Le verdict en trois phrases
Intégrer une authentification SSO (SAML 2.0 ou OpenID Connect) dans une application métier coûte entre 3 000 et 10 000 EUR HT en 2026, selon le nombre de rôles et l'état du code d'authentification existant. Ajouter le provisioning SCIM, qui crée et désactive automatiquement les comptes depuis l'annuaire, représente environ 4 000 EUR HT de plus et c'est souvent l'élément qui satisfait vraiment la DSI. Le projet se livre en 3 à 6 semaines et réduit de l'ordre de 70 % les tickets liés aux mots de passe.
Combien coûte l'intégration selon le fournisseur d'identité
La plupart des DSI françaises imposent Microsoft Entra ID (ex-Azure AD), parfois Google Workspace ou Okta. Le travail côté application est comparable, mais la configuration, les tests et la gestion des groupes varient.
| Fournisseur d'identité | Protocole | Coût d'intégration (EUR HT) | Délai | Particularités |
|---|---|---|---|---|
| Microsoft Entra ID | OIDC ou SAML | 3 000 - 7 000 | 3 - 4 semaines | Groupes et rôles d'application, accès conditionnel |
| Google Workspace | SAML ou OIDC | 3 000 - 6 000 | 3 semaines | Moins de finesse sur les groupes |
| Okta | OIDC ou SAML | 3 500 - 7 500 | 3 - 4 semaines | Très bon support SCIM |
| ADFS sur site | SAML / WS-Fed | 5 000 - 10 000 | 4 - 6 semaines | Accès réseau et certificats à gérer |
| Plusieurs IdP (multi-clients SaaS) | OIDC + SAML | 7 000 - 10 000 | 5 - 6 semaines | Un annuaire par client, découverte par domaine e-mail |
| Provisioning SCIM 2.0 (option) | SCIM | + 3 500 - 5 000 | + 1 - 2 semaines | Désactivation automatique au départ d'un salarié |
La MFA est en général déléguée au fournisseur d'identité, donc sans surcoût côté application. Si l'application doit aussi gérer des utilisateurs externes sans annuaire, prévoyez 1 500 à 3 000 EUR HT pour une MFA locale (TOTP ou passkeys).
Développer en direct, Auth0 ou Keycloak : le coût sur trois ans
Trois architectures dominent. Une intégration directe avec une bibliothèque OIDC éprouvée suffit pour une application interne branchée sur un seul annuaire. Un broker d'identité devient intéressant dès que plusieurs annuaires ou applications sont en jeu.
| Option | Coût initial (EUR HT) | Coût mensuel | Coût sur 3 ans (ordre de grandeur) | Pour qui |
|---|---|---|---|---|
| Intégration directe (bibliothèque OIDC) | 3 000 - 6 000 | 0 EUR | 3 000 - 8 000 | Une application, un annuaire |
| Keycloak auto-hébergé | 5 000 - 9 000 | 80 - 300 EUR (serveur + supervision) | 8 000 - 20 000 | Plusieurs applications, données en France |
| Auth0 (Okta) | 4 000 - 8 000 | 0 - 1 500 EUR selon utilisateurs et SSO entreprise | 4 000 - 62 000 | SaaS B2B qui vend aux grands comptes |
| Microsoft Entra External ID | 4 000 - 8 000 | Gratuit jusqu'à 50 000 utilisateurs actifs, puis à l'usage | 4 000 - 15 000 | Écosystème Microsoft |
| Zitadel ou Authentik cloud | 4 000 - 7 000 | 100 - 800 EUR | 8 000 - 36 000 | Alternative européenne |
Le critère de souveraineté pèse de plus en plus : de nombreuses DSI publiques et industrielles privilégient Keycloak hébergé en France, notamment chez un hébergeur qualifié SecNumCloud.
Les points qui font échouer un projet SSO
Trois erreurs reviennent souvent : conserver en parallèle l'ancienne connexion par mot de passe sans plan de fermeture, mapper les rôles applicatifs à la main au lieu d'utiliser les groupes de l'annuaire, et oublier la déconnexion (single logout) et la durée de session. Exigez une recette avec un compte de test par rôle et un scénario de départ de salarié : le compte doit être bloqué dans l'application en moins de 15 minutes après sa désactivation dans l'annuaire.
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Isabelle, DSI d'un groupe de distribution de 450 salariés à Lille, impose Entra ID à ses 6 applications internes. Le support traite 180 tickets mot de passe par mois à 18 minutes chacun, soit 54 heures mensuelles à 40 EUR chargés : 25 900 EUR par an. L'intégration SSO de l'application de planning, la plus utilisée, coûte 6 500 EUR HT, plus 4 000 EUR HT de SCIM. Avec 70 % de tickets en moins, l'économie atteint environ 18 100 EUR par an : retour sur investissement en 7 mois, sans compter la suppression des comptes orphelins d'anciens salariés.
FAQ
SAML ou OIDC, que choisir ?
OIDC est plus simple à intégrer dans une application moderne et mobile, SAML reste exigé par certaines DSI et anciens annuaires. Supporter les deux ajoute 1 000 à 2 000 EUR HT.
Le SSO suffit-il pour la sécurité ?
Il centralise l'accès mais doit être couplé à la MFA et à des sessions courtes. Selon Microsoft, la MFA bloque plus de 99 % des attaques sur les comptes.
Faut-il Entra ID P1 pour le SSO ?
Le SSO de base fonctionne avec les licences Microsoft 365 courantes. L'accès conditionnel demande Entra ID P1, environ 5,60 EUR par utilisateur et par mois.
Combien de temps pour migrer les utilisateurs existants ?
La liaison des comptes par adresse e-mail se fait automatiquement en quelques minutes. Prévoyez une semaine de cohabitation avant de couper la connexion par mot de passe.
Le SCIM est-il indispensable ?
Pas pour 20 utilisateurs, mais au-delà de 100 il évite des comptes actifs après départ, un point relevé dans la plupart des audits de sécurité.
Parlons de votre projet. Listez vos applications, votre annuaire et vos exigences MFA : nous chiffrons l'intégration SSO, avec ou sans SCIM, dans une fourchette de 3 000 à 14 000 EUR HT et un délai de 3 à 6 semaines. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
