SecRadar / Классы СЗИ / Управление секретами · класс 03.12
Класс 03.12 · Реестр российского ПО
Управление секретами: российские системы хранения и ротации 2026
Система управления секретами централизованно хранит пароли, API-ключи, сертификаты и SSH-ключи, выдаёт их приложениям и людям по политике, автоматически меняет по расписанию и ведёт журнал каждого обращения. Без неё секреты расползаются по конфигурационным файлам, репозиториям и переписке, где живут годами и не отзываются при увольнении сотрудника.
4решений в подборке
2с действующим сертификатом ФСТЭК
Deckhouse Strongholdвыше всех: 84 баллов
39-84разброс оценок в классе
Проверено экспертной редакцией SecRadar · по первоисточникам ФСТЭК / ФСБ / Банка России
Ниже разобрано 6 наиболее заметных российских решений класса: вендор, номер реестра, статус сертификата ФСТЭК России и какой зарубежный аналог заменяют. Всё на проверяемых данных.
Редакция SecRadar · как мы проверяем факты → Обновлено 27 сентября 2026 ✓ данные из Реестра российского ПО и Госреестр СЗИ ФСТЭК
Российский аналог зарубежного Управление секретами
Прямое сопоставление ушедших зарубежных решений с российскими из реестра. Маппинг — оценка редакции по классу задач и присутствию на рынке, не формальная сертификация «один-в-один».
заменяем HashiCorp Vault
↓
Deckhouse Stronghold, StarVault, ЦУП 2.0
заменяем CyberArk Conjur
↓
АС «Управление секретами», StarVault
заменяем 1Password Business / Bitwarden
↓
«Пассворк», HASPBOX
Сравнение российских решений
4 решения · класс 03.12 · ещё 2 продукта без оценкиКакие решения класса «Управление секретами» лучшие и кто в топе рынка — ниже рейтинг 4 решений (ещё 2 продукта — без оценки: документацию вендора прочитать не удалось) по прозрачному скору SecRadar, без пользовательских отзывов. Скор — покрытие функций, статус сертификата ФСТЭК России и присутствие на рынке (оценка редакции). Реестр РПО и сертификаты ФСТЭК России проверяйте по официальным реестрам — ссылки в ячейках и футере.
↔ таблицу можно прокрутить вбок
| Продукт | Вендор | Оценка | Ранг | Реестр РПО | Статус ФСТЭК России | Заменяет |
|---|---|---|---|---|---|---|
| Deckhouse Stronghold | Флант (АО «Флант») | 84 | вне рейтинга CNews′25 | реестр РПО | ФСТЭК России №5038 до 2031-02-101 | Корпоративное хранилище секретов: замена HashiCorp Vault Enterprise |
| Пассворк | Пассворк (ООО «Пассворк») | 74 | вне рейтинга CNews′25 | реестр РПО | ФСТЭК России №5063 до 2031-04-302 | Корпоративное хранилище паролей и секретов: замена 1Password Business, Bitwarden и Keeper |
| StarVault | Orion soft (ООО «ОРИОН») | 69 | вне рейтинга CNews′25 | реестр РПО | нет серта3 | Хранилище секретов для гибридной инфраструктуры: замена HashiCorp Vault и CyberArk Conjur |
| HASPBOX | HASPBOX | 39 | вне рейтинга CNews′25 | нет в реестре | нет серта4 | Единое хранилище пользовательских и инфраструктурных секретов: замена связки 1Password Business и HashiCorp Vault |
Видите ошибку в строке своего продукта?
Напишите на info@secradar.ru — проверим и исправим, указав дату правки. Так уже поправлены оценки нескольких вендоров.
Оценку меняем только по проверяемому источнику: ссылка на документацию, руководство администратора или отраслевое сравнение. «У нас это есть» без источника не подойдёт — по такому утверждению читатель не сможет проверить нас так же, как проверяет вендора. Место в рейтинге не продаётся, размещение значка на оценку не влияет: как мы проверяем факты.
Без оценки: балл не считается
2 продуктаС 21.09.2026 балл в классе считается только по строкам, оценка которых стоит на документации вендора. Продукты ниже остаются в каталоге, но без балла: сопоставимого источника по ним нет. Как только документация появляется или её присылает вендор, строка возвращается в расчёт.
