Europese alternatieven voor HashiCorp Vault
Op zoek naar een Europees alternatief voor HashiCorp Vault? HashiCorp licentieert Vault onder de Business Source License 1.1, die het aanbieden van de software als concurrerende gehoste dienst beperkt, en het privacybeleid stelt dat HashiCorp is overgenomen door IBM en vermeldt een adres in Armonk, New York. Teams die een Europese exploitant, een volledig open licentie of een andere prijseenheid willen, vergelijken vervangers.
De Europese tools hieronder omvatten beheerde en ondersteunde OpenBao-diensten uit Duitsland en Zwitserland, een Israëlisch SaaS-platform en secretopslag binnen Franse en Duitse clouds.
Hoe we deze tools rangschikken Proces in 4 stappen
-
1
Europees eigendom, geverifieerd
Het bedrijf heeft zijn hoofdkantoor en statutaire zetel in de EU, de EER, het Verenigd Koninkrijk, Zwitserland of Israël, en verwerkt klantgegevens in Europa of Israël. Een Amerikaans moederbedrijf sluit een tool van deze pagina uit, ongeacht waar de servers staan.
-
2
Categoriefit en praktijkreview
Wat de tool echt doet, voor wie hij geschikt is en waar hij tekortschiet, gecontroleerd aan de hand van de eigen documentatie, changelog en prijspagina van de leverancier in plaats van de marketingtekst.
-
3
Controle op compliance en prijzen
AVG-positie, hostinglocatie en de prijzen op deze pagina worden vóór publicatie geverifieerd aan de hand van de openbare prijzen van de leverancier, en opnieuw gecontroleerd wanneer we de categorie opnieuw bekijken.
-
4
Positie op deze pagina
Plaatsing op deze pagina kan betaald zijn, en dat kan van invloed zijn op welke tools hier verschijnen en in welke volgorde. Betaling koopt nooit een goede review: een tool die de bovenstaande controles niet doorstaat, staat hier voor geen prijs, en betaling verandert niets aan de tekortkomingen die we beschrijven. Een leverancier kan ons vragen een feitelijke fout te corrigeren, maar niet om een kritiekpunt te verwijderen.
Leveranciers kunnen betalen voor zichtbaarheid op deze pagina. Dat verandert nooit wat een vermelding over een product zegt, inclusief de kritiek, en wij verdienen niets wanneer je doorklikt naar een leverancier. Leveranciers kunnen betalen voor meer zichtbaarheid, hoger op de reviewpagina's; het heeft nooit invloed op welke tools worden opgenomen. Redactioneel beleid
10 Europese alternatieven voor HashiCorp Vault
ayedo
Beheerde OpenBao op Duitse infrastructuur, voor jou gedraaid
Adfinis Secretz Enterprise
Support-abonnement met vaste prijs voor OpenBao in productie
Akeyless
SaaS-secretsplatform met zero-knowledge sleutelafhandeling
Passwork
Zelf gehoste wachtwoord- en secretkluis met REST API
Scaleway
Parijse cloud met een Secret Manager waarvoor je per versie betaalt
STACKIT
Cloud van de Schwarz Group met een key-value store in Vault-stijl
OVHcloud
Secretkluis in de openbare cloud met Vault-compatibele API
Passbolt
Open source kluis voor inloggegevens met een gedocumenteerde API
GitGuardian
Vindt gelekte inloggegevens en brengt niet-menselijke identiteiten in kaart
Psono
Zelf gehoste teamkluis met API-sleutels en een CI-client
Belangrijkste conclusies
- HashiCorp Vault wordt uitgebracht onder de Business Source License 1.1, en het privacybeleid van HashiCorp stelt dat IBM het bedrijf heeft overgenomen.
- ayedo publiceert de enige vaste prijs voor een Vault-achtige dienst op deze pagina, €1,299.95 per maand voor een dedicated cluster met één tenant.
- Adfinis Secretz Enterprise rekent een vast bedrag voor support van de open source engine, dus de kosten stijgen niet mee met het aantal identiteiten.
- Akeyless is de enige gehoste optie hier die HashiCorp Vault vermeldt als externe kluis die het kan synchroniseren.
- Passwork biedt secrets management aan in het Advanced-abonnement van €4.50 per gebruiker per maand, niet in het Standard-abonnement van €3.
Waarom mensen HashiCorp Vault verlaten
HashiCorp Vault is de secretmanager die veel infrastructuurteams als referentieontwerp beschouwen: een key-value store met versies, inloggegevens die op verzoek worden aangemaakt voor databases en cloudaccounts, een interne certificaatautoriteit, een encryptiedienst en een audittrail. Omdat zo veel pipelines, Kubernetes-clusters en runbooks rond de API zijn geschreven, is het vervangen ervan een platformproject en geen inkoopbeslissing. De redenen om verder te kijken zijn daarom meestal juridisch en commercieel, geen gebrek aan functies.
