BYOK (Bring Your Own Key)

BYOK (Bring Your Own Key) est le modèle où le client génère ses propres clés cryptographiques et les importe chez son fournisseur cloud, plutôt que d'utiliser les clés générées par le fournisseur. Apporte un contrôle accru sur l'origine et la chaîne de confiance des clés, mais le fournisseur conserve l'accès opérationnel pour le déchiffrement à la demande. À distinguer de HYOK (Hold Your Own Key) où le client reste l'unique détenteur des clés. MAFATE ne propose PAS d'import de clé : les clés sont générées dans le module matériel et n'en sortent pas. Le rapprochement le plus proche est le mode enveloppe, où votre application génère la clé de données et MAFATE ne fait que l'emballer. Ce que le sigle promet, et ce qu'il faut vérifier derrière : apporter sa propre clé signifie que le client la génère chez lui, puis l'importe chez le fournisseur. La question utile n'est pas de savoir si l'import existe, mais ce que le fournisseur peut faire de la clé une fois importée. Chez la plupart des services cloud, elle est déchiffrée en mémoire pour servir, ce qui laisse au fournisseur — et à toute autorité qui le contraint — un accès théorique. Le modèle plus strict porte un autre nom, HYOK, où la clé ne quitte jamais l'infrastructure du client et où le fournisseur ne manipule que des données déjà chiffrées. La différence est décisive dans un dossier de conformité : elle décide si le fournisseur est un sous-traitant qui accède aux données ou un prestataire qui n'y accède pas. Elle a aussi un coût, l'indisponibilité du service client rendant les données inexploitables. La question qui tranche en pratique concerne la juridiction, et elle est rarement posée dans les comparatifs. Une clé importée chez un fournisseur soumis au droit américain reste atteignable par une injonction extraterritoriale, quelle que soit la localisation physique du serveur. Le BYOK déplace donc le risque sans le supprimer, ce qui suffit dans bien des cas mais ne répond pas à une exigence de souveraineté.