Это ваш продукт? Его можно вернуть в расчётПришлите руководство администратора или доступ к порталу документации — обычно возвращаем строку в тот же день. Подойдёт и непубличный документ: мы его не выкладываем, в источнике пишем «руководство версии N, предоставлено вендором». Место в рейтинге не продаётся, и сама пометка о присланных документах на оценку не влияет — влияет только то, что в документе написано. Написать на info@secradar.ru
- ЦУП 2.0 — ЭйТи Консалтинг (ООО «ЭйТи Консалтинг»): открытой документации нет: на сайте «ЭйТи Консалтинг» продукт значится в перечне, но страницы с руководствами у него нет. В реестре ПО и в сертификате ФСТЭК №4921 продукт называется «Центр управления пользователями» — по названию это не менеджер секретов, хотя обзор рынка описывает у него хранение и распространение секретов это наш продукт →
- АС «Управление секретами» — Сбербанк (ПАО Сбербанк): открытой документации нет: продукт Сбербанка для внутреннего контура, публичных руководств не публикуется это наш продукт →
Почему это важно не только для рейтинга: документация, закрытая от машин, невидима и для ИИ-ассистентов, у которых покупатели всё чаще спрашивают про класс. Как это выглядит со стороны ассистента — в исследовании «ИИ — третий читатель вашего сайта».
Функциональность: что подтверждено документацией
Критерии в этом классе ВЗВЕШЕНЫ: критичный весит 3, важный 2, дополнительный 1, и у каждого написано, почему ему дан такой вес. Так поддержка условия внедрения не приравнивается к редкой дополнительной функции. Вес назначает редакция — это наше решение, а не заявление вендора. Ось «возможности» в рейтинге этого класса считается ПРЯМО ИЗ ЭТОЙ ТАБЛИЦЫ: доля подтверждённых признаков и есть балл, редакционной оценки здесь нет. Оценка ставится только при наличии источника: ✓ — функция описана в документации вендора, ½ — описана частично или с оговоркой, «—» — искали и не нашли, «·» — не проверяли. «Не проверяли» означает, что мы не нашли публичного описания, а не что функции нет: глубина доступных источников у вендоров разная, и это само по себе результат измерения.
Откуда данные. Класс заведён 02.09.2026 по обзору рынка Anti-Malware от 15.05.2026 — до этого его у нас не было вовсе. Проверены все шесть продуктов, которые обзор относит к российскому рынку. Формат описательный: отсутствие функции означает, что редакция о ней не написала. Регуляторный статус взят не из обзора, а из свежего среза Госреестра ФСТЭК.
Нажмите на подчёркнутую оценку в матрице, чтобы открыть её обоснование. «Уточнить эту оценку» подготовит письмо редакции — отправить его нужно в почтовой программе.
| Решение | Типы хранимых секретов | Автоматическая ротация | Политики доступа и ролевая модель | Аудит и передача в SIEM | Доступ через API, CLI и интерфейс | Встраивание в CI/CD и контейнеры | Совместимость с Vault API | Отказоустойчивость и распечатывание | Мультитенантность и изоляция | Действующий сертификат ФСТЭК | Подтверждено |
|---|---|---|---|---|---|---|---|---|---|---|---|
| Deckhouse Stronghold документация | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | 10 из 10 |
| Пассворк документация | ✓ | ½ | ✓ | ✓ | ✓ | ✓ | — | ✓ | ½ | ✓ | 8 из 10 |
| StarVault документация | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | — | 9 из 10 |
| HASPBOX документация | ✓ | ✓ | ✓ | ½ | ½ | — | — | — | — | — | 4 из 10 |
| АС «Управление секретами» отраслевой обзор | ✓ | ✓ | ✓ | ✓ | ✓ | — | — | — | — | — | 5 из 10 |
| ЦУП 2.0 отраслевой обзор | ✓ | — | ✓ | ½ | ✓ | ✓ | — | ✓ | ✓ | ✓ | 7.5 из 10 |
Что показала таблица. Класс раскалывается по происхождению продукта, и это видно по строкам. Deckhouse Stronghold и StarVault выросли как замена HashiCorp Vault и единственные заявляют совместимость с Vault API — то есть дают путь миграции без переписывания приложений. «Пассворк» пришёл с другой стороны, из менеджеров паролей, и до сих пор не описывает автоматическую ротацию: он хранит и выдаёт, но не меняет. АС «Управление секретами» — наоборот, самый сильный именно в ротации: единственный, кто перечисляет, что ротирует (учётные данные Active Directory, FreeIPA, баз данных Pangolin, Cassandra, MongoDB, сертификаты и ключи RSA) и умеет доставлять новый секрет без прерывания сервиса, — но не встраивается в конвейеры сборки и не описывает отказоустойчивость. Общий пробел: передачу событий в SIEM описывают четверо из шести, а вот совместимость с Vault API — только двое, и для организации, уже живущей на Vault, это единственный практический критерий выбора.