De juridische kant begint bij het eigendom. Volgens het privacybeleid van HashiCorp, zoals gelezen voor deze review, is HashiCorp overgenomen door IBM, en het beleid vermeldt een adres in Armonk, New York.
Een kluis is het systeem dat al je andere systemen kan ontgrendelen, dus de vraag welk bedrijf en welke rechtbanken erachter staan, weegt zwaarder dan bij een notitie-app. Vault hosten in een datacenter in Frankfurt verandert niet wie de leverancier is.
De commerciële kant is de licentie. HashiCorp publiceert Vault onder de Business Source License 1.1, die het aanbieden van de software als concurrerende gehoste dienst beperkt. Voor een eindgebruiker speelt dat op dag één zelden een rol, maar het verklaart waarom Europese aanbieders nu kluizen verkopen die op een andere engine of in hun eigen cloud draaien, en waarom teams die een duidelijk open licentie wilden, vervangers zijn gaan vergelijken.
- Een Amerikaanse moedermaatschappij achter de sleutels Het privacybeleid van HashiCorp noemt IBM als overnemer en geeft een adres in Armonk, New York. Bij een secretopslag is jurisdictie de centrale vraag, want een verzoek aan de leverancier kan in principe het systeem betreffen dat alle productie-inloggegevens bevat. Een contract met ayedo (Duitsland), Adfinis (Zwitserland) of Passbolt (Luxemburg) brengt die vraag onder Europees recht, en een zelf gehoste installatie haalt de leverancier volledig uit het pad.
- Een licentie die gehoste aanbiedingen beperkt De Business Source License 1.1 is geen open source-licentie in de gebruikelijke zin, omdat ze het aanbieden van de software als concurrerende gehoste dienst beperkt. Een bedrijf dat een beheerde kluis wil bouwen op Vault-code, kan dat niet zomaar doen, en een klant die een volledig open licentie eist, moet naar andere engines kijken. De Europese aanbieders op deze pagina maken die keuze op verschillende manieren, van open source-servers tot gesloten SaaS.
- Prijzen waarover je moet vragen De prijspagina van HashiCorp toonde bij de controle voor deze review geen Vault-prijzen, dus een budgetvergelijking begint met een gesprek. Verschillende Europese leveranciers doen het niet beter: Akeyless en Adfinis publiceren ook geen lijstprijzen. De aanbieders die wel een getal publiceren zijn ayedo (€1,299.95 per maand voor een toegewijd cluster), Passwork (€3 en €4.50 per gebruiker), Passbolt (€4.50 per gebruiker) en Scaleway, dat rekent per secretversie en verzoek.
- Vault draaien is een taak op zich Een zelf beheerde Vault heeft iemand nodig die unsealing, upgrades, back-ups en disaster recovery regelt. Teams die een beheerde Vault verlieten vanwege kosten of jurisdictie, ontdekken dit vaak laat. ayedo verkoopt precies die operationele laag, met auto-unseal en het auditlog verzorgd door de exploitant, terwijl de cloud-secretopslag van Scaleway, STACKIT en OVHcloud de taak wegneemt door de functieset te beperken.
Wat je moet vervangen, niet alleen evenaren
Wat je vervangt is net zo goed een set gewoontes als een product. Applicaties authenticeren zich bij Vault met een rol, lezen een pad en ontvangen een lease. CI-taken halen kortlevende tokens op.
Beheerders schrijven beleid in de eigen taal van Vault en controleren auditlogs in een vast formaat. Welke Europese tool je ook kiest, maak een lijst van de auth-methodes die je workloads nu gebruiken, de secrets engines waarop je vertrouwt (key-value, database, cloud IAM, PKI, transit) en het aantal afzonderlijke beleidsregels, want de match met elke vervanger verschilt sterk per engine.
Qua API zijn ayedo en Adfinis de beste matches, beide gebouwd rond dezelfde open source engine die als fork van Vault is ontstaan, net als de OVHcloud-secretopslag, die naar eigen zeggen een Vault-compatibele API biedt.
De afstand groeit met de tools die een ander model volgen: Akeyless gebruikt eigen gateways en telt clients, Scaleway en STACKIT zijn stores met versiebeheer, en de wachtwoordkluizen (Passwork, Passbolt, Psono) zijn bedoeld voor gedeelde logins met een API ernaast. GitGuardian vervangt niets in de kluis zelf; het dekt de taak van lekdetectie eromheen.
De data die je moet verhuizen is kleiner dan de gewoontes. Statische secrets kun je met een script exporteren en opnieuw importeren, terwijl dynamische secrets geen data zijn: het is configuratie die opnieuw aangemaakt moet worden voor elke database en cloudaccount.
