Alternative à HashiCorp Vault : où partir et comment migrer sans casser la production

Pourquoi partir sur OpenBao. OpenBao est le fork de Vault créé à partir de la dernière version sous licence MPL 2.0 (la 1.14), avant le passage à la licence BSL. Il vit sous l'égide de la Linux Foundation, avec une gouvernance ouverte, et il est entré au programme Sandbox de l'OpenSSF. Concrètement, tu retrouves tout ce qui fait Vault : secrets dynamiques (des identifiants de base de données ou de Kubernetes créés à la demande puis révoqués), chiffrement en service, baux et révocation. L'API reste compatible : tes scripts, ton fournisseur Terraform et tes agents continuent de parler la même langue. Le dépôt GitHub dépasse 8 800 étoiles, signe d'une vraie communauté.

Pour qui. L'équipe plateforme qui fait déjà tourner Vault Community en interne et que la licence ou le rachat par IBM inquiète. C'est aussi le choix de l'hébergeur suisse VSHN dans sa décision d'architecture : seul vrai logiciel libre du lot, API compatible, soutien d'une fondation.

Pour qui ce n'est pas fait. Celui qui part de Vault parce qu'il est trop lourd à exploiter. OpenBao garde exactement la même complexité : descellement, stockage Raft, mises à jour, politiques à écrire. Si personne dans l'équipe ne veut porter le bipeur, regarde plutôt Infisical ou un coffre cloud.

Sa limite. Aucune offre hébergée officielle : tu l'auto-héberges, point. Des sociétés vendent du support commercial, mais il n'y a pas de bouton « créer un cluster ». Et la migration en place n'est garantie que depuis les anciennes versions de Vault (voir plus bas).

Comment migrer vers OpenBao. La documentation officielle décrit une migration en place vérifiée de Vault 1.14.1 Community vers OpenBao 2.2.0, avec stockage Raft et descellement Shamir. Les mainteneurs ne garantissent la compatibilité de scellement que jusqu'à Vault Community 1.14.8. Au-delà, ou depuis Vault Enterprise, c'est techniquement un retour en arrière : tu montes un nouveau cluster OpenBao et tu copies les secrets (par l'API, par Terraform ou par sys/raw). Les anciens jetons restent valides jusqu'à leur durée de vie, puis les nouveaux prennent les préfixes s., b. ou r..

Son prix. Gratuit, sous licence MPL 2.0. Ton vrai coût, ce sont les serveurs et le temps de l'équipe qui l'exploite.

Pourquoi partir sur Infisical. Infisical prend le problème par l'autre bout : au lieu d'un coffre à exploiter, une interface claire où chaque projet a ses environnements (développement, préproduction, production), et des synchronisations qui poussent les secrets vers tes plateformes. Le cœur est open source sous licence MIT et s'auto-héberge gratuitement ; seul un dossier de fonctions entreprise reste sous licence commerciale. Les retours sur les forums d'auto-hébergement vont dans le même sens : installation simple avec Docker, intégration Kubernetes sans histoire.

Pour qui. L'équipe de développement qui utilisait Vault surtout comme un grand fichier de variables d'environnement, ou les anciens clients de HCP Vault Secrets qui cherchent un service hébergé équivalent.

Pour qui ce n'est pas fait. Celui qui s'appuie sur le moteur de chiffrement « transit » de Vault : Infisical n'en a pas, l'éditeur le reconnaît lui-même. Pas d'API compatible Vault non plus, ni d'autorité de certification interne comparable.

Sa limite. Les fonctions avancées sont payantes : rotation, secrets dynamiques, contrôle d'accès fin, SSO par SAML. Sur les forums, des utilisateurs ont mal vécu des fonctions passées dans l'offre payante au détour d'une version de correctif. Et la facture grimpe par identité, humaine ou machine.

Comment migrer vers Infisical. Aucune reprise automatique depuis Vault n'est garantie : exporte tes secrets statiques par l'API ou la CLI de Vault, recrée la même arborescence en projets et environnements, puis remplace les appels Vault dans ton code et tes déploiements par la CLI, l'agent ou l'opérateur Kubernetes d'Infisical. Garde les secrets dynamiques et le chiffrement en service pour la fin : ils demandent une autre solution.

Son prix. Free à 0 $ (5 identités, projets illimités, 3 environnements, 10 synchronisations). Pro à 20 $ par identité et par mois à l'année (23 $ au mois), Advanced à 40 $ (46 $ au mois), Enterprise sur devis. Essai de 30 jours sans carte.

Pourquoi partir sur AWS Secrets Manager. Plus de cluster, plus de descellement, plus de mise à jour : AWS s'en occupe. Les droits passent par IAM, que ton équipe connaît déjà, et la rotation des identifiants de bases de données AWS est prévue. Pour une entreprise entièrement chez AWS, c'est souvent le chemin le plus court.

Pour qui. L'équipe qui n'utilise de Vault que des secrets statiques et quelques rotations, sans multi-cloud. Un retour d'utilisateur va dans ce sens : après une facture Doppler par utilisateur jugée plus chère que ses serveurs, une équipe est revenue à AWS Secrets Manager.

Pour qui ce n'est pas fait. L'entreprise répartie sur plusieurs clouds ou sur ses propres serveurs. Tu remplaces un outil neutre par un service qui t'attache à un fournisseur.