✓ подтверждено½ частично— не найдено— вендор заявляет осознанный отказ· не проверяли
На чём стоит строка:документацияподтв. вендоромреестротраслевой обзорстраница продуктане оценивалось
Балл считается одинаково независимо от источника — но источники разной силы, и мы показываем какой. Руководство администратора проверяемо по разделу, отраслевой обзор пересказывает вендора, рекламная страница не обязана быть полной. «Не оценивалось» означает, что признаки у строки не проставлены ни по одному источнику: продукт в каталоге есть, а разбора ещё нет. Это наш пробел, и он виден намеренно.
- Типы хранимых секретовкритичный — Названы конкретные типы — пароли, API-ключи, сертификаты, SSH-ключи
Почему такой вес: перечень типов хранимых секретов — определение класса - Автоматическая ротациякритичный — Секреты меняются автоматически, а не только хранятся
Почему такой вес: без автоматической ротации хранилище превращается в защищённый архив вечных паролей - Политики доступа и ролевая моделькритичный — Настраиваемые роли и политики выдачи секретов
Почему такой вес: политики доступа и ролевая модель решают, кому какой секрет доступен, — это ядро продукта - Аудит и передача в SIEMважный — Журнал обращений плюс отправка событий во внешнюю систему мониторинга
Почему такой вес: аудит и передача в SIEM нужны для контроля обращений к секретам - Доступ через API, CLI и интерфейсважный — Все три способа работы с хранилищем, а не только веб-консоль
Почему такой вес: доступ через API и CLI определяет, встроится ли хранилище в автоматизацию - Встраивание в CI/CD и контейнерыважный — Выдача секретов конвейерам сборки и приложениям в оркестраторах
Почему такой вес: встраивание в CI/CD и контейнеры — основной современный сценарий использования - Совместимость с Vault APIважный — Заявлена поддержка интерфейса HashiCorp Vault — путь миграции без переписывания приложений
Почему такой вес: совместимость с Vault API определяет стоимость миграции с зарубежного решения - Отказоустойчивость и распечатываниеважный — Кластер высокой доступности и механизм разблокировки хранилища после перезапуска
Почему такой вес: отказоустойчивость и процедура распечатывания критичны: недоступное хранилище останавливает приложения - Мультитенантность и изоляциядополнительный — Изолированные пространства или зоны для разных команд и систем
Почему такой вес: мультитенантность нужна сервис-провайдерам и крупным холдингам - Действующий сертификат ФСТЭКдополнительный — В Госреестре ФСТЭК есть не истёкший сертификат именно на этот продукт
Почему такой вес: сертификат — статус документа, а не функция
Проверьте нас. Под каждой оценкой ✓ и ½ ниже указан источник — конкретная страница документации вендора или отраслевого сравнения, по которой мы её поставили. Оценка без источника в таблицу не попадает: это проверяется автоматически при сборке сайта. Место в рейтинге не продаётся, и размещение значка вендором на оценку не влияет.
Источники под каждой оценкой (46)
| Решение | Признак | Чем подтверждено |
|---|---|---|
| Deckhouse Stronghold | Типы хранимых секретов | «безопасное хранение и управление жизненным циклом конфиденциальных данных (секретов)», хранилище в формате key-value; отдельные механизмы секретов — PKI (выпуск сертификатов), динамические учётные данные баз данных, KV v1 и v2[1]Уточнить эту оценку ↗ |
| Deckhouse Stronghold | Автоматическая ротация | раздел «Динамические секреты и управление жизненным циклом»: «выдача динамических учётных данных для внешних систем; управление сроком действия секретов»; для каждого динамического секрета создаётся аренда (lease) с TTL, продлением и отзывом[1]Уточнить эту оценку ↗ |
| Deckhouse Stronghold | Политики доступа и ролевая модель | политики доступа с тонкой настройкой по путям: «Возможности, связанные с настройкой путей, имеют приоритет перед…»; шаблонные политики с подстановкой атрибутов личности; управление ролями и политиками через веб-интерфейс[1]Уточнить эту оценку ↗ |