Plan eerst de integraties, bijvoorbeeld de External Secrets Operator in Kubernetes, die ayedo en OVHcloud beide noemen, en de periode waarin twee kluizen naast elkaar draaien. Akeyless documenteert een connector voor Vault precies voor deze overlap.
De alternatieven vergeleken
| Positie | Tool | Hoofdkantoor | Prijzen | Jurisdictie |
|---|---|---|---|---|
| #1 | ayedo | Schwalbach-Hülzweiler, Duitsland | Gedeeld platform op aanvraag; dedicated cluster €1,299.95 per maand | EU (Duitsland) |
| #2 | Adfinis Secretz Enterprise | Bern, Zwitserland | Vast bedrag, bedrag op aanvraag | Zwitserland (adequaatheidsbesluit, buiten de EER) |
| #3 | Akeyless | Ramat Gan, Israël | Gratis start beschikbaar, enterprise geprijsd naar aantal clients en add-ons, offerte op aanvraag | Israël (buiten de EU/EER) |
| #4 | Passwork | Barcelona, Spanje | Standard €3 / Advanced €4.50 per gebruiker per maand, jaarlijks gefactureerd, voor de zelf gehoste licentie en voor de cloud; een eenmalige levenslange licentie wordt ook aangeboden | EU (Spanje) |
| #5 | Scaleway | Parijs, Frankrijk | Vanaf ongeveer €0.0006 per uur (DEV1-S) | EU (Frankrijk) |
| #6 | STACKIT | Bad Friedrichshall, Duitsland | EU (Duitsland) | |
| #7 | OVHcloud | Roubaix, Frankrijk | PostgreSQL essential vanaf ongeveer €0.16 per uur (2 vCPU / 8GB RAM); MySQL, MongoDB, Kafka, Cassandra, OpenSearch, M3DB en Valkey apart geprijsd per engine en niveau | EU (Frankrijk) |
| #8 | Passbolt | Luxemburg-Stad, Luxemburg | Gratis Community Edition / vanaf €4.50 per gebruiker per maand (Pro, minimaal 10 gebruikers) | EU (Luxemburg) |
| #9 | GitGuardian | Parijs, Frankrijk | Gratis abonnement voor kleine teams / Business geprijsd per actieve developer-gebruikersplaats / Enterprise-prijzen op aanvraag | EU (Frankrijk) |
| #10 | Psono | Duitsland | Gratis en open source / betaalde hosting- en enterprise-abonnementen | EU (Duitsland) |
Hoe elk alternatief zich verhoudt tot HashiCorp Vault
ayedo
Beheerde Vault-achtige dienst uit Duitsland voor teams die de kluis niet zelf willen draaien
Het meest geschikt voor: Platformteams met genoeg workloads om een vaste maandprijs voor een cluster te rechtvaardigen
Ten opzichte van HashiCorp Vault verandert ayedo wie de exploitatie doet, niet wat de kluis doet. De dienst draait op de open source engine die als fork van Vault is ontstaan, dus de key-value store met versiebeheer, leases, dynamische inloggegevens, een interne certificaatautoriteit en de transit-engine staan allemaal op de productpagina. Auto-unseal, het auditlog en de Kubernetes-integratie worden door ayedo beheerd, wat het on-callwerk wegneemt dat een zelf beheerde Vault met zich meebrengt.
Het bedrijf erachter is Ayedo Cloud Solutions GmbH, ingeschreven bij het Amtsgericht Saarbrücken onder HRB 107704, en het contract valt daarom onder Duits recht. Het prijsmodel is het andere verschil. Het dedicated cluster met één tenant kost €1,299.95 per maand, terwijl voor het gedeelde platform geen prijs is gepubliceerd. Controleer het patchbeleid voor engine-upgrades, want daarvoor ben je afhankelijk van ayedo.
Wat ayedo beter doet dan HashiCorp Vault
- Europese contractpartij met een registernummer in de juridische kennisgeving
- Unsealing, back-ups en upgrades worden verzorgd en zijn inbegrepen
- Één gepubliceerde maandprijs voor een dedicated cluster
- Varianten met bring-your-own-cloud en on-premises
Waar ayedo tekortschiet ten opzichte van HashiCorp Vault
- Een dedicated cluster is duur voor een kleine hoeveelheid secrets
- Verkocht als onderdeel van een breder ayedo-platform, niet als op zichzelf staande kluis
- Engine-upgrades volgen het schema van ayedo
Opvallende functie ten opzichte van HashiCorp Vault. Het is de enige Europese dienst op deze pagina die de volledige set engines voor dynamische secrets, PKI en transit vermeldt naast een gepubliceerde prijs.
