Le verdict en trois phrases
Pour un éditeur B2B à Lyon, l'absence de SSO SAML et de gestion fine des rôles coûte des contrats : l'exigence figure dans environ 80 % des questionnaires sécurité des grands comptes. L'intégration SAML et OIDC coûte 6 000 à 15 000 EUR HT et prend 4 à 8 semaines, auxquels s'ajoute un fournisseur d'identité à 2 à 6 EUR par utilisateur et par mois si vous ne le développez pas vous-même. Un seul contrat grand compte gagné rembourse en général l'investissement, à condition de livrer aussi un journal d'audit exploitable.
Ce que les grands comptes exigent vraiment
Les DSI des groupes du CAC 40 et des ETI lyonnaises envoient des questionnaires de 80 à 300 questions. Les mêmes blocs reviennent à chaque fois.
| Exigence | Fréquence estimée dans les questionnaires | Ce qu'elle implique | Bloquant si absent |
|---|---|---|---|
| SSO SAML 2.0 (Entra ID, Okta, Google) | 80 % | Connexion via l'annuaire du client | Oui, le plus souvent |
| OIDC pour les applications modernes | 50 % | Standard OAuth 2.0, jetons JWT | Parfois |
| Provisionnement SCIM | 40 % | Création et suppression automatiques des comptes | Pour plus de 500 utilisateurs |
| Rôles et permissions configurables | 75 % | Lecture, édition, administration par module | Oui |
| Journal d'audit exportable | 65 % | Qui a fait quoi, quand, depuis quelle IP | Souvent |
| MFA imposée côté application | 60 % | Si le client n'utilise pas son SSO | Parfois |
| Hébergement UE et RGPD | 90 % | Localisation, sous-traitants, DPA | Oui |
Ces fréquences sont des ordres de grandeur observés sur des questionnaires 2025 et 2026, elles varient selon le secteur, plus élevées en banque et en santé.
Le coût de l'intégration
| Lot | Contenu | Durée | Budget indicatif (EUR HT) |
|---|---|---|---|
| SAML 2.0 | Connexion multi-tenant, métadonnées par client, tests avec 2 annuaires | 1 à 2 semaines | 2 000 à 4 500 |
| OIDC | Flux d'autorisation, rafraîchissement des jetons | 1 semaine | 1 000 à 2 500 |
| Modèle de rôles (RBAC) | Rôles par défaut, rôles personnalisés, permissions par module | 1 à 3 semaines | 1 500 à 4 000 |
| Journal d'audit | Événements, rétention 12 mois, export CSV | 1 semaine | 1 000 à 2 500 |
| Provisionnement SCIM (option) | Synchronisation avec l'annuaire client | 1 à 2 semaines | 1 500 à 3 500 |
| Documentation et console d'administration | Guide de configuration pour la DSI cliente | 0,5 à 1 semaine | 500 à 1 500 |
| Total hors SCIM | 4 à 8 semaines | 6 000 à 15 000 |
Ce sont des estimations 2026 du marché lyonnais pour une application déjà en production avec une architecture saine. Si l'authentification est codée en dur dans chaque écran, comptez 20 à 40 % de plus pour la refactoriser.
Développer ou acheter le fournisseur d'identité
| Option | Coût initial | Coût récurrent | Adapté à |
|---|---|---|---|
| Développement complet en interne | 6 000 à 15 000 EUR HT | Maintenance seule | Moins de 10 clients SSO, équipe expérimentée |
| Fournisseur d'identité du marché (Auth0, WorkOS, Okta CIC) | 2 000 à 5 000 EUR HT d'intégration | 2 à 6 EUR par utilisateur et par mois, ou forfait par connexion SSO | Croissance rapide, peu de temps |
| Solution open source auto-hébergée (Keycloak) | 4 000 à 10 000 EUR HT | Hébergement 50 à 200 EUR par mois + maintenance | Contraintes de souveraineté |
Pour 3 000 utilisateurs, un fournisseur à 3 EUR par utilisateur et par mois coûte 108 000 EUR par an : au-delà de quelques milliers d'utilisateurs, la solution auto-hébergée ou le développement interne redevient compétitif.
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Antoine, CTO d'un éditeur lyonnais de logiciel de gestion de maintenance de 25 salariés (persona illustratif), perd 3 appels d'offres en un an faute de SSO, pour un panier moyen de 45 000 EUR HT par an et par client. Il investit 11 000 EUR HT dans SAML, OIDC, rôles et journal d'audit, puis 6 000 EUR HT pour un Keycloak auto-hébergé, avec 150 EUR par mois d'hébergement. Coût de la première année : 18 800 EUR HT. S'il remporte un seul des 3 contrats similaires l'année suivante, le revenu de 45 000 EUR HT couvre plus de deux fois l'investissement.
FAQ
SAML ou OIDC : lequel implémenter en premier ?
SAML, parce que la majorité des grands comptes français l'exigent via Microsoft Entra ID ou Okta. OIDC s'ajoute ensuite en 1 semaine environ si l'architecture d'authentification est bien isolée.
Faut-il facturer le SSO aux clients ?
Beaucoup d'éditeurs le réservent à leur offre entreprise, avec un surcoût de 15 à 30 % sur l'abonnement. Cela rembourse le fournisseur d'identité et reflète le coût réel du support SSO, environ 2 à 4 heures par nouveau client.
Combien de temps faut-il pour connecter un nouveau client en SSO ?
Avec une console d'administration et une documentation claires, 1 à 3 heures côté éditeur. Sans elles, l'échange de métadonnées avec la DSI cliente peut durer 2 à 3 semaines.
Le journal d'audit doit-il être conservé longtemps ?
Les grands comptes demandent en général 12 mois de rétention, parfois 3 ans en banque ou en santé. Le stockage reste peu coûteux, de l'ordre de 10 à 50 EUR par mois pour une PME éditrice.
Le SSO suffit-il à passer un questionnaire sécurité ?
Non, il couvre environ 15 à 20 % des questions. Prévoyez aussi une politique de sauvegarde, un plan de réponse aux incidents et, pour les plus gros contrats, un test d'intrusion à 5 000 à 12 000 EUR HT.
Parlons de votre projet. Envoyez-nous votre stack technique et le questionnaire sécurité qui vous bloque : nous chiffrons l'intégration SSO, rôles et journal d'audit avec un calendrier de 4 à 8 semaines. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
