Le verdict en trois phrases
Pour une ETI de 1 400 salariés qui ouvre son portail à 900 distributeurs, l'intégration de Microsoft Entra ID (ex Azure AD) coûte de l'ordre de 8 000 à 18 000 € HT et se livre en 6 semaines. Les salariés se connectent avec leur compte Microsoft 365 habituel, les partenaires avec un compte externe protégé par MFA, et les droits sont pilotés par rôle et par distributeur. Côté licences, Entra External ID reste gratuit jusqu'à 50 000 utilisateurs actifs mensuels, ce qui couvre largement votre réseau.
Deux populations, deux mécanismes, une seule porte d'entrée
L'erreur classique consiste à créer des comptes locaux dans le portail pour les partenaires et à brancher le SSO uniquement pour les salariés. Résultat : deux bases d'identité, des mots de passe partagés chez les distributeurs et des comptes jamais désactivés après le départ d'un commercial partenaire.
L'architecture recommandée en 2026 repose sur le protocole OpenID Connect et deux types de comptes dans Entra :
| Population | Mécanisme Entra | Authentification | Cycle de vie |
|---|---|---|---|
| Salariés (1 400) | Tenant de l'ETI, SSO workforce | Compte Microsoft 365 + MFA existante | Piloté par les RH via l'annuaire |
| Partenaires équipés Microsoft 365 | Invitation B2B (compte invité) | Leur propre tenant, MFA de confiance | Revue d'accès trimestrielle |
| Partenaires sans Microsoft 365 | Entra External ID | Email + code unique ou mot de passe + MFA | Expiration après 90 jours d'inactivité |
| Administrateurs du portail | Rôle privilégié | MFA résistante au phishing (clé FIDO2) | Accès juste à temps |
| Comptes de service (API) | Identité d'application | Certificat, pas de mot de passe | Rotation annuelle |
Le portail ne stocke aucun mot de passe. Il reçoit un jeton signé contenant l'identité, le distributeur de rattachement et les rôles, puis applique ses propres règles d'affichage.
Gestion des rôles par partenaire : là où se joue le budget
La connexion SSO elle-même représente rarement plus de 30 % du budget. Le reste concerne le modèle de droits : un distributeur de Mulhouse ne doit voir que ses commandes, ses remises et ses documents, et son responsable doit pouvoir inviter ses propres collaborateurs sans passer par la DSI.
| Poste | Contenu | Ordre de grandeur 2026 (HT) |
|---|---|---|
| Configuration tenant et enregistrement d'application | OIDC, URL de retour, certificats | 1 500 à 2 500 € |
| Flux External ID personnalisés | Inscription, charte graphique, MFA | 1 500 à 3 500 € |
| Modèle de rôles (lecteur, acheteur, admin partenaire) | Claims dans le jeton, contrôle côté portail | 2 000 à 5 000 € |
| Délégation d'administration au partenaire | Le responsable invite et révoque ses équipes | 1 500 à 4 000 € |
| Accès conditionnel et journalisation | Blocage pays à risque, logs vers SIEM | 1 000 à 2 000 € |
| Recette, documentation, transfert DSI | Tests de bout en bout, runbook | 500 à 1 000 € |
| Total | 8 000 à 18 000 € |
Le haut de la fourchette correspond aux ETI qui veulent la délégation complète et une synchronisation des droits avec l'ERP (le partenaire suspendu pour impayé perd automatiquement l'accès aux commandes).
Coûts récurrents et licences
| Élément | Coût 2026 indicatif |
|---|---|
| Licences salariés | Déjà incluses dans Microsoft 365 E3 ou Business Premium |
| Entra External ID, 0 à 50 000 MAU | 0 € |
| Au-delà de 50 000 MAU | Facturation à l'usage par utilisateur actif |
| MFA par SMS pour partenaires | Option payante à l'usage, à éviter au profit de l'application Authenticator |
| Entra ID P2 pour revues d'accès avancées | Licence par administrateur concerné |
| Maintenance applicative | Selon contrat, voir la grille de maintenance |
Avec 900 distributeurs et environ 2 500 utilisateurs partenaires, vous restez très loin du seuil payant.
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Thomas, DSI d'une ETI industrielle à Strasbourg, gère aujourd'hui 2 500 comptes partenaires locaux sur l'ancien extranet. Son support reçoit en moyenne 140 demandes de réinitialisation de mot de passe par mois, à 12 minutes chacune : 28 heures mensuelles, soit 336 heures par an. À 45 € de coût horaire chargé, cela représente 15 120 € par an. L'audit révèle aussi 640 comptes d'anciens collaborateurs partenaires toujours actifs.
Projet retenu : 14 500 € HT d'intégration, licences External ID à 0 €. Avec l'auto-réinitialisation et l'expiration automatique, les demandes tombent à 25 par mois, soit 60 heures par an. Gain annuel : environ 12 400 €, retour sur investissement en 14 mois, et surtout la fermeture de 640 accès orphelins, ce qu'aucun calcul de temps ne valorise vraiment.
FAQ
Faut-il obligatoirement Microsoft 365 côté partenaires ?
Non. Les partenaires sans tenant Microsoft utilisent External ID avec email et code unique ou mot de passe, plus MFA. Environ 60 % des distributeurs PME sont dans ce cas.
OpenID Connect ou SAML ?
Pour un portail développé en 2026, OpenID Connect est le choix par défaut : plus simple, adapté aux applications web et mobiles. SAML reste utile pour brancher des applications anciennes, en complément.
Combien de temps pour la migration des comptes existants ?
Comptez 2 semaines dans les 6 du projet : import des 2 500 partenaires, envoi d'invitations par vague de 300 et accompagnement du support pendant 10 jours.
Comment éviter le blocage d'un partenaire qui perd son téléphone MFA ?
On prévoit deux méthodes MFA par compte et une procédure de récupération déléguée au responsable partenaire. Le délai de déblocage passe ainsi sous 30 minutes.
Le portail est-il conforme au RGPD ?
Entra stocke les identités dans des centres de données européens si le tenant est configuré en Europe. Il reste à documenter le registre de traitement et la durée de conservation, fixée par exemple à 90 jours après inactivité.
Parlons de votre projet. Nous cartographions vos populations d'utilisateurs, votre modèle de rôles et votre tenant Entra, puis livrons un plan d'intégration en 6 semaines. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