Adfinis Secretz Enterprise
Zwitsers supportcontract voor bedrijven die hun eigen kluis-engine draaien
Het meest geschikt voor: Kubernetes-ervaren platformteams die een Zwitserse leverancier willen achter een engine die ze al draaien
Adfinis Secretz Enterprise is van de tien het minst een productwissel. Ten opzichte van HashiCorp Vault vervangt het de leveranciersrelatie, niet de software: Adfinis AG uit Bern verkoopt 24/7-support, beveiligingspatches en langetermijnonderhoud voor de open source engine, en het bedrijf omschrijft zichzelf als mede-onderhouder van dat project. Je beleidsregels en clientcode blijven zoals ze zijn, en je eigen operationele werk ook, tenzij je managed operations apart inkoopt.
De prijslogica is de kern van het aanbod. Adfinis stelt dat kosten per identiteit groei bestraffen en biedt daarom een vast bedrag aan, met alle functies inbegrepen. Het claimt besparingen tot 50 procent ten opzichte van propriëtaire producten; dat is het eigen cijfer van de leverancier en is hier niet gecontroleerd. Het abonnement is gecertificeerd voor Red Hat OpenShift en SUSE Ready for Rancher, en de aankondiging zegt dat klanten kunnen starten of stoppen zonder migratie.
Wat Adfinis Secretz Enterprise beter doet dan HashiCorp Vault
- Vast bedrag in plaats van kosten per identiteit of client
- Zwitserse rechtspersoon met inschrijving in het handelsregister
- Gecertificeerd voor OpenShift en Rancher
- Geen migratie nodig om over te stappen of weg te gaan
Waar Adfinis Secretz Enterprise tekortschiet ten opzichte van HashiCorp Vault
- Je draait de kluis nog steeds zelf
- Geen gepubliceerde prijs
- Alleen de moeite waard als de van Vault afgeleide engine al je keuze is
Opvallende functie ten opzichte van HashiCorp Vault. Het verkoopt alleen het supportcontract, dus opzeggen betekent een abonnement beëindigen, niet data verhuizen.
Het meest geschikt voor: Platformteams die één leverancier willen voor een gehoste kluis en een geleidelijke overstap
Akeyless kiest de tegenovergestelde route van de van Vault afgeleide engines. Ten opzichte van HashiCorp Vault is het een gesloten SaaS-platform met eigen gateways, en de hybride modus plaatst gateways binnen je netwerk, terwijl het klantdeel van de versleutelingssleutel buiten de handen van Akeyless blijft. Dynamische secrets, just-in-time-toegang, levenscyclus van certificaten en een KMS staan in de functielijst. Connectors synchroniseren secrets vanuit HashiCorp Vault, AWS, Azure, GCP en Kubernetes, waardoor een migratie in stappen kan verlopen.
Het contracterende bedrijf is Akeyless Security Ltd. in Ramat Gan, Israël, met een Amerikaanse dochteronderneming en een kantoor in New York, die ook in het privacybeleid staan. De prijsstelling telt clients (gebruikers, applicaties en servers) tegen een jaarlijks quotum, met connectors, certificaten en HSM-integraties als aparte eenheden, en er zijn geen lijstprijzen. De compliance-claims op de vertrouwenspagina, waaronder SOC 2 Type II, ISO 27001 en DORA, zijn van de leverancier zelf en moeten met rapporten worden onderbouwd.
Wat Akeyless beter doet dan HashiCorp Vault
- Geen eigen kluizencluster om te ontgrendelen, patchen of back-uppen
- Connector die een bestaande HashiCorp Vault leest tijdens de migratie
- Gratis start beschikbaar, dus voor een proefperiode is geen verkoopgesprek nodig
- Publiceert compliance-claims inclusief DORA
Waar Akeyless tekortschiet ten opzichte van HashiCorp Vault
- Closed source, zonder zelf gehoste engine
- Israëlische entiteit plus een Amerikaanse dochter en kantoor in New York
- Het tellen van clients kan een groeiende omgeving verrassen
Opvallende functie ten opzichte van HashiCorp Vault. Het is de enige optie hier die HashiCorp Vault noemt als bron waaruit het kan synchroniseren.
Passwork
Zelf gehoste wachtwoordkluis met een API, voor kleine behoeften aan machinesecrets naast menselijke logins
Het meest geschikt voor: Kleine teams die menselijke logins en een paar pipeline-secrets op één gecontroleerde plek bewaren
Passwork is een wachtwoordkluis die secrets management heeft toegevoegd in het Advanced-abonnement, dus de vergelijking met HashiCorp Vault gaat over het toepassingsgebied. Het biedt een REST API, een Python SDK en CI/CD-integratie om inloggegevens vanuit pipelines op te halen, en je kunt het draaien als zelf gehoste licentie of de cloud gebruiken, die in Duitsland wordt gehost. Het beschrijft geen leases, dynamische inloggegevens of identiteiten per workload, en dat is het zwaartepunt van Vault.
