SANKET e Threema a confronto: un'alternativa a Threema per organizzazioni sovrane
Threema e SANKET condividono alcuni punti di forza: non richiedono un numero di telefono e consentono l'installazione sui server dell'organizzazione e in ambienti fisicamente isolati dalle reti. Nella versione attuale, SANKET offre inoltre PQXDH e SPQR post-quantistici, l'accesso tramite il servizio di directory dell'organizzazione, elenchi dei dispositivi firmati, TLS reciproco per i dispositivi e comunicazioni prioritarie cifrate a più destinatari, da parte di un fornitore indiano.
Informazioni su Threema
Threema GmbH · Svizzera
Threema è un sistema svizzero di messaggistica sicura per privati (Threema), organizzazioni (Threema Work) e installazioni sui server dell'organizzazione (Threema OnPrem). Cifra da un'estremità all'altra messaggi, contenuti multimediali e chiamate, oltre ai nomi dei gruppi e agli elenchi dei membri; usa il protocollo Ibex e non richiede un numero di telefono per registrarsi. Nel febbraio 2026 ha annunciato, insieme a IBM Research, attività di sviluppo sulla crittografia post-quantistica ibrida.
SANKET e Threema: confronto affiancato
| Criterio | SANKET | Threema |
|---|---|---|
| Chi controlla l'infrastruttura | Il cliente. Un'installazione dedicata per ogni organizzazione, su un'infrastruttura di sua proprietà o scelta da essa, senza alcun servizio gestito dal fornitore nel percorso dei messaggi. | Server di Threema a Zurigo oppure server del cliente con Threema OnPrem. |
| Opzioni di installazione | Installazione dedicata su qualsiasi infrastruttura cloud nella regione scelta dal cliente (oppure sull'infrastruttura di Tosh Defence), sui server del cliente o completamente isolata dalle reti; su un singolo server o in alta disponibilità con ripristino da un secondo sito. | Servizio ospitato oppure Threema OnPrem gestito autonomamente, anche in ambienti completamente isolati dalle reti. |
| Chi detiene le chiavi e controlla l'identità | Il cliente e i suoi utenti. Le chiavi vengono generate su ogni dispositivo e protette tramite archiviazione supportata dall'hardware; le identità sono Sanket ID sotto il controllo del cliente, senza richiedere un'identità basata su un numero di telefono personale. | Un identificativo Threema casuale, senza obbligo di indicare un numero di telefono; l'associazione di un numero di telefono o di un indirizzo di posta elettronica è facoltativa. |
| Protocollo di crittografia | Signal Protocol tramite la libreria ufficiale libsignal di Signal, sottoposta a verifiche indipendenti. Messaggi cifrati con AES-256-CBC e autenticati con HMAC-SHA256 all'interno di libsignal; file e chiamate con AES-256-GCM; TLS esclusivamente con suite AES-256-GCM. | Ibex (dal 2023). |
| Protezione post-quantistica | Sì, nella versione attuale: PQXDH con una prechiave post-quantistica Kyber obbligatoria e il meccanismo di avanzamento delle chiavi SPQR (Triple Ratchet), oltre allo scambio di chiavi ibrido X25519MLKEM768 al punto di terminazione TLS. | Integrazione ibrida di ML-KEM prevista con la ricerca di IBM (annunciata a febbraio 2026). |
| Gruppi e chiamate cifrati da un capo all'altro per impostazione predefinita | Sì. I messaggi individuali e di gruppo, le reazioni, le comunicazioni cifrate a più destinatari e i file sono sempre cifrati end-to-end; le chiamate vocali e video usano la cifratura dei fotogrammi AES-256-GCM con cinque nuove chiavi per i fotogrammi al secondo, all'interno di SRTP AES-256-GCM. | Sì: i messaggi di testo e vocali, i contenuti multimediali e le chiamate sono crittografati end-to-end, così come i nomi dei gruppi e gli elenchi dei membri. |
| Sistema di gestione delle identità del cliente (SSO / LDAP) | Sì. Accesso tramite la directory OIDC, SAML 2.0 o LDAP del cliente, provisioning SCIM 2.0 e chiavi di sicurezza FIDO2 per gli amministratori. | Not publicly documented |
