Sanket face à Threema : une alternative à Threema pour les organisations souveraines
Threema et SANKET présentent des atouts communs : aucun numéro de téléphone requis, ainsi que la possibilité d’un déploiement sur les serveurs de l’organisation ou sur un réseau isolé physiquement. SANKET ajoute, dans la version actuelle, PQXDH et SPQR post-quantiques, la connexion via l’annuaire de l’organisation, les listes d’appareils signées, l’authentification TLS mutuelle des appareils et la diffusion prioritaire chiffrée, le tout proposé par un fournisseur indien.
À propos de Threema
Threema GmbH · Suisse
Threema est une messagerie sécurisée suisse destinée aux particuliers (Threema), aux organisations (Threema Work) et aux déploiements sur les serveurs des clients (Threema OnPrem). Elle chiffre de bout en bout les messages, les médias et les appels, ainsi que les noms des groupes et les listes de membres. Elle utilise le protocole Ibex et ne nécessite aucun numéro de téléphone pour l’inscription. En février 2026, elle a annoncé des travaux sur un chiffrement post-quantique hybride avec IBM Research.
Sanket face à Threema : comparaison côte à côte
| Critère | SANKET | Threema |
|---|---|---|
| Qui contrôle l'infrastructure | Le client. Une installation dédiée par organisation, sur une infrastructure qu'elle possède ou choisit, sans service exploité par le fournisseur sur le trajet des messages. | Serveurs de Threema à Zurich, ou serveurs du client avec Threema OnPrem. |
| Options de déploiement | Installation dédiée auprès de tout fournisseur de services en nuage, dans toute région choisie par le client (ou hébergée par Tosh Defence), sur les serveurs du client ou entièrement isolée physiquement des réseaux ; sur un seul serveur ou en haute disponibilité avec reprise sur un second site. | Service hébergé, ou Threema OnPrem auto-hébergé, y compris dans des environnements totalement isolés des réseaux. |
| Qui détient les clés et contrôle les identités | Le client et ses utilisateurs. Les clés sont générées sur chaque appareil et protégées par un stockage à sécurité matérielle ; les identités sont des identifiants Sanket ID contrôlés par le client, sans obligation d'utiliser un numéro de téléphone personnel comme identifiant. | Un identifiant Threema aléatoire, sans numéro de téléphone requis ; l’association d’un numéro de téléphone ou d’une adresse électronique est facultative. |
| Protocole de chiffrement | Signal Protocol via la bibliothèque officielle libsignal de Signal, auditée de manière indépendante. Les messages utilisent AES-256-CBC avec HMAC-SHA256 dans libsignal ; les fichiers et les appels utilisent AES-256-GCM ; TLS utilise uniquement des suites cryptographiques avec AES-256-GCM. | Ibex (depuis 2023). |
| Protection post-quantique | Oui, dans la version actuelle : PQXDH avec une préclé Kyber post-quantique obligatoire et le mécanisme à cliquet SPQR (Triple Ratchet), ainsi qu'un échange de clés hybride X25519MLKEM768 à la terminaison TLS. | ML-KEM hybride prévu avec IBM Research (annoncé en février 2026). |
| Groupes et appels chiffrés de bout en bout par défaut | Oui. Les messages individuels et de groupe, les réactions, les diffusions chiffrées et les fichiers sont toujours chiffrés de bout en bout ; les appels vocaux et vidéo utilisent le chiffrement des trames par AES-256-GCM, avec cinq nouvelles clés de chiffrement des trames par seconde, au sein de SRTP AES-256-GCM. | Oui : les messages textuels et vocaux, les contenus multimédias et les appels sont chiffrés de bout en bout, tout comme les noms des groupes et les listes de leurs membres. |
| Fournisseur d'identité du client (SSO / LDAP) | Oui. Authentification via l'annuaire OIDC, SAML 2.0 ou LDAP du client, provisionnement SCIM 2.0 et clés de sécurité FIDO2 pour les administrateurs. | Not publicly documented |
