Alternatives à HashiCorp Vault : OpenBao, secrets managers AWS, Azure et Google, Conjur, Infisical. Ce qui change pour vos applications et la clé d'unseal.
Une alternative à HashiCorp Vault est un autre gestionnaire de secrets capable de stocker, délivrer et faire tourner les secrets applicatifs à la place de Vault. La plus proche est OpenBao, un fork open source de Vault qui conserve son API. Les autres (gestionnaires de secrets des clouds, CyberArk Conjur, Infisical) imposent de nouveaux appels côté client et un autre modèle d'accès.
Les équipes cherchent en général pour trois raisons : le changement de licence de 2023, le coût quand le nombre de clients et de clusters augmente, et l'envie de faire tourner les secrets sur une infrastructure qu'elles choisissent. Cette page compare les principales options et dit clairement ce que fait DuoKey. DuoKey n'est pas un gestionnaire de secrets généraliste. DuoKey opère OpenBao en service managé et protège la clé qui déverrouille (unseal) OpenBao ou Vault, avec du calcul multipartite (MPC), un HSM ou un coffre logiciel.
La licence. En août 2023, HashiCorp a fait passer Vault de la Mozilla Public License 2.0 à la Business Source License 1.1 (BSL). Le code reste lisible, mais la licence restreint certains usages commerciaux. Le contexte et une checklist de migration sont dans HashiCorp Vault et la BSL 1.1.
Le propriétaire. IBM a finalisé le rachat de HashiCorp le 27 février 2025 (communiqué IBM). Certains acheteurs veulent réévaluer la feuille de route et les conditions contractuelles après ce changement.
Les fonctions réservées à Enterprise. Plusieurs contrôles demandés par les équipes régulées sont des fonctions Vault Enterprise. La documentation HashiCorp indique que l'auto-unseal et le seal wrapping PKCS#11 exigent Vault Enterprise, tout comme le seal wrapping en général (seal PKCS#11, concepts de seal).
Le risque de réécriture. C'est souvent ce qui bloque. Beaucoup de parcs ont des années de code qui lit des secrets, s'authentifie par AppRole ou Kubernetes et appelle le moteur Transit. Une alternative qui change l'API transforme une décision de plateforme en programme applicatif.
| Option | Type | Licence ou modèle | API Vault | Cas typique |
|---|---|---|---|---|
| OpenBao (opéré en interne) | Fork open source de Vault | MPL 2.0, projet OpenSSF de la Linux Foundation | Conservée (vérifier plugins et fonctions Enterprise) | Équipes qui veulent le comportement de Vault sans BSL et savent l'opérer |
| OpenBao opéré par DuoKey | OpenBao managé avec auto-unseal MPC | OpenBao (MPL 2.0) plus un service DuoKey | Conservée | Équipes qui quittent Vault Enterprise et veulent la clé d'unseal hors de tout hôte ou boîtier unique |
| AWS Secrets Manager | Service du fournisseur cloud | Paiement à l'usage, AWS uniquement | Non | Charges surtout sur AWS |
| Azure Key Vault | Service du fournisseur cloud (secrets, clés, certificats) | Paiement à l'usage, Azure uniquement | Non | Charges surtout sur Azure |
| Google Cloud Secret Manager | Service du fournisseur cloud | Paiement à l'usage, Google Cloud uniquement | Non | Charges surtout sur Google Cloud |
| CyberArk Conjur | Gestionnaire de secrets d'un éditeur PAM | Serveur open source (LGPL v3) et éditions commerciales | Non | Organisations déjà équipées CyberArk |
| Infisical | Plateforme de secrets orientée développeurs | Cœur open source (MIT) et offres payantes | Non | Équipes qui veulent une interface récente et des SDK en premier |
Licences et modèles relevés sur le site officiel ou le dépôt de chaque projet au moment de la rédaction ; vérifiez-les avant de décider. La liste n'est pas exhaustive.
OpenBao se présente comme un gestionnaire de secrets open source, porté par sa communauté, fork de Vault géré par l'OpenSSF de la Linux Foundation. Il part du dernier code de Vault sous licence MPL : l'API HTTP, les usages de la CLI, les méthodes d'authentification et les moteurs de secrets employés par la plupart des applications restent les mêmes. En pratique, une migration se résume à changer l'adresse du serveur et à tester, sans réécrire chaque client.