| Controlli amministrativi e gestione dei dispositivi | Approvazione e revoca dei dispositivi, modalità smarrimento e cancellazione da remoto, elenchi dei dispositivi firmati, TLS reciproco dei dispositivi, criteri di conservazione, inoltro e uso degli appunti, etichette di classificazione definite dal cliente e un registro di audit con concatenazione crittografica per il SIEM del cliente. | Portale di amministrazione per installazioni in sede, supporto MDM e personalizzazione del nome, dell'icona e dei colori dell'app con il marchio del cliente. |
| Sovranità dei dati (giurisdizione, progettato in India) | Sviluppato in India da Tosh Defence. I dati rimangono nella giurisdizione e sull'infrastruttura scelte dal cliente, senza servizi di analisi di terze parti né dipendenze operative da soggetti esteri nei prodotti. | Threema GmbH, Svizzera; server a Zurigo. |
| Integrità delle versioni e controllo degli aggiornamenti | Versioni firmate con Ed25519 e verificate prima dell'installazione, con blocco delle versioni e protezione contro il ripristino di versioni precedenti, oltre al ripristino automatico dello stato precedente in caso di aggiornamento non riuscito. Il cliente decide quando aggiornare, online o tramite un pacchetto offline firmato. | Not publicly documented |
| Piattaforme | App native per iOS, Android, Windows, macOS e Linux. Progettate per funzionare senza browser: non esiste un client web da attaccare. | iOS, Android, computer e web. |
Chi controlla l'infrastruttura
SANKET
Il cliente. Un'installazione dedicata per ogni organizzazione, su un'infrastruttura di sua proprietà o scelta da essa, senza alcun servizio gestito dal fornitore nel percorso dei messaggi.
Threema
Server di Threema a Zurigo oppure server del cliente con Threema OnPrem.Opzioni di installazione
SANKET
Installazione dedicata su qualsiasi infrastruttura cloud nella regione scelta dal cliente (oppure sull'infrastruttura di Tosh Defence), sui server del cliente o completamente isolata dalle reti; su un singolo server o in alta disponibilità con ripristino da un secondo sito.
Threema
Servizio ospitato oppure Threema OnPrem gestito autonomamente, anche in ambienti completamente isolati dalle reti.Chi detiene le chiavi e controlla l'identità
SANKET
Il cliente e i suoi utenti. Le chiavi vengono generate su ogni dispositivo e protette tramite archiviazione supportata dall'hardware; le identità sono Sanket ID sotto il controllo del cliente, senza richiedere un'identità basata su un numero di telefono personale.
Threema
Un identificativo Threema casuale, senza obbligo di indicare un numero di telefono; l'associazione di un numero di telefono o di un indirizzo di posta elettronica è facoltativa.Protocollo di crittografia
SANKET
Signal Protocol tramite la libreria ufficiale libsignal di Signal, sottoposta a verifiche indipendenti. Messaggi cifrati con AES-256-CBC e autenticati con HMAC-SHA256 all'interno di libsignal; file e chiamate con AES-256-GCM; TLS esclusivamente con suite AES-256-GCM.
Threema
Ibex (dal 2023).Protezione post-quantistica
SANKET
Sì, nella versione attuale: PQXDH con una prechiave post-quantistica Kyber obbligatoria e il meccanismo di avanzamento delle chiavi SPQR (Triple Ratchet), oltre allo scambio di chiavi ibrido X25519MLKEM768 al punto di terminazione TLS.
Threema
Integrazione ibrida di ML-KEM prevista con la ricerca di IBM (annunciata a febbraio 2026).Gruppi e chiamate cifrati da un capo all'altro per impostazione predefinita
SANKET
Sì. I messaggi individuali e di gruppo, le reazioni, le comunicazioni cifrate a più destinatari e i file sono sempre cifrati end-to-end; le chiamate vocali e video usano la cifratura dei fotogrammi AES-256-GCM con cinque nuove chiavi per i fotogrammi al secondo, all'interno di SRTP AES-256-GCM.
Threema
Sì: i messaggi di testo e vocali, i contenuti multimediali e le chiamate sono crittografati end-to-end, così come i nomi dei gruppi e gli elenchi dei membri.Sistema di gestione delle identità del cliente (SSO / LDAP)
SANKET
Sì. Accesso tramite la directory OIDC, SAML 2.0 o LDAP del cliente, provisioning SCIM 2.0 e chiavi di sicurezza FIDO2 per gli amministratori.