| Contrôles d’administration et gestion des appareils | Approbation et révocation des appareils, mode appareil perdu et effacement à distance, listes des appareils signées, TLS mutuel des appareils, politique de conservation, de transfert et de presse-papiers, étiquettes de classification définies par le client et journal d'audit à chaînage cryptographique pour le SIEM du client. | Portail d’administration sur site, prise en charge de la gestion des appareils mobiles, ainsi que nom, icône et couleurs de l’application aux couleurs du client. |
| Souveraineté des données (juridiction, conception en Inde) | Développé en Inde par Tosh Defence. Les données restent dans la juridiction et sur l'infrastructure choisies par le client, sans analyse de données par des tiers ni dépendance à des composants étrangers lors de l'exécution des produits. | Threema GmbH, Suisse ; serveurs à Zurich. |
| Intégrité des versions et contrôle des mises à jour | Versions signées avec Ed25519, vérifiées avant installation, avec protection contre le gel des versions et contre le retour à une version antérieure, ainsi qu'un retour automatique à l'état précédent en cas d'échec de la mise à niveau. Le client décide quand procéder à la mise à niveau, en ligne ou au moyen d'un paquet hors ligne signé. | Not publicly documented |
| Plateformes | Applications natives pour iOS, Android, Windows, macOS et Linux. Sans navigateur par conception : aucun client web ne constitue une cible d'attaque. | iOS, Android, ordinateur et navigateur web. |
Qui contrôle l'infrastructure
SANKET
Le client. Une installation dédiée par organisation, sur une infrastructure qu'elle possède ou choisit, sans service exploité par le fournisseur sur le trajet des messages.
Threema
Serveurs de Threema à Zurich, ou serveurs du client avec Threema OnPrem.Options de déploiement
SANKET
Installation dédiée auprès de tout fournisseur de services en nuage, dans toute région choisie par le client (ou hébergée par Tosh Defence), sur les serveurs du client ou entièrement isolée physiquement des réseaux ; sur un seul serveur ou en haute disponibilité avec reprise sur un second site.
Threema
Service hébergé, ou Threema OnPrem auto-hébergé, y compris dans des environnements totalement isolés des réseaux.Qui détient les clés et contrôle les identités
SANKET
Le client et ses utilisateurs. Les clés sont générées sur chaque appareil et protégées par un stockage à sécurité matérielle ; les identités sont des identifiants Sanket ID contrôlés par le client, sans obligation d'utiliser un numéro de téléphone personnel comme identifiant.
Threema
Un identifiant Threema aléatoire, sans numéro de téléphone requis ; l’association d’un numéro de téléphone ou d’une adresse électronique est facultative.Protocole de chiffrement
SANKET
Signal Protocol via la bibliothèque officielle libsignal de Signal, auditée de manière indépendante. Les messages utilisent AES-256-CBC avec HMAC-SHA256 dans libsignal ; les fichiers et les appels utilisent AES-256-GCM ; TLS utilise uniquement des suites cryptographiques avec AES-256-GCM.
Threema
Ibex (depuis 2023).Protection post-quantique
SANKET
Oui, dans la version actuelle : PQXDH avec une préclé Kyber post-quantique obligatoire et le mécanisme à cliquet SPQR (Triple Ratchet), ainsi qu'un échange de clés hybride X25519MLKEM768 à la terminaison TLS.
Threema
ML-KEM hybride prévu avec IBM Research (annoncé en février 2026).Groupes et appels chiffrés de bout en bout par défaut
SANKET
Oui. Les messages individuels et de groupe, les réactions, les diffusions chiffrées et les fichiers sont toujours chiffrés de bout en bout ; les appels vocaux et vidéo utilisent le chiffrement des trames par AES-256-GCM, avec cinq nouvelles clés de chiffrement des trames par seconde, au sein de SRTP AES-256-GCM.
Threema
Oui : les messages textuels et vocaux, les contenus multimédias et les appels sont chiffrés de bout en bout, tout comme les noms des groupes et les listes de leurs membres.Fournisseur d'identité du client (SSO / LDAP)
SANKET
Oui. Authentification via l'annuaire OIDC, SAML 2.0 ou LDAP du client, provisionnement SCIM 2.0 et clés de sécurité FIDO2 pour les administrateurs.