Het prijsverschil is het duidelijkst: Standard voor €3 en Advanced voor €4.50 per gebruiker per maand, jaarlijks gefactureerd, met secrets management alleen in Advanced, en een eenmalige levenslange licentie wordt ook aangeboden. Het bedrijf is Passwork Europe SL in Barcelona. Er is geen beveiligingscertificering gepubliceerd en het product is niet open source, dus vraag om bewijs voordat je productie-inloggegevens erin zet.
Wat Passwork beter doet dan HashiCorp Vault
- Prijs per gebruiker die eenvoudig te voorspellen is
- Zelf gehoste licentie met een eenmalige aankoopoptie
- Mensen en pipelines delen één gecontroleerde opslag
- Cloudoptie gehost in Duitsland voor teams zonder server
Waar Passwork tekortschiet ten opzichte van HashiCorp Vault
- Geen dynamische secrets of leases beschreven
- Secrets management vereist het duurdere abonnement
- Geen gepubliceerde beveiligingscertificering
Opvallende functie ten opzichte van HashiCorp Vault. Het is de enige tool op deze pagina die in één keer met een levenslange licentie gekocht kan worden.
Het meest geschikt voor: Teams die al workloads op Scaleway draaien en een eenvoudige beheerde secretopslag willen
Scaleway Secret Manager is klein naast HashiCorp Vault en geprijsd volgens een ander principe. Het slaat secretversies op met envelope encryption met AES-256 en draait in de regio's Parijs, Warschau en Amsterdam. De facturatie telt opgeslagen secretversies en API-verzoeken, dus de kosten volgen het gebruik in plaats van een cluster of een gebruikersplaats. Het zit in de Scaleway-console naast de compute- en Kubernetes-diensten die je workloads al gebruiken.
Scaleway is een dochteronderneming van de Iliad Group, opgericht in 1999 als Online.net, dus het contract is Frans en de data blijft in EU-regio's. Wat je ten opzichte van Vault verliest, is de breedte van de engines: de gelezen pagina's beschrijven een opslag, geen certificaatautoriteit of generator voor databasecredentials. De eenheidsprijzen zijn voor deze review niet gelezen, dus schat een factuur met de Scaleway-calculator voordat je op het model vertrouwt.
Wat Scaleway beter doet dan HashiCorp Vault
- Betalen per versie zonder cluster of gebruikersplaats om te kopen
- Frans contract en alleen EU-regio's
- Geen aparte kluis om te beheren of te ontgrendelen
Waar Scaleway tekortschiet ten opzichte van HashiCorp Vault
- Beperktere functieset dan een volledige Vault-installatie
- Vooral nuttig als de workloads al op Scaleway staan
Opvallende functie ten opzichte van HashiCorp Vault. Het is de enige opslag hier die per opgeslagen secretversie en per API-verzoek rekent.
Het meest geschikt voor: Organisaties die al binnen de Schwarz Group-cloud werken en wachtwoorden en configuratie met versiebeheer nodig hebben
STACKIT biedt een Secrets Manager als key-value store met versiebeheer voor wachtwoorden en configuratie, te bestellen via het zelfbedieningsportaal van STACKIT. Vergeleken met HashiCorp Vault richt het zich op de opslaghelft van de taak. Het meest Vault-achtige detail is de Vault CLI-toegang met AppRole-authenticatie, die STACKIT als public preview vermeldt, dus een productieafhankelijkheid daarvan moet wachten op algemene beschikbaarheid.
De exploitant is Schwarz Digits Cloud GmbH & Co. KG in Bad Friedrichshall, de cloudtak van de Schwarz Group, dus het contract is Duits. Op de gelezen pagina's is geen prijs voor de Secrets Manager gevonden en de STACKIT-calculator kon niet worden gelezen, wat betekent dat een kostenvergelijking een offerte nodig heeft. Test voor migraties vanuit Vault je AppRole-gebaseerde jobs tegen de preview voordat je een omschakeling plant.
Wat STACKIT beter doet dan HashiCorp Vault
- Duitse exploitant met een zelfbedieningsportaal voor bestellingen
- Vault CLI- en AppRole-toegang worden aangeboden, wat de migratie van jobs vergemakkelijkt
- Onderdeel van een complete cloudcatalogus
Waar STACKIT tekortschiet ten opzichte van HashiCorp Vault
- Vault-achtige toegang is nog in public preview
- Geen gepubliceerde prijs gevonden
- Een key-value store, geen volledige set engines
Opvallende functie ten opzichte van HashiCorp Vault. Het is de enige cloudstore hier waarvan de Vault CLI-toegang uitdrukkelijk als public preview wordt aangeduid.
