Le verdict en trois phrases
Ajouter le SSO Microsoft Entra ID à une application métier développée en interne coûte 4 000 à 12 000 € HT pour l'authentification en OIDC ou SAML, et environ 3 000 € HT de plus pour le provisionnement automatique SCIM. Le chantier dure 2 à 4 semaines et supprime les comptes locaux, donc les mots de passe oubliés et les comptes d'anciens salariés encore actifs. Quand 30 % des tickets support concernent les mots de passe, le retour sur investissement se compte en mois, et le gain de sécurité suffit souvent à justifier le budget.
OIDC, SAML et SCIM : quoi choisir
Le RSSI d'une ETI montpelliéraine de 400 salariés veut supprimer les identifiants locaux d'une application de gestion des interventions développée il y a six ans. Trois briques sont possibles.
| Brique | Rôle | Quand la choisir | Coût indicatif 2026 | Délai |
|---|---|---|---|---|
| OIDC (OpenID Connect) | Authentification moderne via jetons | Application web récente, API, mobile | 4 000 à 8 000 € HT | 1 à 2 semaines |
| SAML 2.0 | Authentification par assertions XML | Application ancienne, exigences d'un client grand compte | 6 000 à 12 000 € HT | 2 à 3 semaines |
| SCIM 2.0 | Création, mise à jour et suppression automatiques des comptes | Plus de 100 utilisateurs, rotation fréquente | +3 000 € HT environ | +1 semaine |
| Mappage des groupes Entra vers les rôles | Droits applicatifs pilotés par l'annuaire | Plus de 3 rôles métier | +1 500 à 3 000 € HT | +3 à 5 jours |
| Accès conditionnel et MFA | Règles Entra (appareil conforme, localisation) | Données sensibles, NIS 2 | Paramétrage côté Entra, 0,5 à 2 jours | Inclus |
| Suppression des comptes locaux | Migration et compte de secours | Toujours | 1 000 à 2 500 € HT | 2 à 4 jours |
Pour une application web récente, OIDC est le bon défaut. SAML reste pertinent si le code est ancien ou si un client exige ce protocole.
Les étapes du projet
| Étape | Contenu | Durée | Risque principal |
|---|---|---|---|
| 1. Audit de l'existant | Gestion des sessions, rôles, comptes de service | 1 à 2 jours | Comptes techniques oubliés |
| 2. Enregistrement de l'application dans Entra | Redirections, secrets ou certificats, revendications | 0,5 jour | Secret expiré non surveillé |
| 3. Développement OIDC ou SAML | Bibliothèque éprouvée, validation des jetons | 3 à 8 jours | Validation de signature incomplète |
| 4. Mappage des rôles | Groupes Entra vers rôles applicatifs | 2 à 4 jours | Droits excessifs par défaut |
| 5. SCIM | Point d'accès de provisionnement | 4 à 6 jours | Désactivation tardive des départs |
| 6. Recette et bascule | Pilote 20 utilisateurs puis généralisation | 3 à 5 jours | Blocage général sans compte de secours |
Deux règles de sécurité non négociables : utiliser une bibliothèque maintenue plutôt que valider les jetons à la main, et conserver un compte de secours local, protégé et journalisé, en cas d'indisponibilité d'Entra.
Le gain de sécurité
Un compte local non désactivé après un départ est l'une des failles les plus courantes dans les applications internes. Avec SCIM, la désactivation dans Entra se propage à l'application en moins de 40 minutes, au lieu de dépendre d'une demande manuelle au support. L'authentification multifacteur et l'accès conditionnel d'Entra s'appliquent automatiquement, sans développement supplémentaire. Pour une entreprise concernée par NIS 2, c'est aussi une preuve concrète de maîtrise des accès lors d'un audit.
Mini cas pratique
Nadia, RSSI d'une ETI de services techniques de 400 salariés à Montpellier, chiffre le projet : OIDC 7 000 € HT, SCIM 3 000 € HT, mappage de 5 rôles 2 000 € HT, soit 12 000 € HT. L'application génère 160 tickets par mois, dont 30 % liés aux mots de passe, soit 48 tickets. À 20 minutes de traitement et 45 € de coût horaire chargé, cela représente 8 640 € par an. S'y ajoutent les 60 départs annuels gérés à la main, 30 minutes chacun, soit 1 350 €, et le temps perdu par les utilisateurs bloqués, estimé à 3 500 €. Gain annuel : environ 13 500 €, pour un retour sur investissement en 11 mois, sans compter le risque évité d'un accès par un ancien salarié.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
FAQ
Faut-il une licence Entra particulière ?
Le SSO OIDC ou SAML fonctionne avec Entra ID Free inclus dans Microsoft 365. L'accès conditionnel exige Entra ID P1, environ 6 € par utilisateur et par mois, souvent déjà inclus dans Microsoft 365 Business Premium ou E3.
Combien de temps les utilisateurs sont-ils perturbés ?
Avec un pilote de 20 personnes sur une semaine puis une bascule un lundi matin, l'interruption est quasi nulle. Prévoir une communication de 2 lignes et une FAQ interne suffit dans 90 % des cas.
SCIM est-il indispensable ?
En dessous de 100 utilisateurs et avec peu de rotation, le provisionnement à la première connexion (JIT) suffit. Au-delà, les 3 000 € HT de SCIM se rentabilisent par la seule désactivation automatique des départs.
Peut-on garder des comptes externes pour les prestataires ?
Oui, via les invités Entra B2B, sans recréer de comptes locaux. Leur accès peut être limité dans le temps, par exemple 90 jours renouvelables.
Que se passe-t-il si Entra est indisponible ?
Les interruptions d'Entra restent rares, avec un engagement de 99,99 %. Le compte de secours local, réservé à 1 ou 2 administrateurs avec MFA matérielle, couvre ce cas.
Parlons de votre projet. Décrivez votre application, son âge technique et le nombre d'utilisateurs : nous chiffrons l'intégration Entra en OIDC ou SAML, avec SCIM si utile, budget indicatif et délai de 2 à 4 semaines. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