Threema
Not publicly documentedContrôles d’administration et gestion des appareils
SANKET
Approbation et révocation des appareils, mode appareil perdu et effacement à distance, listes des appareils signées, TLS mutuel des appareils, politique de conservation, de transfert et de presse-papiers, étiquettes de classification définies par le client et journal d'audit à chaînage cryptographique pour le SIEM du client.
Threema
Portail d’administration sur site, prise en charge de la gestion des appareils mobiles, ainsi que nom, icône et couleurs de l’application aux couleurs du client.Souveraineté des données (juridiction, conception en Inde)
SANKET
Développé en Inde par Tosh Defence. Les données restent dans la juridiction et sur l'infrastructure choisies par le client, sans analyse de données par des tiers ni dépendance à des composants étrangers lors de l'exécution des produits.
Threema
Threema GmbH, Suisse ; serveurs à Zurich.Intégrité des versions et contrôle des mises à jour
SANKET
Versions signées avec Ed25519, vérifiées avant installation, avec protection contre le gel des versions et contre le retour à une version antérieure, ainsi qu'un retour automatique à l'état précédent en cas d'échec de la mise à niveau. Le client décide quand procéder à la mise à niveau, en ligne ou au moyen d'un paquet hors ligne signé.
Threema
Not publicly documentedPlateformes
SANKET
Applications natives pour iOS, Android, Windows, macOS et Linux. Sans navigateur par conception : aucun client web ne constitue une cible d'attaque.
Threema
iOS, Android, ordinateur et navigateur web.Les points forts de Sanket
- Messagerie post-quantique dans la version actuelle : PQXDH avec une préclé Kyber obligatoire et le mécanisme à cliquet SPQR.
- Intégration à la gestion des identités du client : SCIM, OIDC, SAML, LDAP et clés de sécurité FIDO2 pour les administrateurs.
- Listes d’appareils signées et authentification TLS mutuelle pour chaque appareil approuvé.
- Diffusion prioritaire chiffrée avec accusé de réception et étiquettes de classification définies par le client, incluses dans les données chiffrées.
- Un fournisseur indien et une option relevant de la juridiction indienne pour les acheteurs des administrations et des forces de défense indiennes.
Questions fréquentes
Quelle alternative à Threema convient aux organisations ?
SANKET (Sanket.Chat), développé par Tosh Defence. Comme Threema, il ne nécessite aucun numéro de téléphone et peut être déployé sur les serveurs de l'organisation ou dans un réseau isolé. Il y ajoute PQXDH et SPQR post-quantiques, le propre fournisseur d'identité de l'organisation et des listes d'appareils signées.
Sanket nécessite-t-il un numéro de téléphone ?
Aucune identité fondée sur un numéro de téléphone personnel n'est requise. Les utilisateurs sont identifiés par leur Sanket ID, et une installation sans fournisseur de services SMS ne collecte pas de numéros de téléphone.
La messagerie SANKET résiste-t-elle actuellement aux attaques quantiques ?
Oui. Chaque session utilise PQXDH avec une préclé Kyber post-quantique obligatoire et le mécanisme SPQR de renouvellement des clés en parallèle de Double Ratchet, au moyen de la bibliothèque officielle libsignal de Signal.
Sources
- Livre blanc sur la sécurité technique et l'architecture de SANKET, édition publique 2.0 (7 octobre 2026)
- Threema : sécurité
- Threema OnPrem
- Blog de Threema : Un avenir sécurisé face aux menaces quantiques (24 février 2026)
- Threema Private
- Blog de Threema : Anonymat
Sources checked on 7 October 2026. Les informations sur les concurrents proviennent uniquement des sources indiquées. En l'absence de source publique, la cellule porte la mention « Non documenté publiquement ». Les noms des produits et des entreprises sont des marques de leurs propriétaires respectifs.
Placez vos communications sous votre propre contrôle
Échangez avec l’équipe de Tosh Defence sur votre déploiement, d’une installation dédiée dans le nuage à une infrastructure entièrement isolée des réseaux, ou consultez d’abord l’architecture de sécurité complète.