Passbolt est un excellent gestionnaire de secrets open source européen, distribué sous AGPL-3.0 et édité depuis le Luxembourg. L'adoption institutionnelle européenne du projet est forte (Ministère de l'Intérieur français, CTIE Luxembourg, Bosch, GLS). Aegirex propose une alternative pour les organisations qui souhaitent une juridiction française pure (sans cross-border, même intra-UE), une audit chain HMAC documentée publiquement et un modèle multi-organisation à compte-pivot natif.
Aegirex SASU · Hébergement Paris (3 AZ) · Droit français exclusif · AGPL-3.0
Les RSSI et DPO qui comparent Passbolt et Aegirex cherchent généralement à arbitrer trois critères précis. Aucun de ces critères n'est une critique de Passbolt ; ils relèvent du périmètre de différenciation produit assumé par Aegirex.
Passbolt SA est une société luxembourgeoise. Le Luxembourg relève de l'Union européenne et du RGPD, mais ce n'est pas le droit français. Pour une organisation publique française, un cabinet d'avocats, un OIV ou une entité critique qui souhaite que le droit français s'applique sans recours à la coopération judiciaire intra-UE, Aegirex (SASU française, RCS français, tribunaux de Paris) relève strictement de la juridiction française au contrat standard.
La documentation publique de Passbolt mentionne
des audit logs applicatifs mais ne décrit pas,
au moment de la publication, de mécanisme de
chaîne cryptographique vérifiable
indépendamment du serveur. Aegirex
implémente une chaîne d'événements HMAC-SHA-256
(RFC 2104), vérifiable via la commande
bin/console aegirex:audit:verify,
documentée publiquement sur la
page audit chain HMAC.
Aegirex expose nativement le modèle « un utilisateur, plusieurs memberships dans des organisations distinctes, facturation par organisation » (style JetBrains). Un consultant indépendant ou un freelance peut être membre de plusieurs clients sans multiplier les comptes ni les e-mails d'inscription. La documentation Passbolt décrit un modèle d'organisation unique par instance, avec gestion des groupes internes.
Comparaison fondée sur les informations publiques
Passbolt au 15 mai 2026
(passbolt.com/pricing,
passbolt.com/pricing/cloud, documentation
officielle). Les éléments Aegirex sont issus
de la documentation publique de la SASU.
| Critère | Passbolt | Aegirex |
|---|---|---|
| Société éditrice | Passbolt SA, Luxembourg | Aegirex SASU, France |
| Juridiction au contrat | Luxembourg · droit luxembourgeois (UE, RGPD) | France · droit français · tribunaux de Paris |
| Hébergement managé inclus | Cloud Business (GCP Belgique/Allemagne) · Cloud Sovereign (datacenter privé Luxembourg) | Oui · Paris exclusif, 3 zones de disponibilité |
| Modèle de licence | AGPL-3.0 (Community, Business Pro, Enterprise) | AGPL-3.0 (intégrale, Pro et Business inclus) |
| Support commercial | Inclus dès Business Pro · équipe FR/LU/BE distribuée | Inclus dès le plan Pro · réponse FR ouvré |
| Multi-organisation à compte-pivot | Modèle organisation unique par instance, groupes internes | Oui · natif (un user, N memberships, facturation par organisation) |
| Audit chain HMAC documentée | Audit logs applicatifs · pas de chaîne cryptographique vérifiable documentée publiquement | Oui · HMAC-SHA-256 RFC 2104, vérifiable via bin/console aegirex:audit:verify |
| SSO SAML 2.0 / OIDC | Inclus à partir de Business Pro | Inclus dès le plan Gratuit |
| Cryptographie de partage | OpenPGP RFC 4880 (mature, éprouvé) | OpenPGP RFC 9580 (révision 2024, AES-256-GCM) |
Passbolt et Aegirex partagent l'approche OpenPGP et AGPL-3.0. La comparaison met en évidence trois axes de différenciation : juridiction française pure pour Aegirex, datacenter privé luxembourgeois pour Passbolt Sovereign, et présence ou non d'une chaîne cryptographique d'audit vérifiable indépendamment.
Le positionnement Aegirex se résume en quatre éléments structurels. Chacun est documenté publiquement et opposable au contrat standard.
Aegirex SASU est immatriculée au RCS français. L'actionnariat est exclusivement européen. Aucune entité du groupe n'a d'établissement extra-UE. Le contrat standard prévoit le droit français et la compétence des tribunaux de Paris, sans recours à la coopération judiciaire intra-UE.
Production en région parisienne sur trois zones de disponibilité physiquement distinctes, dont une dans une installation bunker (Scaleway). Sauvegardes chiffrées conservées uniquement sur des sites français. Aucune réplication extra-UE.
Chaque action est consignée dans une chaîne
d'événements liés par HMAC-SHA-256 (RFC 2104).
Toute modification rétroactive casse la chaîne.