Het meest geschikt voor: Teams op OVHcloud die Vault-achtige aanroepen en ondersteuning voor de External Secrets Operator willen
De Secret Manager van OVHcloud is de cloudstore op deze pagina die het meest op HashiCorp Vault lijkt. Hij prijst een Vault-compatibele API aan, native ondersteuning voor de External Secrets Operator in Kubernetes, en staat naast de KMS- en HSM-producten van OVHcloud. Voor teams wiens tooling de Vault API spreekt voor key-value-leesacties, wijst dat op een korte migratieroute, al moeten de ondersteunde engines en authenticatiemethodes punt voor punt worden gecontroleerd.
OVHcloud SAS is gevestigd in Roubaix en is actief sinds 1999, met datacenters op vier continenten, de meeste in Europa. Het bouwt eigen hardware, en de toolpagina vermeldt een SecNumCloud-kwalificatie en een oprichtend lidmaatschap van Gaia-X op bedrijfsniveau, wat geen uitspraak is over deze ene dienst. De prijs van de Secret Manager is op de gelezen pagina's niet gevonden, dus vraag om een offerte.
Wat OVHcloud beter doet dan HashiCorp Vault
- Vault-compatibele API voor bestaande tooling
- Ondersteuning voor de External Secrets Operator in Kubernetes
- KMS- en HSM-producten bij dezelfde aanbieder
- Frans contract met Europese datacenters
Waar OVHcloud tekortschiet ten opzichte van HashiCorp Vault
- Kleiner functieaanbod dan een volledige Vault-installatie
- Geen prijs gevonden voor de Secret Manager
- Alleen het voordeligst als de compute ook op OVHcloud draait
Opvallende functie ten opzichte van HashiCorp Vault. Het combineert een Vault-compatibele API met KMS- en HSM-producten van dezelfde Franse aanbieder.
Passbolt
Open source kluis voor inloggegevens met een API, geschikt voor gedeelde geheimen tussen mensen
Het meest geschikt voor: Kleine technische teams die controleerbare open source en een handvol API-leesacties willen
Passbolt lost een smaller probleem op dan HashiCorp Vault. Het is een open source wachtwoordmanager voor teams die elke set inloggegevens met OpenPGP versleutelt voor elke ontvanger, zodat beheerders en de server gedeelde items niet kunnen lezen. Een API biedt endpoints om gedeelde geheimen te lezen, waardoor een script of pipeline inloggegevens kan ophalen. Het heeft geen leases, geen generatie van dynamische secrets en geen identiteitsmodel per workload.
De broncode is uitgebracht onder AGPL v3 met gepubliceerde onafhankelijke audits, wat de zorg over de licentie wegneemt die de Business Source License van Vault oproept. Je kunt zelf hosten op Linux, Docker of Kubernetes, of de EU-cloud gebruiken. Het bedrijf is Passbolt SA in Luxemburg, opgericht in 2016. De Community-editie is gratis, en de Pro-editie kost €4.50 per gebruiker per maand, jaarlijks gefactureerd, met een minimum van tien gebruikers.
Wat Passbolt beter doet dan HashiCorp Vault
- Open source onder AGPL v3, met gepubliceerde audits
- Gratis Community-editie
- Luxemburgse entiteit en een EU-cloud
- Versleuteling per ontvanger met OpenPGP
Waar Passbolt tekortschiet ten opzichte van HashiCorp Vault
- Geen dynamische secrets, leases of identiteiten per workload
- Pro heeft een minimum van tien gebruikers
- Zelf hosten vraagt technisch onderhoud
Opvallende functie ten opzichte van HashiCorp Vault. Het versleutelt elke gedeelde set inloggegevens voor elke ontvanger met OpenPGP, zodat de server niets bevat wat hij kan lezen.
GitGuardian
Detectie van gelekte inloggegevens en in kaart brengen van niet-menselijke identiteiten, geen opslag voor secrets
Het meest geschikt voor: Engineeringteams die vermoeden dat inloggegevens al in repositories, CI-logs of chat staan
GitGuardian vervangt HashiCorp Vault niet, en de vergelijking is daarom nuttig. Het scant git-geschiedenis, CI/CD-logs en chattools op inloggegevens die al zijn gelekt, en het beheer van niet-menselijke identiteiten voegt context toe over API-sleutels en servicetokens, inclusief rotatie. Waar Vault lekken voorkomt door secrets tijdens runtime uit te geven, vindt GitGuardian de lekken die toch zijn ontsnapt. De meeste teams in deze positie hebben beide nodig.
GitGuardian SAS is een bedrijf uit Parijs, opgericht in 2017, met een Amerikaanse dochter, GitGuardian Inc., die optreedt als gezamenlijk verwerkingsverantwoordelijke voor Amerikaanse klanten. De categoriepagina vermeldt een gratis Starter-abonnement voor maximaal 25 ontwikkelaars. Business-prijzen gelden per actieve gebruikersplaats voor ontwikkelaars, waarbij alleen mensen tellen die in de afgelopen 90 dagen code hebben gecommit, en Enterprise is op aanvraag. Beschouw het als een aanvulling op de kluis, niet als vervanging.
