Elke Europese secrets management tool die we hebben beoordeeld
Schwalbach-Hülzweiler, Duitsland
Gedeeld platform op aanvraag; dedicated cluster €1,299.95 per maand
Demo op aanvraag
Het meest geschikt voor: Platformteams die de Vault API willen van een Duitse beheerder en zelf geen unseal-rooster willen beheren
ayedo bouwt niet zelf een kluis: de secretspagina zegt dat de dienst OpenBao is, dat in het platformcluster draait. ayedo regelt de auto-unseal en de Kubernetes-integratie, terwijl klanten alleen de API's aanroepen. De functielijst omvat een key-value store met versies, leases en een auditlog, dynamische inloggegevens voor databases, cloud-IAM-rollen en serviceaccounts, een interne certificaatautoriteit voor mTLS en een transit-engine. De External Secrets Operator levert waarden af aan de workloadclusters.
De beheerder is Ayedo Cloud Solutions GmbH uit Schwalbach-Hülzweiler, ingeschreven bij het Amtsgericht Saarbrücken onder HRB 107704. De site vermeldt ISO 27001, ISO 9001 en DORA onder de keurmerken. Er zijn drie manieren om te kopen: een gedeeld platform zonder gepubliceerde prijs, een dedicated cluster voor €1,299.95 per maand, en bring-your-own-cloud of on-premise. Het dedicated bedrag is de enige prijs die wordt getoond, en het is de moeite waard om het patchbeleid voor engine-upgrades te laten bevestigen.
Wat ayedo goed doet
- Behoudt de Vault API en engines, zodat bestaande beleidsregels en clientbibliotheken bruikbaar blijven
- De juridische vermelding noemt een GmbH en het nummer in het handelsregister
- Eén maandbedrag is openbaar, voor het dedicated cluster
- Zet secrets via de External Secrets Operator in clusters
- Kan ook worden uitgerold in je eigen cloud of on-premise
Waar ayedo tekortschiet
- Het dedicated cluster is duur voor een team met weinig secrets
- Voor de gedeelde variant krijg je een offerte op aanvraag
- Alleen samen met het bredere ayedo-platform af te nemen
Opvallende functie. Het is de enige beheerde dienst op deze lijst die de hele engine-set (key-value, dynamisch, PKI, transit) noemt naast een openbare maandprijs.
Bern, Zwitserland
Vaste prijs, bedrag op aanvraag
Demo op aanvraag
Het meest geschikt voor: Organisaties die al voor de open source engine hebben gekozen en een Zwitserse leverancier willen die het supportcontract tekent
Adfinis Secretz Enterprise is een abonnement, geen gehoste kluis. De productpagina belooft leveranciersgarantie, 24/7 support en onderhoud op lange termijn voor productiegebruik van de open source engine die is afgesplitst van Vault. Het bedrijf noemt zichzelf mede-onderhouder van dat project. Securitypatches en software-assurance horen erbij, en ook migratieplanning. Je beheert de kluis op je eigen infrastructuur, tenzij je beheerde operations erbij koopt.
Adfinis AG is een naamloze vennootschap die in Bern is ingeschreven, met vestigingen ook in Duitsland, Nederland, Australië, Nieuw-Zeeland en Egypte. Het kondigde het abonnement aan op 19 februari 2026. De prijs is een vast bedrag dat alle functies omvat; een offerte krijg je op aanvraag. De leverancier claimt een besparing van tot 50 procent ten opzichte van propriëtaire producten, een cijfer dat het zelf aanlevert. Het vermeldt certificering voor Red Hat OpenShift en SUSE Ready for Rancher.
Wat Adfinis Secretz Enterprise goed doet
- De support komt van een bedrijf dat zichzelf mede-onderhouder van de engine noemt
- Alle functies vallen onder één vaste prijs, zonder meting per identiteit
- Vermeld voor OpenShift en SUSE Ready for Rancher
- Starten of stoppen vereist geen datamigratie
- Zwitserse AG met inschrijving in het handelsregister in Bern
Waar Adfinis Secretz Enterprise tekortschiet
- Het is alleen support, en de kluis blijft van jou om te draaien, tenzij je operations koopt
- Er wordt geen prijs gepubliceerd
- Heeft alleen zin als je die engine al hebt gekozen
Opvallende functie. Het is een pure supportlaag, dus het beëindigen van het contract verandert niets aan je draaiende kluis.