Sa limite. Chaque secret est un objet facturé. Avec beaucoup de petites valeurs, la note monte vite. Pas de chiffrement en service façon transit dans Secrets Manager lui-même (il faut ajouter KMS).

Comment migrer vers AWS Secrets Manager. Exporte tes chemins Vault, puis crée un secret par application et par environnement plutôt qu'un secret par valeur : un même secret peut contenir un objet JSON de plusieurs clés. Remplace les appels Vault par le SDK AWS ou l'intégration de ton orchestrateur. Pour brancher ces secrets à des automatisations, notre page AWS KMS et Secrets avec Make montre les modules disponibles.

Son prix. 0,40 $ par secret et par mois, plus 0,05 $ pour 10 000 appels API. Exemple : 100 secrets coûtent 40 $ par mois avant les appels. Les nouveaux clients AWS ont jusqu'à 200 $ de crédits Free Tier.

Pourquoi partir sur Azure Key Vault. Si ton entreprise tourne sur Azure, Key Vault range au même endroit les secrets, les clés de chiffrement et les certificats, avec les droits d'Entra ID. Son modèle de prix est surtout à l'usage : tu paies les opérations, pas un cluster qui tourne la nuit.

Pour qui. L'équipe Microsoft qui utilisait Vault pour ses certificats et ses clés autant que pour ses secrets. Le niveau Premium ajoute des clés protégées par un module matériel (HSM), utile quand un auditeur le demande.

Pour qui ce n'est pas fait. Celui qui veut des secrets dynamiques à la manière de Vault pour toutes ses bases : Key Vault stocke et fait tourner, il ne fabrique pas un identifiant jetable à chaque connexion.

Sa limite. Le même enfermement que chez AWS, et une grille de prix peu lisible : la page officielle affiche mal les montants, il faut passer par le calculateur ou l'API des prix.

Comment migrer vers Azure Key Vault. Crée un coffre par environnement, recopie tes secrets statiques par script (CLI Azure ou Terraform), puis donne aux applications une identité managée plutôt qu'un jeton. Prévois les certificats à part : leur renouvellement automatique se facture.

Son prix. En Europe de l'Ouest : 0,03 $ pour 10 000 opérations en Standard comme en Premium, 1 $ par renouvellement de certificat, 1 $ par clé HSM RSA 2048 et par mois en Premium.

Pourquoi partir sur Doppler. Doppler est un service hébergé uniquement : tu crées un projet, tu déclares tes environnements, et la CLI injecte les secrets au lancement de ton application. Les identités non humaines (comptes de service, pipelines) sont gratuites, ce qui évite le piège du prix par client de Vault. Doppler publie aussi un guide pour les anciens clients de HCP Vault Secrets, arrêté par HashiCorp.

Pour qui. La petite équipe produit qui veut ses secrets rangés par environnement en une après-midi, sans serveur à surveiller.

Pour qui ce n'est pas fait. L'entreprise qui doit garder ses secrets chez elle : aucune offre auto-hébergée n'apparaît sur la page de prix. Ni celle qui a besoin de chiffrement en service ou d'une PKI.

Sa limite. Le prix par utilisateur. Un avis d'utilisateur raconte qu'à ce tarif le service finissait par coûter plus que les serveurs. Le plan gratuit garde le journal d'activité 3 jours seulement.

Comment migrer vers Doppler. Exporte tes secrets statiques de Vault, importe-les projet par projet, puis remplace l'agent Vault par la CLI ou les synchronisations Doppler (vers ton cloud, ton CI, Kubernetes). Fais-le un environnement à la fois, en commençant par le développement.

Son prix. Developer gratuit jusqu'à 3 utilisateurs, puis 8 $ par utilisateur et par mois (25 au plus). Team à 21 $ par utilisateur et par mois, avec journal de 90 jours et essai de 14 jours. Enterprise sur devis.

Pourquoi partir sur Bitwarden Secrets Manager. C'est le produit de secrets machine de Bitwarden, distinct de son gestionnaire de mots de passe. Il est open source, le stockage des secrets est illimité, et le prix par utilisateur est le plus bas de cette page. Les machines s'authentifient par des comptes machine, rangés par projet.

Pour qui. La PME qui a quelques dizaines de secrets pour ses pipelines et ses serveurs, et qui utilise déjà Bitwarden pour les mots de passe de l'équipe. Si tu quittes aussi un gestionnaire de mots de passe, vois notre page quitter Bitwarden ou quitter 1Password. Pour lire tes secrets depuis des automatisations, vois Bitwarden avec n8n et Bitwarden avec Make.

Pour qui ce n'est pas fait. L'équipe plateforme qui a besoin de secrets dynamiques, de chiffrement en service ou de politiques fines par chemin. Ce n'est pas un remplaçant de Vault fonction pour fonction.

Sa limite. L'auto-hébergement n'est inclus qu'en Enterprise, et les comptes machine sont comptés : 20 en Teams, puis 1 $ chacun.

Comment migrer vers Bitwarden Secrets Manager. Crée un projet par application, recopie les secrets statiques par la CLI bws ou l'API, puis crée un compte machine par service avec un accès limité à son projet.

Son prix. Free à 0 $ (2 utilisateurs, 3 projets, 3 comptes machine). Teams à 6 $ par utilisateur et par mois, Enterprise à 12 $ (50 comptes machine, SSO, SCIM, auto-hébergement), à l'année et hors taxes.