS ; SCEP statique pour JamfSource
OuiRA SCEP validée avec IntuneSource

11Émetteur Kubernetes cert-manager

OuiVia l'émetteur ACME, vérifié de bout en boutSource
OuiÉmetteurs cert-manager EJBCA et CommandSource

Visibilité et automatisation

12Découverte des certificats (scan réseau et/ou agents)

OuiScanners réseau et agentsSource
OuiDécouverte SSL réseau via orchestrateursSource

13Inventaire central avec contrôles de politique / conformité

OuiContrôles Mozilla/NIST/PCI, CMDB ServiceNowSource
OuiInventaire avec alertes de non-conformitéSource

14Renouvellement et redéploiement automatisés

OuiRenouvellement et redéploiement côté serveur, reprises, retour arrièreSource
OuiRenouvellement et déploiement sans interventionSource

15Alertes d'expiration

OuiE-mail, Teams, Slack, webhooks par seuilSource
OuiAlertes et workflows d'expirationSource

16Déploiement vers les équipements (répartiteurs de charge, pare-feu, serveurs web, Windows) avec retour arrière

OuiF5, FortiGate, Azure, IIS, Nginx, JKS, AD LDAPS + retour arrièreSource
PartielDéploiement par orchestrateur ; retour arrière non documentéSource

17Certificats de courte durée / préparation au TLS à 47 jours à grande échelle

OuiACME ARI, http-01/dns-01/tls-alpn-01 ; ~50 cert/s mesurésSource
OuiDocumentation dédiée aux 47 joursSource

Protection des clés

18Clés de CA protégées par HSM (non exportables)

OuiClés de CA générées dans un HSM ou KMS, jamais exportéesSource
OuiHSM cloud/sur site, appliance avec HSMSource

19Clés de CA fragmentées par MPC / seuil (jamais entières en un seul endroit)

PartielClés de CA détenues en MPC, ECDSA P-256 uniquement (préversion)Source
Non documenté

20Certificats post-quantiques (ML-DSA, SLH-DSA, hybrides/composites)

OuiML-DSA, SLH-DSA, composite ML-DSA-65+P256Source
OuiML-DSA, SLH-DSA, compositeSource

Cas d'usage

21S/MIME avec séquestre et recouvrement des clés

OuiSéquestre et recouvrement, distribution IntuneSource
OuiRecouvrement des clés générées par la CASource

22Service de signature de code

OuiSignTool, JAR, Git, cosign ; clés en coffre, M-of-NSource
OuiSignum, SignServerSource

23Identité IoT / des équipements à grande échelle

OuiEn production chez Volkswagen ; provisionnement EST et CMPSource
OuiCommand for IoT (marketing)Source

Gouvernance

24RBAC granulaire

OuiPermissions PKI hiérarchiquesSource
OuiPermissions basées sur les rôlesSource

25Workflow d'approbation / quorum M-of-N pour les opérations PKI sensibles

OuiM-of-N sur révocation, archivage, modifications et émission de CASource
OuiProfils d'approbation cumulatifs/partitionnésSource

26Politique contextuelle (IP, localisation, horaire) sur les opérations CA / PKI

OuiUtilisateur, IP, pays, horaire sur émission et révocationSource
PartielHoraire/lieu uniquement pour la signature SignumSource

27Journal d'audit inviolable (signé / chaîné par hachage)

OuiHMAC-SHA256 et chaîne de hachageSource
OuiEntrées d'audit signées, numéros de séquenceSource

28Intégration SIEM

OuiSplunk, syslog, ElasticSource
OuiSIEM/ITSM, rsyslog/LogstashSource

Déploiement et éditeur

29Options SaaS et sur site

OuiHébergé par DuoKey ou sur siteSource
OuiAppliance, conteneur, cloud, SaaSSource

30Haute disponibilité / reprise après sinistre

OuiNœuds API sans état, répliquesSource
OuiClustering ; SaaS redondant multirégionSource

31Support 24/7 avec délais de réponse garantis par SLA

Oui24/7 en Platinum, 1 heure pour le critiqueSource
Partiel24/7 annoncé ; délais de réponse non publicsSource

32Certifications de l'éditeur (ISO 27001, SOC 2, WebTrust / eIDAS QTSP, Common Criteria)

OuiISO 27001, SOC 2, TISAX AL3Source
OuiISO 27001, SOC 2 Type II, Common CriteriaSource

Pourquoi choisir DuoKey

Les différences clés avec Keyfactor

01

Un journal d'audit chaîné

EJBCA signe les entrées d'audit et les numérote par nœud ; la documentation de Keyfactor indique que l'implémentation ne peut détecter ni la suppression des dernières entrées d'un nœud tant que sa JVM est arrêtée, ni des entrées falsifiées si le jeton de protection d'intégrité est compromis. DuoKey intègre chaque enregistrement signé en HMAC-SHA256 à une chaîne de hachage SHA-256 : toute modification ou suppression est détectable.