Ramat Gan, Israël
Gratis start mogelijk, enterprise-prijs op basis van aantal clients en add-ons, offerte op aanvraag
Demo op aanvraag
Het meest geschikt voor: Bedrijven die een gehoste kluis willen terwijl een bestaande HashiCorp Vault tijdens de overstap blijft draaien
Akeyless verkoopt een gehoste vervanger van Vault in plaats van een Vault-compatibele engine. De prijspagina onderscheidt pure SaaS van een hybride modus met gateways in je eigen netwerk, waarbij het deel van de versleutelingssleutel dat bij de klant ligt buiten bereik van Akeyless blijft. Het platform dekt statische en dynamische secrets, just-in-time toegang, levenscyclusbeheer van certificaten, een KMS en governance over meerdere kluizen, en connectors die lezen uit AWS, Azure, GCP, Kubernetes en HashiCorp Vault.
Het contracterende bedrijf is Akeyless Security Ltd. uit Ramat Gan, Israël, genoemd als verwerkingsverantwoordelijke in een privacybeleid van 5 mei 2026. Hetzelfde beleid noemt een Amerikaanse dochter, Akeyless Security USA, Inc.
Er is een gratis start, maar enterprise-prijzen tellen clients die een sessie starten, met connectors, certificaten en HSM-integraties als extra eenheden, en er zijn geen lijstprijzen. De trustpagina claimt SOC 2 Type II, ISO 27001, PCI DSS en DORA. Dat zijn verklaringen van de leverancier die nog moeten worden geverifieerd.
Wat Akeyless goed doet
- Inloggegevens worden op aanvraag gegenereerd en verlopen vanzelf
- Connectors lezen uit een bestaande Vault en uit cloudstores
- Gateways kunnen in je eigen netwerk worden geplaatst
- De trustpagina doet claims over DORA en andere compliance
- Een gratis start vereist geen verkoopgesprek
Waar Akeyless tekortschiet
- Lijstprijzen worden niet gepubliceerd
- Er wordt een Amerikaanse dochter en een kantoor in New York vermeld
- Groeiende omgevingen kunnen onverwacht boven het clientquotum uitkomen
- Closed source, zonder engine die je zelf kunt hosten
Opvallende functie. Het is de enige optie hier die een bestaande HashiCorp Vault behandelt als bron om vanuit te synchroniseren.
Barcelona, Spanje
Standard €3 / Advanced €4.50 per gebruiker per maand, jaarlijks gefactureerd, voor de zelf gehoste licentie en voor de cloud; er is ook een eenmalige levenslange licentie
Gratis proefperiode, geen creditcard nodig
Het meest geschikt voor: Kleine technische teams die inloggegevens van medewerkers en een paar pipeline-secrets in één zelf gehoste kluis bewaren
Passwork is een wachtwoordmanager waarvan het Advanced-abonnement secrets management toevoegt, met een REST API, een Python SDK en CI/CD-integratie om waarden uit pipelines op te halen. Het kan draaien als zelf gehoste licentie op je eigen infrastructuur of als Passwork Cloud, die in Duitsland wordt gehost, al wordt de onderliggende aanbieder niet genoemd. Omdat het is gebouwd rond gedeelde items, beschrijft het geen leases of identiteiten per workload.
Passwork Europe SL is actief vanuit Barcelona. De gepubliceerde prijzen zijn €3 per gebruiker per maand op Standard en €4.50 op Advanced, jaarlijks gefactureerd. Secrets management zit alleen in Advanced, en er bestaat een eenmalige levenslange licentie. Er is geen beveiligingscertificering gepubliceerd, het product is niet open source, en het privacybeleid noemt verwerkers buiten de jurisdictie van de klant onder standaardcontractbepalingen. Het bedrijf vermeldt geen oprichtingsjaar.
Wat Passwork goed doet
- Secrets management, API en Python SDK zijn beschikbaar in het Advanced-abonnement
- Zelf gehoste licentie, of een cloud gehost in Duitsland
- Een eenmalige levenslange licentie is beschikbaar als alternatief voor huren
- Spaans bedrijf met colofon en btw-nummer
- Een gratis proefperiode loopt zonder creditcard
Waar Passwork tekortschiet
- Het Standard-abonnement van €3 bevat geen secrets management
- Er worden geen leases of dynamische inloggegevens beschreven
- Er is geen beveiligingscertificering gepubliceerd en de code is closed source
- De Duitse cloudaanbieder wordt niet genoemd
Opvallende functie. Het is de enige tool in deze categorie die je volledig in eigendom kunt kopen met een levenslange licentie, in plaats van per gebruikersplaats te huren.
