Le verdict en trois phrases
Une ETI de 900 salariés qui impose 6 identifiants différents à ses équipes paie la facture en tickets de support, en mots de passe notés sur des post-it et en comptes jamais désactivés après un départ. Entra ID P1, à environ 6 € par utilisateur et par mois, est le choix évident si vous possédez déjà les licences Microsoft 365 qui l'incluent, alors que Keycloak auto-hébergé, sans licence mais avec 2 à 4 jours de TMA par trimestre, revient quatre à huit fois moins cher sur 3 ans dans le cas contraire. Dans les deux cas, le projet d'authentification unique se mène en 6 à 10 semaines, avec la MFA obligatoire pour les accès distants dès le premier jour.
Ce que coûtent six logins aujourd'hui
Le coût d'un parc d'applications sans SSO est diffus, mais il se mesure. Dans une ETI industrielle ou de services à Rennes, les six applications typiques sont l'ERP, le logiciel RH et paie, le CRM, l'outil qualité, l'intranet et une application métier développée sur mesure.
| Symptôme | Mesure typique pour 900 salariés | Impact estimé 2026 |
|---|---|---|
| Tickets de réinitialisation de mot de passe | 120 à 160 par mois | 30 à 40 heures de support par mois |
| Temps perdu à se reconnecter | 1 à 2 minutes par salarié et par jour | 3 150 à 6 300 heures par an |
| Comptes actifs après départ | 5 à 15 % des comptes d'une application | Risque de fuite et d'accès illégitime |
| Mots de passe réutilisés entre applications | Plus de 50 % des utilisateurs | Une fuite compromet les six outils |
| Accès distants sans second facteur | Fréquent sur les applications métiers | Non-conformité aux recommandations de l'ANSSI |
| Audit des droits | 3 à 5 jours par an, application par application | Revue manuelle incomplète |
Avec l'entrée en vigueur progressive des obligations issues de NIS2, une ETI qualifiée d'entité importante doit démontrer une gestion des identités et des accès maîtrisée. Le SSO avec MFA est la brique la plus visible de cette démonstration.
Entra ID ou Keycloak : le comparatif sur 3 ans
Les deux solutions parlent les mêmes protocoles, OpenID Connect et SAML, et gèrent la MFA. La différence se joue sur le modèle économique, l'hébergement et la dépendance à l'écosystème Microsoft.
| Poste sur 3 ans | Entra ID P1 (licence seule) | Entra ID inclus dans M365 E3 ou E5 | Keycloak auto-hébergé |
|---|---|---|---|
| Licences | 900 × 6 € × 36 mois = 194 400 € | 0 € supplémentaire | 0 € |
| Hébergement | Inclus | Inclus | Environ 200 € par mois en haute disponibilité, soit 7 200 € |
| Exploitation et mises à jour | Faible, géré par Microsoft | Faible | 2 à 4 jours de TMA par trimestre à 700 €, soit 16 800 à 33 600 € |
| Intégration OIDC des 6 applications | 4 000 à 8 000 € HT | 4 000 à 8 000 € HT | 4 000 à 8 000 € HT |
| Total 3 ans hors intégration | 194 400 € | 0 € | 24 000 à 40 800 € |
| Points forts | Accès conditionnel, intégration Office | Aucun surcoût | Souveraineté, hébergement en France, personnalisation |
| Points faibles | Coût par utilisateur | Dépendance à l'offre Microsoft | Compétences internes ou TMA nécessaires |
L'intégration est le poste le plus variable. Une application récente qui supporte OIDC se connecte en une à deux journées. Une application ancienne qui ne gère que son propre annuaire demande un développement spécifique ou un reverse proxy d'authentification, soit 3 à 6 jours. Pour votre application métier développée sur mesure, l'ajout d'OIDC est en général un petit lot de quelques jours inclus dans la maintenance évolutive.
Le déroulé type en 6 à 10 semaines
La première étape, d'une à deux semaines, consiste à inventorier les applications, les annuaires sources et les rôles. La deuxième installe le fournisseur d'identité, branché sur l'Active Directory ou l'annuaire RH, avec la MFA par application mobile ou clé FIDO2 pour les administrateurs. La troisième connecte les applications une par une, en commençant par l'intranet et le CRM, les moins risquées. La quatrième bascule les utilisateurs par vagues de 100 à 200 personnes, avec un support renforcé. La dernière formalise le processus de départ : la désactivation dans l'annuaire RH coupe instantanément l'accès aux six outils.
Sur la MFA, la règle à appliquer est simple : obligatoire pour tout accès depuis l'extérieur du réseau de l'entreprise et pour tous les comptes à privilèges, facultative mais encouragée sur site. Les clés FIDO2 coûtent de 25 à 50 € l'unité, à réserver aux 20 à 40 comptes administrateurs.
Mini cas pratique
Erwan, DSI d'une ETI agroalimentaire de 900 salariés à Rennes, ne dispose que de licences Microsoft 365 Business Standard et d'E3 pour une partie de la direction. Son support traite 140 tickets de mot de passe par mois, à 15 minutes chacun, pour un coût chargé de 45 € de l'heure.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
- Coût actuel du support mots de passe : 140 × 0,25 h × 45 € = 1 575 € par mois, soit 18 900 € par an.
- Avec SSO et réinitialisation en libre-service, baisse de 70 % : 13 230 € économisés par an.
- Keycloak sur 3 ans : 32 000 € d'exploitation plus 6 000 € d'intégration, soit 38 000 €, contre 200 400 € pour Entra ID P1 en licence seule.
Les économies de support couvrent à elles seules l'essentiel du coût annuel de Keycloak, d'environ 12 700 €. Le temps de reconnexion gagné par les salariés, même compté à une minute par jour, représente 3 150 heures par an en plus.
FAQ
Faut-il choisir entre SAML et OpenID Connect ?
Non, Keycloak et Entra ID gèrent les deux. OIDC est plus simple pour les applications web et mobiles récentes, SAML reste fréquent sur les progiciels plus anciens.
Keycloak est-il assez robuste pour 900 utilisateurs ?
Oui, il supporte sans difficulté des dizaines de milliers d'utilisateurs. Il faut en revanche deux nœuds en haute disponibilité et un plan de mise à jour, environ 3 versions majeures par an.
Que se passe-t-il si le fournisseur d'identité tombe en panne ?
Plus personne ne peut se connecter, d'où l'importance de la haute disponibilité et d'un compte de secours local par application. Visez un taux de disponibilité de 99,9 %, soit moins de 9 heures d'arrêt par an.
Combien de temps dure la bascule des utilisateurs ?
Comptez 2 à 3 semaines par vagues de 100 à 200 personnes. Le pic de support dure 2 à 3 jours par vague, principalement pour l'enrôlement MFA.
Peut-on garder les données d'identité en France ?
Avec Keycloak, oui, sur un hébergeur français ou qualifié SecNumCloud. Avec Entra ID, les données sont hébergées dans l'Union européenne, sous contrat Microsoft.
Parlons de votre projet. Nous inventorions vos applications, chiffrons l'intégration de chacune et planifions la bascule par vagues en 6 à 10 semaines. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