Wat GitGuardian beter doet dan HashiCorp Vault
- Vindt secrets die al in git, CI-logs en chat zijn gecommit
- Gratis abonnement voor maximaal 25 ontwikkelaars
- Telt gebruikersplaatsen voor actieve bijdragers in plaats van elk account
Waar GitGuardian tekortschiet ten opzichte van HashiCorp Vault
- Slaat secrets helemaal niet op en deelt ze niet uit
- Zakelijke prijs is niet gepubliceerd
- Een Amerikaanse dochter treedt op als gezamenlijk verwerkingsverantwoordelijke voor Amerikaanse klanten
Opvallende functie ten opzichte van HashiCorp Vault. Het is de enige tool op deze pagina die controleert of een echt secret al in de git-geschiedenis terecht is gekomen.
Het meest geschikt voor: Teams die een zelf gehoste gedeelde kluis willen en scripttoegang vanuit een paar taken
Psono is een teamwachtwoordmanager die op je eigen server kan draaien; de machinekant is een API-sleutelfunctie plus de psonoci-opdrachtregelclient voor CI-taken. Naast HashiCorp Vault dekt dat het ophalen van een opgeslagen waarde in een pipeline, niet het uitgeven van kortlevende inloggegevens. De versleuteling gebeurt aan de clientkant voordat data wordt verzonden, dus de server bevat materiaal dat hij niet kan lezen, op een zelf gehoste installatie of op de Duitse gehoste servers.
esaqa GmbH ontwikkelt Psono in Duitsland, en de servercode is open source, wat betekent dat je kunt controleren wat er draait. Zelf hosten is gratis, ongeacht de teamgrootte, terwijl hosting- en enterprise-abonnementen betaald zijn en de beheerfuncties bevatten die grotere omgevingen nodig hebben. De afweging ten opzichte van commerciële kluizen is een kleiner integratie-ecosysteem en een interface die functioneel is in plaats van verfijnd.
Wat Psono beter doet dan HashiCorp Vault
- Open source server die je kunt controleren
- Gratis zelf hosten, ongeacht de teamgrootte
- Duits bedrijf met servers die in Duitsland worden gehost
Waar Psono tekortschiet ten opzichte van HashiCorp Vault
- Geen dynamische secrets of leases
- Kleiner integratie-ecosysteem dan commerciële tools
- Enterprise-beheerfuncties zijn betaald
Opvallende functie ten opzichte van HashiCorp Vault. Het levert een aparte opdrachtregelclient voor CI, psonoci, in een open source teamkluis.
Wat er echt stukgaat als je overstapt
Het meeste wat breekt, zit buiten de kluis. Authenticatie is de eerste plek: Vault-rollen, tokens en authenticatiemethodes moeten in het nieuwe systeem opnieuw worden aangemaakt, en elke workload die inlogt heeft nieuwe inloggegevens of een nieuwe identiteit nodig.
Controleer hoeveel verschillende authenticatiepaden er nu zijn, want elk is een kleine migratie. Dynamische secrets zijn de tweede plek. Die zijn geen exporteerbare data, dus databaserollen, cloud-IAM-koppelingen en TTL-instellingen moeten opnieuw worden ingesteld en getest tegen elk doel.
Contracten en timing vormen de andere helft. Twee kluizen naast elkaar draaien is normaal, en Akeyless rekent connectors als gelicentieerde objecten, terwijl ayedo en Adfinis misschien een offerte nodig hebben voordat de overlapperiode kan worden begroot.
Train de on-callengineers opnieuw op het nieuwe auditlogformaat, controleer of alarmering nog afgaat en bevestig wat elke leverancier doet aan het einde van het contract. Adfinis stelt dat zijn abonnement kan worden beëindigd zonder migratie, wat de eenvoudigste uitstap op de pagina is.
Kan ik HashiCorp Vault vervangen zonder mijn applicaties te herschrijven?
Dat hangt af van hoe je applicaties ermee praten. Als ze de Vault HTTP API aanroepen of hun clientbibliotheken gebruiken, houden de beheerde diensten die op de van Vault afgeleide engine zijn gebouwd, ayedo en het Adfinis-supportabonnement, die interface en je beleidsregels grotendeels intact. De OVHcloud-store prijst een Vault-compatibele API aan, wat wijst op een vergelijkbaar pad voor key-value-gebruik, al moet de engine-dekking worden getest voordat je je vastlegt.
Als je applicaties secrets in plaats daarvan via Kubernetes lezen, is het werk kleiner. De External Secrets Operator zit tussen het cluster en de kluis, dus het wisselen van backend betekent een store-definitie wijzigen, niet applicatiecode. ayedo en OVHcloud noemen beide die integratie. Voor Scaleway, STACKIT en Akeyless moet je bij elke taak die rechtstreeks met de kluis praat een SDK- of CLI-wijziging verwachten.