| Deckhouse Stronghold | Аудит и передача в SIEM | раздел «Аудит»: «Stronghold поддерживает те же базовые бэкенды аудита, что и Vault: file — запись в файл; syslog — отправка в локальный syslog-агент; socket — отправка в TCP-, UDP- или UNIX-сокет», плюс управление устройствами аудита через sys/audit[1]Уточнить эту оценку ↗ |
| Deckhouse Stronghold | Доступ через API, CLI и интерфейс | HTTP API с полным перечнем путей (sys/audit, sys/auth, sys/policy и др.), команда d8 stronghold в CLI и веб-интерфейс управления ролями и политиками[1]Уточнить эту оценку ↗ |
| Deckhouse Stronghold | Встраивание в CI/CD и контейнеры | агент Stronghold подставляет секреты в конфигурационные файлы приложений («Legacy приложения, читающие конфигурационные файлы. Приложения без поддержки Stronghold/Vault API»), аутентификация приложений по service account Kubernetes, установка в Deckhouse Kubernetes Platform[1]Уточнить эту оценку ↗ |
| Deckhouse Stronghold | Совместимость с Vault API | «Хранилище секретной информации реализовано в формате key-value и совместимо с HashiCorp Vault API» — прямая цитата с главной страницы документации[1]Уточнить эту оценку ↗ |
| Deckhouse Stronghold | Отказоустойчивость и распечатывание | «Встроенное автоматическое распечатывание хранилища (auto unseal) без использования внешних сервисов и KMS», «Поддержка конфигураций с высокой доступностью (HA)», межкластерная репликация KV1/KV2, Performance и DR, автоматические резервные копии по расписанию[1]Уточнить эту оценку ↗ |
| Deckhouse Stronghold | Мультитенантность и изоляция | «Поддержка неймспейсов»; политики умеют адресовать пространство имён учётной записи Kubernetes через шаблон identity.entity.aliases[1]Уточнить эту оценку ↗ |
| Deckhouse Stronghold | Действующий сертификат ФСТЭК | сертификат ФСТЭК на продукт — по срезу Госреестра; проверяется гейтом check_cert_expiry, источник не документация вендораУточнить эту оценку ↗ |
| Пассворк | Типы хранимых секретов | двухуровневая структура: сейф — «основной контейнер для группировки записей», типы — корпоративные и личные; отдельные разделы про ротацию паролей баз данных и API-ключей, вложенные файлы и мастер-ключ[2]Уточнить эту оценку ↗ |
| Пассворк | Автоматическая ротация | частично. Встроенная ротация есть только для собственных токенов доступа: «два эндпоинта API для отдельного обновления accessToken и refreshToken». Для внешних систем автоматической ротации нет — раздел называется «Практика ротации секретов» и предлагает писать свои скрипты: «Сначала обновите пароль в целевой системе (БД, сервис), затем в Пассворке», с примерами на bash и Python для PostgreSQL и MySQL[2]Уточнить эту оценку ↗ |
| Пассворк | Политики доступа и ролевая модель | раздел «Политики доступа к сейфам»; права доступа как атрибут сейфа («список пользователей и их прав»); интеграция с Active Directory по LDAP и SSO через SAML, Azure AD, Keycloak и Google[2]Уточнить эту оценку ↗ |
| Пассворк | Аудит и передача в SIEM | раздел «Журнал событий: аудит, syslog и Event Viewer»; в API есть выгрузка журналов и эндпоинт /activity-logs/syslog/formatter-types/list[2]Уточнить эту оценку ↗ |
| Пассворк | Доступ через API, CLI и интерфейс | все три способа: HTTP API со схемой OpenAPI, консольная утилита passwork-cli (в том числе Docker-образ), веб-интерфейс плюс десктопные и мобильные приложения[2]Уточнить эту оценку ↗ |
| Пассворк | Встраивание в CI/CD и контейнеры | раздел «Интеграции с CI/CD: GitLab CI, GitHub Actions, Kubernetes», отдельно пример для Bitbucket Pipelines и Docker-образ passwork-cli для конвейеров[2]Уточнить эту оценку ↗ |
| Пассворк | Отказоустойчивость и распечатывание | отдельный раздел «Отказоустойчивость»; база разворачивается репликационным набором MongoDB (replica set из трёх узлов), описаны резервное копирование и пороговое восстановление доступа к сейфам по схеме Шамира (M из N)[2]Уточнить эту оценку ↗ |
| Пассворк | Мультитенантность и изоляция | частично: изоляция строится сейфами с собственным ключом шифрования и списком прав, есть корпоративные и личные сейфы, но отдельных пространств или организаций для разных команд в документации нет[2]Уточнить эту оценку ↗ |
| Пассворк | Действующий сертификат ФСТЭК | запись в реестре российского ПО и сертификат — источник реестровый, не документация вендораУточнить эту оценку ↗ |