Threema
Not publicly documentedControlli amministrativi e gestione dei dispositivi
SANKET
Approvazione e revoca dei dispositivi, modalità smarrimento e cancellazione da remoto, elenchi dei dispositivi firmati, TLS reciproco dei dispositivi, criteri di conservazione, inoltro e uso degli appunti, etichette di classificazione definite dal cliente e un registro di audit con concatenazione crittografica per il SIEM del cliente.
Threema
Portale di amministrazione per installazioni in sede, supporto MDM e personalizzazione del nome, dell'icona e dei colori dell'app con il marchio del cliente.Sovranità dei dati (giurisdizione, progettato in India)
SANKET
Sviluppato in India da Tosh Defence. I dati rimangono nella giurisdizione e sull'infrastruttura scelte dal cliente, senza servizi di analisi di terze parti né dipendenze operative da soggetti esteri nei prodotti.
Threema
Threema GmbH, Svizzera; server a Zurigo.Integrità delle versioni e controllo degli aggiornamenti
SANKET
Versioni firmate con Ed25519 e verificate prima dell'installazione, con blocco delle versioni e protezione contro il ripristino di versioni precedenti, oltre al ripristino automatico dello stato precedente in caso di aggiornamento non riuscito. Il cliente decide quando aggiornare, online o tramite un pacchetto offline firmato.
Threema
Not publicly documentedPiattaforme
SANKET
App native per iOS, Android, Windows, macOS e Linux. Progettate per funzionare senza browser: non esiste un client web da attaccare.
Threema
iOS, Android, computer e web.Dove Sanket si distingue
- Messaggistica post-quantistica nella versione attuale: PQXDH con una prechiave Kyber obbligatoria e il meccanismo a cricchetto SPQR.
- Integrazione con i sistemi di identità del cliente: SCIM, OIDC, SAML, LDAP e chiavi di sicurezza FIDO2 per gli amministratori.
- Elenchi dei dispositivi firmati e TLS reciproco per ogni dispositivo approvato.
- Diffusione prioritaria cifrata con conferma di ricezione ed etichette di classificazione definite dal cliente incluse nei dati cifrati.
- Un fornitore indiano e la possibilità di scegliere la giurisdizione indiana per gli acquirenti dei settori governativo e della difesa in India.
Domande frequenti
Qual è una valida alternativa a Threema per le organizzazioni?
SANKET (Sanket.Chat) di Tosh Defence. Come Threema, non richiede un numero di telefono e può essere installato sui server dell'organizzazione o in una rete isolata; in più offre PQXDH e SPQR post-quantistici, il fornitore di identità dell'organizzazione ed elenchi dei dispositivi firmati.
SANKET richiede un numero di telefono?
Non è richiesta un'identità basata su un numero di telefono personale. Gli utenti sono identificati tramite Sanket ID e un'installazione priva di un fornitore di SMS non raccoglie numeri di telefono.
La messaggistica di SANKET è oggi resistente agli attacchi quantistici?
Sì. Ogni sessione usa PQXDH con una prechiave post-quantistica Kyber obbligatoria e il meccanismo SPQR insieme a Double Ratchet, tramite la libreria ufficiale libsignal di Signal.
Fonti
- Libro bianco sulla sicurezza tecnica e sull'architettura di SANKET, edizione pubblica 2.0 (7 ottobre 2026)
- Threema: sicurezza
- Threema OnPrem
- Articolo del blog di Threema: un futuro sicuro contro le minacce quantistiche (24 febbraio 2026)
- Threema Private
- Articolo del blog di Threema: anonimato
Sources checked on 7 October 2026. Le informazioni sui concorrenti provengono esclusivamente dalle fonti elencate. Se non è stata trovata alcuna fonte pubblica, la cella riporta «Non documentato pubblicamente». I nomi dei prodotti e delle aziende sono marchi dei rispettivi titolari.
Altri confronti
Metti le tue comunicazioni sotto il tuo controllo
Parlate con il team di Tosh Defence della vostra implementazione, da un'installazione su cloud dedicato a un'infrastruttura completamente isolata dalle reti, oppure consultate prima l'architettura di sicurezza completa.