Parijs, Frankrijk
Opgericht in 1999
Vanaf €0.0025/uur (DEV1-S)
Demo op aanvraag
Het meest geschikt voor: Teams waarvan de workloads al op Scaleway draaien en die een eenvoudige beheerde store voor secretversies nodig hebben
Scaleway biedt een Secret Manager binnen de cloudconsole, met envelopversleuteling via AES-256, beschikbaarheid in de regio's Parijs, Warschau en Amsterdam, en facturatie per opgeslagen secretversie en per API-verzoek. Dat maakt het een store met gebruiksgebaseerde prijs, geen cluster en geen gebruikerslicentie, en die staat naast de Kubernetes- en compute-diensten die er gegevens uit lezen. De gelezen pagina's beschrijven een store met versies, geen dynamische inloggegevens of certificaatautoriteit.
Scaleway is een dochter van de Iliad Group in Parijs, opgericht in 1999 als Online.net voordat het van naam veranderde. De datacenters staan in Parijs, Amsterdam en Warschau, en Milaan wordt ook vermeld. De platformprijs op de toolpagina begint bij €0.0025 per uur voor een DEV1-S-instantie, en die gaat over compute, niet over secrets. De eenheidsprijzen van de Secret Manager zijn niet gelezen, dus de kosten vragen om een berekening met de calculator.
Wat Scaleway goed doet
- Facturatie volgt opgeslagen versies en verzoeken, zonder cluster om voor te betalen
- Secretwaarden gebruiken envelopversleuteling met AES-256
- Draait in de regio's PAR, WAW en AMS
- De Iliad Group staat achter de aanbieder
- Zit in dezelfde console als compute en Kubernetes
Waar Scaleway tekortschiet
- Alleen een store, zonder de brede engine-set van een volledige kluis
- Eenheidsprijzen zijn voor deze beoordeling niet gecontroleerd
- Minder regio's en nichediensten dan de grote Amerikaanse clouds
- Levert het meeste op voor teams die al op Scaleway zitten
Opvallende functie. Het meet secrets per opgeslagen versie en API-verzoek, de fijnste factureringseenheid op deze lijst.
Bad Friedrichshall, Duitsland
Op maat (op basis van offerte)
Demo op aanvraag
Het meest geschikt voor: Organisaties in de cloud van de Schwarz Group die een store met versies nodig hebben voor wachtwoorden en configuratie
STACKIT noemt een Secrets Manager als key-value store met versies voor wachtwoorden en configuratie, te bestellen via het self-serviceportaal. Het detail dat het dichtst bij HashiCorp Vault ligt, is toegang via de Vault CLI met AppRole-authenticatie, wat STACKIT aanduidt als openbare preview. Die formulering telt bij de planning, want een productiejob die erop leunt, leunt op een functie die nog niet algemeen beschikbaar is.
De beheerder die in de voettekst van de site staat, is Schwarz Digits Cloud GmbH & Co. KG uit Bad Friedrichshall, Duitsland, en het cloudmerk is STACKIT. Er is geen prijs voor de Secrets Manager gevonden. De STACKIT-calculator laadt in de browser en kon niet worden gelezen, dus de prijs staat vermeld als op offertebasis. Test bij een migratie vanuit Vault de AppRole-login en de CLI-aanroepen die je jobs gebruiken, en houd rekening met de previewstatus.
Wat STACKIT goed doet
- Key-value opslag met versies voor wachtwoorden en configuratie
- Vault CLI-toegang met AppRole, aangeboden als openbare preview
- Bestellen verloopt via een self-serviceportaal
- Duitse beheerder met een brede cloudcatalogus
Waar STACKIT tekortschiet
- Toegang in Vault-stijl is nog niet algemeen beschikbaar
- Er is geen prijs voor de Secrets Manager gevonden
- Leest als key-value store, niet als volledige engine-set
Opvallende functie. Het is de enige cloudstore op deze lijst waarvan de Vault CLI-toegang uitdrukkelijk als openbare preview is aangeduid.