| StarVault | Типы хранимых секретов | «StarVault — это инструмент для управления конфиденциальной информацией, обеспечивающий централизованное хранение и эффективное управление доступом к таким секретам, как токены, пароли, сертификаты и ключи шифрования»[3]Уточнить эту оценку ↗ |
| StarVault | Автоматическая ротация | разделы «Ротация ключей» и «Аренда, обновление и отзыв»; механизмы динамических секретов для баз данных Cassandra, InfluxDB, MySQL/MariaDB, Oracle, PostgreSQL, а также LDAP и PKI[3]Уточнить эту оценку ↗ |
| StarVault | Политики доступа и ролевая модель | разделы «Политики доступа», «Идентификация», «Блокировка пользователей»; методы аутентификации — AppRole, сертификат, JWT, Kerberos, Kubernetes, LDAP, OIDC, RADIUS, Login MFA[3]Уточнить эту оценку ↗ |
| StarVault | Аудит и передача в SIEM | раздел «Аудит» с отдельными страницами «Устройство для файлового аудита», «Устройство аудита Syslog», «Устройство аудита Socket» и «Примеры событий в StarVault»; отдельно описана телеметрия и метрики[3]Уточнить эту оценку ↗ |
| StarVault | Доступ через API, CLI и интерфейс | StarVault API на порту 8200 с полным перечнем системных путей (/sys/namespaces, /sys/audit, /sys/policy и др.), командная строка (starvault server), веб-интерфейс (блок конфигурации ui)[3]Уточнить эту оценку ↗ |
| StarVault | Встраивание в CI/CD и контейнеры | «возможна инсталляция как внутри Kubernetes, так и на отдельных ВМ»; отдельные разделы по установке в Kubernetes через HELM, агент с генерацией конфигураций и режимом супервизора, утилиты StarVault Shuttle и SSH Agent[3]Уточнить эту оценку ↗ |
| StarVault | Совместимость с Vault API | API повторяет пути HashiCorp Vault (/sys/*), есть тестовый режим starvault server -dev и отдельный раздел «Миграция секретов из Vault в StarVault»[3]Уточнить эту оценку ↗ |
| StarVault | Отказоустойчивость и распечатывание | раздел «Установка в режиме высокой доступности (HA)», репликация по Raft между серверами (порт 8201), раздел «Запечатывание/распечатывание хранилища» и «Распечатывание с помощью pkcs11»[3]Уточнить эту оценку ↗ |
| StarVault | Мультитенантность и изоляция | разделы «Пространства имен» и «Использование пространств имен», управление через API-путь /sys/namespaces — по документации функция есть, хотя обзор рынка её не упоминал[3]Уточнить эту оценку ↗ |
| HASPBOX | Типы хранимых секретов | «ПО HASPBOX — это инструмент для хранения и управления паролями и секретами на основе парольных политик»; раздел «Мои хранилища» содержит секреты в виде «Описание, ключ и значение» — HASPBOX, руководство пользователя (13 с.), руководство по установке (10 с.) и описание функциональных характеристик (7 с.), haspbox.ru/docsУточнить эту оценку ↗ |
| HASPBOX | Автоматическая ротация | в терминах системы назван «Модуль ротации и управления секретами», а объект управления доступом — «База данных, система виртуализации или служба, для которой производится ротация паролей учётных записей» — HASPBOX, руководство пользователя (13 с.), руководство по установке (10 с.) и описание функциональных характеристик (7 с.), haspbox.ru/docsУточнить эту оценку ↗ |
| HASPBOX | Политики доступа и ролевая модель | разделы «Управление доступом», «Пользователи», «Группы», «Роли», «Парольные политики» — HASPBOX, руководство пользователя (13 с.), руководство по установке (10 с.) и описание функциональных характеристик (7 с.), haspbox.ru/docsУточнить эту оценку ↗ |
| HASPBOX | Аудит и передача в SIEM | есть раздел «Журнал событий» и «мониторинг событий» среди требований к жизненному циклу, но передача событий во внешнюю систему мониторинга в руководствах не описана — HASPBOX, руководство пользователя (13 с.), руководство по установке (10 с.) и описание функциональных характеристик (7 с.), haspbox.ru/docsУточнить эту оценку ↗ |
| HASPBOX | Доступ через API, CLI и интерфейс | есть веб-интерфейс и компонент haspbox.api, который «обеспечивает функциональные возможности межпрограммного взаимодействия с внешними системами»; отдельной командной строки в руководствах нет — HASPBOX, руководство пользователя (13 с.), руководство по установке (10 с.) и описание функциональных характеристик (7 с.), haspbox.ru/docsУточнить эту оценку ↗ |