Haalt een Europese aanbieder de CLOUD Act-vraag weg?
Alleen als de hele keten Europees is. Een Duitse of Zwitserse exploitant die een kluis op de eigen infrastructuur draait, houdt het contract en de verwerking onder Europees recht, en dat is het argument voor ayedo en Adfinis. Akeyless is in Israël geregistreerd en heeft ook een Amerikaanse dochter en een kantoor in New York, wat een strikt soevereiniteitsbeleid anders kan wegen dan een puur EU-contract.
De praktische toets is het contract volgen, niet het datacenter. Vraag wie de contracterende entiteit is, welke subverwerkers toegang hebben en of een dochteronderneming optreedt als gezamenlijk verwerkingsverantwoordelijke. GitGuardian noemt bijvoorbeeld een Amerikaanse dochter als gezamenlijk verwerkingsverantwoordelijke voor Amerikaanse klanten. De cloud van Passwork draait in Duitsland, maar noemt de aanbieder niet. Passbolt, Psono of Passwork zelf hosten haalt de vraag weg, maar voegt operationeel werk toe.
Welke kies je
Als je platformteam voor de Vault API blijft kiezen en een Europese exploitant wil, is de shortlist ayedo voor beheerde dienstverlening en Adfinis voor support op een zelf gedraaide engine. ayedo past bij een bedrijf met genoeg workloads om een maandelijks dedicated cluster van €1,299.95 te dragen, en Adfinis past bij een bedrijf dat al operationele Kubernetes-vaardigheden heeft en vooral een Zwitserse handtekening nodig heeft op een incidentresponscontract.
Als je een gehost platform wilt en een geleidelijke overstap van een bestaande Vault, is Akeyless de keuze, mits je de Israëlische entiteit en de Amerikaanse dochter accepteert.
Als je secretsomgeving klein is, zijn de goedkopere routes de cloudstores en de wachtwoordkluizen. Scaleway, STACKIT en OVHcloud passen bij teams die al in die clouds werken, met OVHcloud het dichtst bij de Vault API en de Vault CLI-toegang van STACKIT nog in preview. Passwork, Passbolt en Psono passen bij teams die vooral menselijke logins delen en een paar pipelines hebben. Voeg GitGuardian toe wanneer lekken, niet opslag, het echte probleem is.
Veelgestelde vragen
Dat hangt af van het criterium. Voor de beste API-match met een Europese exploitant draait ayedo (Duitsland) een beheerde dienst op de engine die als fork van Vault is ontstaan, en verkoopt Adfinis Secretz Enterprise (Zwitserland) support voor teams die het zelf draaien. Voor een gehost platform met dynamische secrets en een Vault-connector is Akeyless de Israëlische optie. Voor secrets binnen een bestaande cloud biedt elk van Scaleway, STACKIT en OVHcloud een opslag.
HashiCorp stelt dat het Vault licentieert onder de Business Source License 1.1. Die licentie is source-available en beperkt het aanbieden van de software als concurrerende gehoste dienst, dus het is niet hetzelfde als een open source-licentie. De open source tools op deze pagina zijn Passbolt en Psono, wachtwoordkluizen met API-toegang, geen Vault-engines. De diensten van ayedo en Adfinis zijn gebouwd op een apart open source-project.
ayedo noemt dynamische inloggegevens voor databases, cloud-IAM-rollen en serviceaccounts, plus een certificaatautoriteit en een transit-engine. Akeyless documenteert on-demand inloggegevens met een vervaldatum, bijvoorbeeld een AWS-toegangssleutel die automatisch wordt ingetrokken. Scaleway en STACKIT worden omschreven als key-value stores met versiebeheer, dus controleer welke engine je nodig hebt voordat je een van die twee kiest.
Ja, en de meeste teams doen dat. Akeyless noemt HashiCorp Vault onder de externe kluizen die zijn connectors kunnen synchroniseren, en de prijspagina telt elke connector als een gelicentieerd object. STACKIT biedt Vault CLI-toegang met AppRole, in public preview. Twee kluizen een kwartaal naast elkaar laten draaien is gebruikelijk, en de kosten van de overlap horen in het budget.
Nee. GitGuardian (Frankrijk) scant git-geschiedenis, CI/CD-logs en chattools op inloggegevens die al zijn gelekt en brengt niet-menselijke identiteiten in kaart, maar het slaat secrets niet op en beheert ze niet. Het vult een kluis aan. Als je probleem een sleutel is die in een repository is gecommit, begin daar en behandel de vervanging van de kluis als een apart project.
Gerelateerde vergelijkingen
Europese tools tegen elkaar
Koopgidsen
Over de auteur
Ontdek meer Europese alternatieven
Ontdek privacyvriendelijke Europese alternatieven voor andere populaire Amerikaanse techdiensten.