Roubaix, Frankrijk
Opgericht in 1999
PostgreSQL essential vanaf ongeveer €0.16 per uur (2 vCPU / 8GB RAM); MySQL, MongoDB, Kafka, Cassandra, OpenSearch, M3DB en Valkey apart geprijsd per engine en niveau
Demo op aanvraag
Het meest geschikt voor: Teams op OVHcloud die een Vault-compatibele API en ondersteuning voor de External Secrets Operator willen bij dezelfde aanbieder
OVHcloud publiceert een Secret Manager voor zijn publieke cloud die adverteert met een Vault-compatibele API en native ondersteuning voor de Kubernetes External Secrets Operator. Die staat naast de KMS- en HSM-producten van OVHcloud, zodat sleutelbeheer en secretopslag van één aanbieder kunnen komen. Compatibiliteit is een claim over het API-oppervlak, dus test de engines en authenticatiemethoden die je jobs gebruiken voordat je migreert.
OVHcloud SAS is in 1999 opgericht in Roubaix, ontwerpt zijn eigen hardware en datacenters, en exploiteert 46 datacenters op vier continenten, de meeste in Europa. Op bedrijfsniveau vermeldt de toolpagina de SecNumCloud-certificering van het Franse cyberbeveiligingsagentschap ANSSI en het oprichterslidmaatschap van Gaia-X. Dat zijn geen uitspraken over de Secret Manager zelf. Er is op de gelezen pagina's geen prijs voor de Secret Manager gevonden.
Wat OVHcloud goed doet
- API die compatibiliteit met Vault adverteert
- Native ondersteuning voor de Kubernetes External Secrets Operator
- KMS- en HSM-producten van dezelfde aanbieder
- Eigen hardware en datacenters, vooral in Europa
- Catalogus met uurprijzen in de publieke cloud voor andere resources
Waar OVHcloud tekortschiet
- Onderdeel van een cloud, geen apart secretsproduct
- Er is geen prijs voor de Secret Manager gevonden
- Compatibiliteit met specifieke Vault-engines moet worden getest
- De cloudprijzen zijn gedetailleerd, dus een echte factuur inschatten kost moeite
Opvallende functie. Het combineert een Vault-compatibele API met KMS- en HSM-producten van één Franse aanbieder.
Luxemburg-Stad, Luxemburg
Opgericht in 2016
Gratis (Community) / Vanaf €4.50 per gebruiker per maand (Pro, minimaal 10 gebruikers)
Demo op aanvraag
Het meest geschikt voor: Technische teams die een controleerbare open source kluis willen voor gedeelde inloggegevens en een paar API-leesacties
Passbolt is een wachtwoordmanager die vanaf het begin voor teams is gebouwd. Elk item wordt met OpenPGP versleuteld voor elke geautoriseerde gebruiker, zodat beheerders en de server gedeelde inloggegevens niet kunnen lezen. Via een API zijn eindpunten beschikbaar om gedeelde secrets te lezen, waarmee een script of pipeline een waarde kan ophalen. Er worden geen leases uitgegeven en geen inloggegevens op aanvraag gegenereerd. Je kunt zelf hosten op Linux, Docker of Kubernetes, of de EU-cloud gebruiken.
Passbolt SA is gevestigd in Luxemburg-Stad en is in 2016 opgericht. De server is uitgebracht onder AGPL v3 en er worden onafhankelijke auditrapporten gepubliceerd, volgens de toolpagina. De Community-editie is gratis. De Pro-editie kost €4.50 per gebruiker per maand, jaarlijks gefactureerd, met een minimum van tien gebruikers, en voegt LDAP/AD-integratie, meer MFA-opties en prioriteitssupport toe.
Wat Passbolt goed doet
- Gemaakt voor delen in teams, niet voor losse gebruikers
- Versleuteling met OpenPGP per ontvanger houdt items onleesbaar voor beheerders
- AGPL v3-broncode met vastgelegde onafhankelijke audits
- Draait op Linux, Docker, Kubernetes of in de EU-cloud
- Rollen, een activiteitenlog en een API zijn inbegrepen
Waar Passbolt tekortschiet
- Is niet geschikt voor gebruik door één persoon
- Het GPG-model vergt leertijd voor niet-technische gebruikers
- Mobiele apps lopen achter op de webinterface en de extensie
- Zelf hosten vraagt onderhoud en technische kennis
Opvallende functie. Het combineert open source code met versleuteling met OpenPGP per ontvanger, zodat de server nooit een leesbare gedeelde inloggegevens bewaart.