| АС «Управление секретами» | Типы хранимых секретов | «автоматическая ротация учётных данных Active Directory (AD), FreeIPA, баз данных (Pangolin, Cassandra, MongoDB и других), а также сертификатов открытого ключа и ключей RSA»[4]Уточнить эту оценку ↗ |
| АС «Управление секретами» | Автоматическая ротация | «управление типизированными секретами с автоматической ротацией и возможностью принудительного перевыпуска»; отдельно — «отзыв (удаление) секретов без возможности их восстановления» и «безопасная доставка секретов на ресурсы… без необходимости прерывания сервиса»[4]Уточнить эту оценку ↗ |
| АС «Управление секретами» | Политики доступа и ролевая модель | «контроль доступа реализован с применением методов аутентификации, списков контроля доступа (ACL) и соответствующих политик»; «гибкая система разграничения доступа на основе ролевой модели»[4]Уточнить эту оценку ↗ |
| АС «Управление секретами» | Аудит и передача в SIEM | «аудит доступа ведётся с регистрацией событий и возможностью их передачи в подсистему контроля безопасности (ПКБ)»[4]Уточнить эту оценку ↗ |
| АС «Управление секретами» | Доступ через API, CLI и интерфейс | «взаимодействие с системой осуществляется через графический интерфейс и API»[4]Уточнить эту оценку ↗ |
| ЦУП 2.0 | Типы хранимых секретов | «безопасное хранение и распространение секретов»; отдельно — «выпуск сертификатов с использованием движка PKI»; полный перечень типов секретов не приведён[4]Уточнить эту оценку ↗ |
| ЦУП 2.0 | Политики доступа и ролевая модель | «настраиваемая ролевая модель позволяет самостоятельно формировать роли и политики для точного распределения полномочий»[4]Уточнить эту оценку ↗ |
| ЦУП 2.0 | Аудит и передача в SIEM | «использование учётных данных журналируется»; система «передаёт подробные метрики операционной телеметрии в систему сбора показателей» — это мониторинг производительности, а не передача событий безопасности в SIEM[4]Уточнить эту оценку ↗ |
| ЦУП 2.0 | Доступ через API, CLI и интерфейс | «интегрируется со всеми технологиями ИТ-ландшафта компании… и различные языки программирования»; работа идёт программно из приложений всех типов[4]Уточнить эту оценку ↗ |
| ЦУП 2.0 | Встраивание в CI/CD и контейнеры | «интегрируется с популярными системами непрерывной интеграции и доставки»; «обеспечивает взаимодействие всех типов приложений, от классических до микросервисных, в контейнерах и оркестраторах»[4]Уточнить эту оценку ↗ |
| ЦУП 2.0 | Отказоустойчивость и распечатывание | «быстрое распечатывание хранилища (fast unseal), оперативный переезд в случае выхода из строя кластера»; вертикальное и горизонтальное масштабирование[4]Уточнить эту оценку ↗ |
| ЦУП 2.0 | Мультитенантность и изоляция | «поддержка мультитенантности, построения отдельных изолированных зон»[4]Уточнить эту оценку ↗ |
| ЦУП 2.0 | Действующий сертификат ФСТЭК | сертификат № 4921 на «Центр управления пользователями (ЦУП)» действует до 25.03.2030; срез Госреестра сертифицированных СЗИ ФСТЭК России от 25.08.2026 (source-raw/snapshots/2026-08-25/fstec-reg3.csv)Уточнить эту оценку ↗ |
Источники, на которые ссылаются номера в таблице
- [1] документация вендора deckhouse.ru/products/stronghold/documentation/ (обход 21.09.2026, 150 страниц)
- [2] документация вендора passwork.ru/docs/ версии 7.0 (обход 21.09.2026, 83 страницы; сайт отдаёт документацию только браузеру)
- [3] документация вендора wiki.orionsoft.ru/starvault/latest/ (обход 21.09.2026, 200 страниц, версия 1.5)
- [4] обзор рынка Anti-Malware «Системы управления секретами 2026: российские решения для хранения и ротации» от 15.05.2026, anti-malware.ru/analytics/Market_Analysis/Secrets-management-systems
Где мы искали и не нашли (14)
Знак «—» в таблице означает, что функцию искали и не нашли. Ниже сказано, где именно искали: в каком документе, какой версии и по каким словам. Если функция есть, а мы её пропустили — напишите, поправим по первоисточнику.