La vérification est exposée via la commande
bin/console aegirex:audit:verify,
indépendamment de l'interface web.
Un utilisateur dispose d'un compte personnel (Free) et de N memberships dans des organisations payantes distinctes. Les organisations payent pour leurs propres sièges. Idéal pour les consultants, freelances, MSP et cabinets multi-clients.
Passbolt expose un export CSV depuis l'interface web. La migration se déroule sans rupture pour les utilisateurs finaux et préserve la structure de partage par re-chiffrement OpenPGP.
Dans l'interface Passbolt, accédez à Settings → Export, sélectionnez le format CSV et téléchargez l'archive contenant les ressources accessibles à votre compte. Pour une migration multi-utilisateurs, chaque membre exporte ses ressources, ou un administrateur réalise l'export via la CLI Passbolt.
Dans le panneau utilisateur Aegirex, section Coffre → Importer, déposez le CSV exporté. Le wizard détecte le format Passbolt, prévisualise les ressources et permet de choisir l'organisation cible. Le re-chiffrement OpenPGP est exécuté côté navigateur ; aucune donnée en clair ne transite par le serveur.
Les groupes Passbolt sont convertis en organisations Aegirex ou en sous-espaces (selon la granularité souhaitée). Les permissions par ressource sont reconstruites au moment du re-chiffrement OpenPGP par destinataire. L'opération est traçable dans l'audit chain HMAC.
Réponses honnêtes aux questions que posent les équipes familières de Passbolt. Aucune attaque sur le projet : uniquement des éléments factuels pour aider à la décision.
Passbolt est un projet mature lancé en 2014, doté d'une base installée institutionnelle européenne forte (Ministère de l'Intérieur français, CTIE Luxembourg, Bosch, GLS, TU Graz) et d'une certification SOC 2 Type II annoncée pour son offre Cloud Sovereign. Aegirex est une jeune SASU française en V1 publique, qui partage l'approche AGPL-3.0 et OpenPGP pour le partage entre utilisateurs, mais ajoute une audit chain HMAC-SHA-256 vérifiable indépendamment et un modèle multi-organisation à compte-pivot natif. La maturité produit de Passbolt est plus avancée sur certains aspects (base installée, certifications) ; Aegirex se distingue sur la juridiction française pure et l'audit chain.
Oui. Passbolt expose un export CSV depuis l'interface web (Settings → Export) et depuis la CLI. Le CSV obtenu est importable dans Aegirex via le wizard d'import du panneau utilisateur. La structure de groupes Passbolt est convertie en organisations ou en sous-espaces Aegirex ; les permissions par ressource sont reconstruites au moment du re-chiffrement OpenPGP par destinataire. Une procédure de migration documentée est disponible sur demande auprès du support.
Passbolt Community est gratuit en self-host avec les fonctions de base ; Passbolt Business Pro coûte 4,50 EUR par utilisateur par mois en self-host (annuel, minimum 10 utilisateurs), et le Cloud Sovereign Luxembourg 7 EUR par utilisateur par mois (annuel, minimum 10 utilisateurs). Aegirex propose un modèle managé avec hébergement Paris (juridiction française pure, sans cross-border même intra-UE), audit chain HMAC documentée publiquement, et SSO inclus dès le plan Gratuit (vs Business Pro chez Passbolt). Le choix dépend du critère prioritaire : Luxembourg en datacenter privé pour Passbolt Sovereign, France métropolitaine et juridiction française pure pour Aegirex.
Non. Passbolt est l'un des meilleurs gestionnaires de secrets open source européens. Son modèle de partage OpenPGP RFC 4880 est mature, son adoption institutionnelle européenne est solide, et son Cloud Sovereign hébergé en datacenter privé luxembourgeois (hors hyperscaler) est un choix structurel intéressant pour la souveraineté UE. Aegirex partage la même philosophie AGPL-3.0 et OpenPGP, et se positionne sur un terrain adjacent : la juridiction française pure (SASU immatriculée au RCS français, hébergement Paris exclusif, droit français au contrat), avec un différenciant produit sur l'audit chain HMAC vérifiable et le modèle multi-organisation à compte-pivot.
Créez votre coffre-fort Aegirex sans carte bancaire et sans engagement. Le plan Gratuit est offert à vie pour l'usage individuel et inclut l'intégralité des briques cryptographiques. Le code source AGPL-3.0 est ouvert pour audit immédiat.
Cette page compare Aegirex à Passbolt sur la
base d'informations publiques disponibles au
15 mai 2026 (passbolt.com, dépôts
officiels du projet). Passbolt est une marque déposée
de Passbolt SA (Luxembourg) ; aucune affiliation,
aucun partenariat et aucun lien commercial n'existent
entre Aegirex SASU et Passbolt SA. La présence ou
l'absence d'une fonctionnalité chez Passbolt est
susceptible d'évoluer à tout moment. Toute
reproduction publique de cette comparaison nécessite
une revérification au moment de la publication.