Parijs, Frankrijk
Opgericht in 2017
Gratis abonnement voor kleine teams / Business per actieve gebruikersplaats voor developers / Enterprise-prijs op aanvraag
Demo op aanvraag
Het meest geschikt voor: Engineeringteams die vermoeden dat inloggegevens al in repositories, CI-logs of chatberichten staan
GitGuardian scant git-geschiedenis, CI/CD-logs en chattools op secrets die daar niet thuishoren, zoals API-sleutels, databasewachtwoorden en privécertificaten, en markeert ze vóór of kort nadat ze zijn gelekt. Zijn governance voor niet-menselijke identiteiten breidt het idee uit naar API-sleutels en serviceaccounttokens die hun maker overleven, met context voor rotatie. Het werkt naast GitLab, Gitea, GitHub of Codeberg en slaat geen werkende secrets op, dus een kluis van deze lijst blijft nodig.
GitGuardian SAS is een bedrijf uit Parijs, opgericht in 2017. Een Amerikaanse dochter, GitGuardian Inc., treedt op als gezamenlijk verwerkingsverantwoordelijke voor Amerikaanse klanten. De categoriepagina vermeldt een gratis Starter-abonnement voor maximaal 25 developers. Business-prijzen gelden per actieve gebruikersplaats voor developers, gedefinieerd als iedereen die in de laatste 90 dagen heeft gecommit, en voor Enterprise vraag je een offerte aan.
Wat GitGuardian goed doet
- Dekt git-geschiedenis, CI/CD-logs en chattools
- Het gratis abonnement is bruikbaar voor een klein team
- Gebruikersplaatsen tellen actieve bijdragers, niet slapende accounts
- Langlevende API-sleutels en tokens vallen onder identiteitsgovernance
- Niet gebonden aan één codehost
Waar GitGuardian tekortschiet
- Vindt gelekte secrets, maar slaat ze niet op en beheert ze niet
- De prijs van het Business-niveau wordt niet gepubliceerd
- De Amerikaanse dochter is gezamenlijk verwerkingsverantwoordelijke voor Amerikaanse klanten
- Komt bovenop het abonnement van de codehost
Opvallende functie. Het is de enige tool hier die controleert of een actief secret al in de git-geschiedenis is gecommit.
Duitsland
Gratis en open source / betaalde hosting en enterprise-abonnementen
Demo op aanvraag
Het meest geschikt voor: Teams die een zelf gehoste gedeelde kluis willen met scriptmatige toegang vanuit CI
Psono is een open source wachtwoordmanager voor teams die je op je eigen server kunt draaien, met een API-sleutelfunctie en een commandoregelclient genaamd psonoci voor scripts en CI-jobs. De versleuteling gebeurt op de client voordat er iets wordt verstuurd, zodat zowel een zelf gehoste server als de gehoste Duitse servers gegevens opslaan die ze niet kunnen lezen. Delen gebeurt per groep, en de toegang kan worden ingetrokken als iemand vertrekt. Het haalt opgeslagen waarden op, geen kortlevende inloggegevens.
Psono wordt in Duitsland ontwikkeld door esaqa GmbH en is verkrijgbaar als on-premise-editie en als SaaS-editie. Zelf hosten is gratis, ongeacht de teamgrootte, terwijl hosting- en enterprise-abonnementen betaald zijn en de beheerfuncties bieden die grotere uitrollen nodig hebben. De toolpagina beschrijft de interface als functioneel in plaats van verzorgd, en het integratie-ecosysteem als kleiner dan dat van commerciële concurrenten.
Wat Psono goed doet
- Servercode is open source en kan worden gecontroleerd
- Gegevens worden op de client versleuteld voordat ze worden geüpload
- Delen per groep kan altijd worden ingetrokken
- De gehoste variant draait op Duitse servers
- Zelf hosten kost niets, ongeacht de teamgrootte
Waar Psono tekortschiet
- Je beheert en updatet een zelf gehoste server
- De interface is eerder functioneel dan verzorgd
- Minder integraties dan commerciële concurrenten
- Enterprise-beheer is een betaalde add-on
Opvallende functie. Het combineert een zelf te hosten open source kluis met psonoci, een speciale commandoregelclient voor CI.