| Решение | Признак | Где искали |
|---|---|---|
| Пассворк | Совместимость с Vault API | совместимость с HashiCorp Vault API не заявлена; в документации есть только импорт из Bitwarden — документация вендора passwork.ru/docs/ версии 7.0 (обход 21.09.2026, 83 страницы; сайт отдаёт документацию только браузеру)Уточнить эту оценку ↗ |
| StarVault | Действующий сертификат ФСТЭК | действующего сертификата ФСТЭК на продукт в срезе Госреестра не найдено; источник — реестр, не документация вендораУточнить эту оценку ↗ |
| HASPBOX | Встраивание в CI/CD и контейнеры | встраивание в конвейеры сборки и выдача секретов приложениям в оркестраторах в руководствах не описаны; искали — не нашли (обзор рынка утверждал обратное) — HASPBOX, руководство пользователя (13 с.), руководство по установке (10 с.) и описание функциональных характеристик (7 с.), haspbox.ru/docsУточнить эту оценку ↗ |
| HASPBOX | Совместимость с Vault API | совместимость с Vault API не заявлена; искали — не нашли — HASPBOX, руководство пользователя (13 с.), руководство по установке (10 с.) и описание функциональных характеристик (7 с.), haspbox.ru/docsУточнить эту оценку ↗ |
| HASPBOX | Отказоустойчивость и распечатывание | кластер высокой доступности и механизм распечатывания хранилища в руководствах не описаны; искали — не нашли — HASPBOX, руководство пользователя (13 с.), руководство по установке (10 с.) и описание функциональных характеристик (7 с.), haspbox.ru/docsУточнить эту оценку ↗ |
| HASPBOX | Мультитенантность и изоляция | изолированные пространства для разных команд не описаны; искали — не нашли — HASPBOX, руководство пользователя (13 с.), руководство по установке (10 с.) и описание функциональных характеристик (7 с.), haspbox.ru/docsУточнить эту оценку ↗ |
| HASPBOX | Действующий сертификат ФСТЭК | действующего сертификата ФСТЭК на продукт в срезе Госреестра не найдено; источник — реестр, не документация вендораУточнить эту оценку ↗ |
| АС «Управление секретами» | Встраивание в CI/CD и контейнеры | встраивание в конвейеры сборки и работа с контейнерами не описаны; искали — не нашли; обзор рынка Anti-Malware «Системы управления секретами 2026: российские решения для хранения и ротации» от 15.05.2026, anti-malware.ru/analytics/Market_Analysis/Secrets-management-systemsУточнить эту оценку ↗ |
| АС «Управление секретами» | Совместимость с Vault API | совместимость с Vault API не заявлена; искали — не нашли; обзор рынка Anti-Malware «Системы управления секретами 2026: российские решения для хранения и ротации» от 15.05.2026, anti-malware.ru/analytics/Market_Analysis/Secrets-management-systemsУточнить эту оценку ↗ |
| АС «Управление секретами» | Отказоустойчивость и распечатывание | отказоустойчивость и распечатывание хранилища не описаны; искали — не нашли; обзор рынка Anti-Malware «Системы управления секретами 2026: российские решения для хранения и ротации» от 15.05.2026, anti-malware.ru/analytics/Market_Analysis/Secrets-management-systemsУточнить эту оценку ↗ |
| АС «Управление секретами» | Мультитенантность и изоляция | изоляция пространств не описана; искали — не нашли; обзор рынка Anti-Malware «Системы управления секретами 2026: российские решения для хранения и ротации» от 15.05.2026, anti-malware.ru/analytics/Market_Analysis/Secrets-management-systemsУточнить эту оценку ↗ |
| АС «Управление секретами» | Действующий сертификат ФСТЭК | действующего сертификата ФСТЭК на продукт в срезе нет; в реестре российского ПО — запись № 30390 от 22.10.2025; срез Госреестра сертифицированных СЗИ ФСТЭК России от 25.08.2026 (source-raw/snapshots/2026-08-25/fstec-reg3.csv)Уточнить эту оценку ↗ |
| ЦУП 2.0 | Автоматическая ротация | автоматическая ротация секретов не описана; искали — не нашли; обзор рынка Anti-Malware «Системы управления секретами 2026: российские решения для хранения и ротации» от 15.05.2026, anti-malware.ru/analytics/Market_Analysis/Secrets-management-systemsУточнить эту оценку ↗ |
| ЦУП 2.0 | Совместимость с Vault API | совместимость с Vault API не заявлена; искали — не нашли; обзор рынка Anti-Malware «Системы управления секретами 2026: российские решения для хранения и ротации» от 15.05.2026, anti-malware.ru/analytics/Market_Analysis/Secrets-management-systemsУточнить эту оценку ↗ |
Примечания к строкам (6)
- Deckhouse Stronghold — Переоценено 21.09.2026 по документации вендора. Прежняя оценка стояла на обзоре рынка Anti-Malware.