À vérifier avant de vous engager :
AWS Secrets Manager, Azure Key Vault et Google Cloud Secret Manager sont des services managés : pas de serveur à opérer, IAM natif et facturation à l'usage. Les contreparties :
Ils conviennent bien quand une charge vit dans un seul cloud et que l'équipe est à l'aise avec l'IAM de ce fournisseur.
CyberArk Conjur est le gestionnaire de secrets de CyberArk. Le dépôt Conjur Open Source indique que le serveur est sous licence LGPL v3, les éditions commerciales ajoutant des fonctions d'entreprise. Il convient aux organisations qui utilisent déjà CyberArk pour les accès à privilèges.
Infisical est une plateforme de secrets plus récente, avec un cœur open source sous licence MIT et des offres payantes, en cloud ou auto-hébergée (Infisical). Elle vise les flux des développeurs : SDK, CLI et synchronisation des secrets vers la CI/CD et les plateformes cloud.
Aucune des deux ne parle l'API Vault : prévoyez des changements côté client.
Toutes les équipes n'ont pas besoin de partir. Si le problème est le processus d'unseal plutôt que la licence, vous pouvez garder Vault et changer l'endroit où vit la clé d'unseal :
DuoKey intervient de trois façons autour de Vault et d'OpenBao, sans les remplacer comme source de secrets pour les applications.
| Votre besoin | Ce que fournit DuoKey |
|---|---|
| Une plateforme de secrets compatible Vault, sans BSL | OpenBao + DuoKey SD-HSM : OpenBao opéré en service managé hébergé dans l'UE, avec un assessment de migration gratuit |
| L'auto-unseal sans HSM dédié par cluster | Le seal PKCS#11 d'OpenBao ou de Vault Enterprise adossé à DuoKey. La clé AES-256 du seal est en MPC (DuoKey SD-HSM), dans un HSM ou dans un coffre logiciel, et l'unseal s'arrête si la clé est désactivée dans Cockpit |
| Un seul endroit pour les clés au-delà des secrets | Le même Cockpit gère les clés pour le KMS, le chiffrement des bases de données, la PKI et les magasins de clés externes des clouds, avec une seule piste d'audit |
Ce que le MPC change au profil de risque de la clé d'unseal par rapport à un module matériel est détaillé dans MPC vs HSM. Un exemple client : la migration de Vault vers OpenBao.
Q : Quelle est la meilleure alternative à HashiCorp Vault ?
Cela dépend de la quantité de code qui utilise l'API Vault. Pour garder ce code, OpenBao est l'option la plus proche, puisque c'est un fork de Vault. Si vos charges sont dans un seul cloud et que vous pouvez réécrire les clients, le gestionnaire de secrets de ce cloud est plus simple à exploiter.
Q : OpenBao est-il compatible avec HashiCorp Vault ?
OpenBao est un fork de Vault et conserve son API, les usages de la CLI et la plupart des méthodes d'authentification et moteurs de secrets ; la plupart des clients n'ont besoin que d'une nouvelle adresse. Les fonctions réservées à Vault Enterprise ne faisaient pas partie du fork : testez vos plugins et fonctions Enterprise avant la bascule.
Q : Existe-t-il une alternative gratuite à HashiCorp Vault ?
Oui. OpenBao est open source sous MPL 2.0. Le serveur Conjur et le cœur d'Infisical sont aussi open source. Les faire tourner coûte néanmoins de l'infrastructure et du temps d'exploitation.
Q : DuoKey remplace-t-il HashiCorp Vault ?
Pas en tant que gestionnaire de secrets à part entière. DuoKey opère OpenBao, la partie compatible Vault, en service managé, et protège la clé qui déverrouille OpenBao ou Vault Enterprise. Les applications continuent de lire leurs secrets dans OpenBao ou Vault.
Q : Peut-on garder Vault sans HSM dédié à l'unseal ?
Avec Vault Enterprise, oui : le seal PKCS#11 peut pointer vers DuoKey, qui conserve la clé d'enveloppement AES-256 en MPC, dans un HSM ou dans un coffre logiciel. Vault Community prend en charge l'auto-unseal par KMS cloud et Transit, pas par PKCS#11.
Q : Combien de temps dure une migration de Vault vers OpenBao ?
Cela dépend du parc. La page produit DuoKey décrit un parcours de 2 à 4 semaines lorsque le parc s'y prête ; l'assessment de migration gratuit le vérifie au regard de vos clusters, méthodes d'authentification et plugins.
Écrit par
Nagib Aouini
Ressources associées
Dites-nous où le contrôle est difficile aujourd’hui. Nous vous aiderons à définir une prochaine étape concrète.