02

Déploiement avec retour arrière

Command déploie les certificats via des orchestrateurs ; le retour arrière n'est pas documenté. DuoKey déploie vers F5, FortiGate, Azure, IIS, Nginx et les keystores Java avec validation et retour arrière.

03

Une plateforme au-delà de la PKI

DuoKey exploite la CA, le cycle de vie des certificats, la SSH CA et l'horodatage dans le même Cockpit que la gestion des clés, Microsoft 365 DKE et la gestion de la posture cryptographique, avec un seul modèle RBAC et un seul journal d'audit.

04

Juridiction suisse

Keyfactor est une entreprise américaine. EJBCA SaaS fonctionne sur AWS ou Azure, et Keyfactor indique que les fonctionnalités nécessitant une clé de chiffrement, comme SCEP, Intune et la récupération de clés, ne fonctionnent pas avec les déploiements basés sur AWS KMS. DuoKey SA est suisse et exploite son service sous droit suisse, ou fonctionne sur site chez vous.

Les points forts de Keyfactor

Keyfactor est un leader de la PKI : couverture complète des protocoles (ACME, EST, SCEP, CMP, auto-inscription Microsoft, Intune, cert-manager), certificats ML-DSA, SLH-DSA et composites, profils d'approbation cumulatifs, outillage dédié au renouvellement à 47 jours, EJBCA certifié Common Criteria, ISO 27001 et SOC 2 Type II. C'est le concurrent le plus solide en étendue fonctionnelle PKI.

FAQ

DuoKey est-il une alternative à Keyfactor pour la PKI et la gestion des certificats ?

Oui. DuoKey fournit des autorités de certification privées dont les clés restent dans un HSM ou un KMS, le pilotage de CA publiques et cloud, ACME, EST, SCEP et CMP, la découverte, le déploiement et le renouvellement automatique avec retour arrière, les alertes d'expiration, un service de signature de code, l'approbation M-of-N des opérations sensibles et des certificats post-quantiques, opérés par DuoKey ou sur site.

Peut-on garder Keyfactor et ajouter DuoKey ?

Oui. DuoKey peut piloter des autorités existantes comme émetteurs (Microsoft AD CS via NDES, DigiCert, Sectigo, Let's Encrypt, AWS, Azure, Google) tout en centralisant l'inventaire et le déploiement.

Comment ces critères ont-ils été choisis ?

Ils suivent les sections d'un appel d'offres PKI et gestion du cycle de vie des certificats : émission, protocoles d'inscription, visibilité et automatisation, protection des clés, cas d'usage, gouvernance et déploiement. Chaque cellule renvoie au document public sur lequel elle s'appuie.

Quelles sont les alternatives à Keyfactor ?

Pour la PKI et la gestion du cycle de vie des certificats, les acheteurs comparent en général Keyfactor (Command et EJBCA) avec DigiCert ONE, Evertrust, Microsoft AD CS avec Cloud PKI pour Intune, les CA privées des clouds (AWS Private CA, Google Cloud CAS) et DuoKey. Les critères qui les départagent sont la garde des clés de CA, la couverture des protocoles, le déploiement avec retour arrière, le journal d'audit, les certifications et la juridiction.

DuoKey prend-il en charge les certificats post-quantiques comme Keyfactor ?

Oui. Keyfactor et DuoKey documentent tous deux des certificats ML-DSA, SLH-DSA et composites. DuoKey émet ML-DSA-44/65/87, SLH-DSA-128F/128S et un composite hybride ML-DSA-65 + ECDSA-P256 ; les clés des CA post-quantiques restent dans un coffre ou un HSM.

Comment migrer d'EJBCA ou de Keyfactor Command vers DuoKey ?

Par une migration en parallèle : importez la CA existante comme CA externe ou créez une nouvelle hiérarchie, distribuez la confiance, puis basculez les consommateurs protocole par protocole (ACME, EST, SCEP, CMP). Les anciens certificats expirent naturellement pendant que DuoKey centralise l'inventaire et le déploiement.