- Пассворк — Переоценено 21.09.2026 по документации вендора версии 7.0. Прежняя оценка стояла на обзоре рынка Anti-Malware.
- StarVault — Переоценено 21.09.2026 по документации вендора. Прежняя оценка стояла на обзоре рынка Anti-Malware.
- HASPBOX — Переоценено 21.09.2026 по документации вендора. Прежняя оценка стояла на обзоре рынка Anti-Malware.
- АС «Управление секретами» — Без оценки с 21.09.2026: продукт Сбербанка для внутреннего контура, публичной документации нет.
- ЦУП 2.0 — Без оценки с 21.09.2026: открытой документации нет, клетки стоят на обзоре рынка. Отдельная странность: в реестре ПО (запись №5757) и в сертификате ФСТЭК №4921 продукт называется «Центр управления пользователями» — по имени это не менеджер секретов; при этом обзор описывает у него хранение и распространение секретов, PKI-движок, fast unseal и мультитенантность. Проверить по документации, когда она появится.
Как считаются эти таблицы и сколько функциональности российских СЗИ вообще описано публично — в исследовании «57% функциональности не описано публично».
Пометки к статусам ФСТЭК России
- Deckhouse Stronghold — Сертификат ФСТЭК России № 5038 на «Программное обеспечение «Deckhouse Stronghold»» действует до 10.02.2031 (срез Госреестра ФСТЭК от 25.08.2026). Реестр российского ПО — запись № 22339 от 24.04.2024, классы 05.02, 03.01, 03.12.
- Пассворк — Сертификат ФСТЭК России № 5063 на «Менеджер паролей «Пассворк»» действует до 30.04.2031 (срез Госреестра ФСТЭК от 25.08.2026). Реестр российского ПО — запись № 6147 от 10.01.2020, классы 03.01 и 03.12.
- StarVault — Действующего сертификата ФСТЭК на продукт в срезе Госреестра от 25.08.2026 не найдено. Реестр российского ПО — запись № 22639 от 24.05.2024, классы 03.01 и 03.12. Обзор отдельно отмечает соответствие пункту 5.15 ГОСТ Р 56939-2024 по безопасной разработке.
- HASPBOX — Ни записи в реестре российского ПО, ни сертификата ФСТЭК по нашим срезам найти не удалось; правообладатель по открытым данным не установлен.
факт проверяемый факт с источником реестр запись в госреестре, ссылка на карточку/поиск оценка редакционная оценка SecRadar
Номера сертификатов ФСТЭК России меняются при перерегистрации — проверяйте актуальный статус в источнике: Госреестр СЗИ ФСТЭК. Пользовательские отзывы в скоре не используются.
Частые вопросы
Чем управление секретами отличается от менеджера паролей?
Менеджер паролей рассчитан на человека: сотрудник открывает хранилище и копирует пароль. Система управления секретами рассчитана прежде всего на приложения: сервис сам запрашивает секрет по API в момент запуска, получает его на ограниченное время и никогда не хранит у себя. Граница подвижная — «Пассворк» вырос из менеджера паролей в систему управления секретами, а HASPBOX совмещает обе задачи в одном продукте.
Есть ли российские системы управления секретами с сертификатом ФСТЭК?
Да, на 02.09.2026 в Госреестре ФСТЭК есть действующие сертификаты у трёх решений: Deckhouse Stronghold (№ 5038 до 10.02.2031), «Пассворк» (№ 5063 до 30.04.2031) и ЦУП (№ 4921 до 25.03.2030). У StarVault и АС «Управление секретами» действующего сертификата в срезе нет.
Что заменяет HashiCorp Vault в России?
Deckhouse Stronghold и StarVault прямо заявляют совместимость с Vault: Stronghold реализует базовые функции Vault Community Edition, а в отдельных редакциях — возможности уровня Vault Enterprise; StarVault поддерживает Vault API и популярные бэкенды. Для высоконагруженных микросервисных ландшафтов ту же нишу закрывает ЦУП 2.0.
Зачем нужна ротация секретов?
Утёкший секрет сохраняет ценность ровно до тех пор, пока действует. Автоматическая ротация ограничивает окно, в котором украденный пароль или ключ ещё работает, и снимает главный риск долгоживущих учётных данных в конфигурационных файлах и репозиториях.