Sources

Chaque affirmation de cette page, sourcée

Keyfactor

  1. [1]www.keyfactor.comcritères 1, 18, 29https://www.keyfactor.com/products/ejbca-enterprise/
  2. [2]pre-reqs.keyfactor.comcritères 2https://pre-reqs.keyfactor.com/customer-requirements/current/anyca-gateway-plug-ins
  3. [3]docs.keyfactor.comcritères 3, 5, 6, 7, 8, 9https://docs.keyfactor.com/ejbca/latest/interoperability-and-certifications
  4. [4]docs.keyfactor.comcritères 4https://docs.keyfactor.com/signserver/latest/time-stamp-signer
  5. [5]docs.keyfactor.comcritères 10https://docs.keyfactor.com/ejbca/latest/microsoft-intune-device-certificate-enrollment
  6. [6]docs.keyfactor.comcritères 11https://docs.keyfactor.com/how-to/latest/use-ejbca-with-cert-manager
  7. [7]software.keyfactor.comcritères 12https://software.keyfactor.com/Core-OnPrem/Current/Content/ReferenceGuide/SSLDiscovery.htm
  8. [8]www.keyfactor.comcritères 13, 16, 24, 28https://www.keyfactor.com/products/command/
  9. [9]software.keyfactor.comcritères 14, 17https://software.keyfactor.com/Core-OnPrem/Current/Content/MasterTopics/47daycerts.htm
  10. [10]software.keyfactor.comcritères 15https://software.keyfactor.com/Core-OnPrem/Current/Content/ReferenceGuide/WorkflowDefinitions.htm
  11. [11]docs.keyfactor.comcritères 20https://docs.keyfactor.com/ejbca/latest/supported-algorithms
  12. [12]docs.keyfactor.comcritères 21https://docs.keyfactor.com/ejbca/latest/ejbca-8-2-release-notes
  13. [13]www.keyfactor.comcritères 22, 26https://www.keyfactor.com/products/signum/
  14. [14]www.keyfactor.comcritères 23https://www.keyfactor.com/products/command-iot/
  15. [15]docs.keyfactor.comcritères 25https://docs.keyfactor.com/ejbca/latest/accumulative-approval-profiles
  16. [16]docs.keyfactor.comcritères 27https://docs.keyfactor.com/ejbca/latest/integrity-protected-security-audit-log
  17. [17]www.keyfactor.comcritères 30, 31https://www.keyfactor.com/products/keyfactor-ejbca-saas/
  18. [18]trust.keyfactor.comcritères 32https://trust.keyfactor.com/

DuoKey

  1. [1]docs.duokey.comcritères 1, 2, 3, 8, 13, 16, 20https://docs.duokey.com/docs/pki-ssl/overview#core-capabilities
  2. [2]docs.duokey.comcritères 4https://docs.duokey.com/docs/cockpit/ssh-certificate-authority#what-is-an-ssh-certificate-authority
  3. [3]docs.duokey.comcritères 5https://docs.duokey.com/docs/developer/pki-api#acme-rfc-8555
  4. [4]docs.duokey.comcritères 6https://docs.duokey.com/docs/pki-ssl/enrollment-protocols#est-rfc-7030
  5. [5]docs.duokey.comcritères 7https://docs.duokey.com/docs/pki-ssl/enrollment-protocols#scep-rfc-8894
  6. [6]docs.duokey.comcritères 9https://docs.duokey.com/docs/pki-ssl/windows-autoenrollment#overview
  7. [7]docs.duokey.comcritères 10https://docs.duokey.com/docs/pki-ssl/intune-mdm#overview
  8. [8]docs.duokey.comcritères 11https://docs.duokey.com/docs/pki-ssl/enrollment-protocols#using-acme-with-kubernetes-cert-manager
  9. [9]docs.duokey.comcritères 12https://docs.duokey.com/docs/developer/pki-api#discovery-compliance
  10. [10]docs.duokey.comcritères 14https://docs.duokey.com/docs/pki-ssl/renewal-and-alerts#renewal-policies
  11. [11]docs.duokey.comcritères 15https://docs.duokey.com/docs/pki-ssl/renewal-and-alerts#expiry-alerts
  12. [12]docs.duokey.comcritères 17https://docs.duokey.com/docs/pki-ssl/short-lived-certificates#load
  13. [13]docs.duokey.comcritères 18https://docs.duokey.com/docs/pki-ssl/ca-key-protection#supported-back-ends
  14. [14]docs.duokey.comcritères 19https://docs.duokey.com/docs/pki-ssl/ca-key-protection#mpc-ca-keys
  15. [15]docs.duokey.comcritères 21https://docs.duokey.com/docs/cockpit/release-notes#205-206
  16. [16]docs.duokey.comcritères 22https://docs.duokey.com/docs/pki-ssl/code-signing#overview
  17. [17]duokey.comcritères 23https://duokey.com/en/customers/volkswagen-ota-edge
  18. [18]docs.duokey.comcritères 24https://docs.duokey.com/docs/developer/pki-api#certificates-requests
  19. [19]docs.duokey.comcritères 25https://docs.duokey.com/docs/pki-ssl/governance#quorum
  20. [20]docs.duokey.comcritères 26https://docs.duokey.com/docs/pki-ssl/governance#access-policies
  21. [21]docs.duokey.comcritères 27https://docs.duokey.com/docs/cockpit/security#tamper-evident-audit
  22. [22]docs.duokey.comcritères 28https://docs.duokey.com/docs/cockpit/deployment#observability
  23. [23]docs.duokey.comcritères 29https://docs.duokey.com/docs/openshift-on-prem/vm-deployment
  24. [24]docs.duokey.comcritères 30https://docs.duokey.com/docs/cockpit/deployment#high-availability-and-resilience
  25. [25]docs.duokey.comcritères 31https://docs.duokey.com/docs/why-mpc
  26. [26]duokey.comcritères 32https://duokey.com/en/compliance/iso-27001

Parlons des décisions qui comptent pour votre programme de sécurité.

Dites-nous où le contrôle est difficile aujourd’hui. Nous vous aiderons à définir une prochaine étape concrète.

Demander une démoDécouvrir les solutions