Le verdict en trois phrases
Pour une ETI qui impose Microsoft Entra ID à tous ses outils internes, ajouter le SSO à une application métier existante coûte en 2026 entre 4 000 et 12 000 € HT, selon l'état du code et le nombre de rôles. La double authentification (MFA) se règle souvent côté fournisseur d'identité, mais un MFA applicatif propre ajoute 2 000 à 5 000 €. Le vrai sujet n'est pas la connexion elle-même : c'est le mapping des groupes vers les rôles et la journalisation des accès, qui conditionnent la validation par le RSSI.
Les options d'authentification et leur coût
Un RSSI qui centralise les identités a trois objectifs : un seul point de départ des collaborateurs (désactivation du compte dans Entra ID = perte d'accès partout), une politique MFA homogène et des traces exploitables en cas d'incident. Chaque option couvre ces objectifs à des degrés différents.
| Option | Coût d'intégration 2026 (HT) | Délai | Couverture RSSI |
|---|---|---|---|
| Login/mot de passe local + TOTP applicatif | 2 000 à 5 000 € | 1 à 2 semaines | Faible : comptes hors annuaire |
| SSO OpenID Connect (Entra ID, Okta, Google) | 4 000 à 8 000 € | 2 à 4 semaines | Bonne : désactivation centralisée |
| SSO SAML 2.0 (applications anciennes) | 5 000 à 10 000 € | 3 à 5 semaines | Bonne, configuration plus lourde |
| SSO + provisioning SCIM des comptes | 8 000 à 12 000 € | 4 à 6 semaines | Très bonne : création et suppression auto |
| MFA délégué à Entra ID (accès conditionnel) | 0 à 1 500 € côté application | Quelques jours | Très bonne si licences P1/P2 |
| MFA applicatif renforcé (WebAuthn, clés FIDO2) | 3 000 à 5 000 € | 2 à 3 semaines | Excellente pour comptes à privilèges |
En pratique, la combinaison la plus fréquente dans une ETI est OpenID Connect + MFA délégué à Entra ID via l'accès conditionnel, complétée d'un MFA applicatif uniquement pour les comptes administrateurs. Les licences Entra ID P1 tournent autour de 5,60 € par utilisateur et par mois en 2026 (ordre de grandeur), un coût souvent déjà payé par l'entreprise via Microsoft 365 E3 ou E5.
Ce qui fait varier le devis
La fourchette va du simple au triple parce que l'application cible n'est jamais vierge. Voici les postes que nous chiffrons séparément.
| Poste | Fourchette 2026 (HT) | Facteur de variation |
|---|---|---|
| Audit du module d'authentification existant | 800 à 2 000 € | Framework, dette technique, sessions maison |
| Intégration OIDC ou SAML | 2 500 à 6 000 € | Nombre d'environnements (recette, préproduction, production) |
| Mapping groupes Entra ID vers rôles applicatifs | 1 000 à 3 000 € | 3 rôles ou 25 rôles, droits par entité |
| Journalisation des accès (connexion, échec, élévation) | 1 000 à 2 500 € | Export vers SIEM (Sentinel, Splunk) ou simple table |
| Migration des comptes existants | 500 à 2 000 € | Rapprochement par e-mail, doublons, comptes externes |
| Tests d'intrusion ciblés sur l'authentification | 1 500 à 4 000 € | Prestataire PASSI ou interne |
Le mapping des rôles est le poste le plus sous-estimé. Une application avec 3 rôles (lecteur, contributeur, administrateur) se branche en une journée. Une application avec des droits par filiale, par site et par type de document demande une vraie matrice, validée avec les métiers, sinon le RSSI refuse la mise en production.
La journalisation attendue par un RSSI
Un journal exploitable contient au minimum : identifiant Entra ID (oid), horodatage UTC, adresse IP, résultat (succès ou échec), méthode MFA utilisée et changement de rôle. Conservation conseillée : 12 mois en ligne, conformément aux recommandations de l'ANSSI sur la journalisation. L'envoi vers Microsoft Sentinel via un connecteur ajoute environ 1 000 € HT au projet.
Mini cas pratique
Claire, RSSI d'une ETI industrielle de 1 200 salariés à Lyon, impose Entra ID à 14 outils internes. L'outil de gestion des non-conformités, développé sur mesure en 2021, utilise encore des comptes locaux : 340 utilisateurs, 6 rôles, et 3 comptes d'anciens salariés toujours actifs découverts lors du dernier audit.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Chiffrage retenu : audit 1 200 €, intégration OIDC 4 500 €, mapping de 6 rôles 1 800 €, journalisation vers Sentinel 1 500 €, MFA FIDO2 pour 8 administrateurs 3 000 €. Total : 12 000 € HT, livré en 5 semaines.
Côté gains, le support informatique traitait environ 25 réinitialisations de mot de passe par mois à 15 minutes chacune, soit 75 heures par an. À 45 € l'heure chargée, cela représente 3 375 € par an, auxquels s'ajoute la suppression du risque de comptes orphelins, que l'assureur cyber de l'ETI valorisait dans sa grille. Retour sur investissement estimé : moins de 3 ans sur le seul support, immédiat sur la conformité.
FAQ
Le SSO suffit-il sans double authentification ?
Non, le SSO centralise l'accès mais ne le renforce pas. Si Entra ID applique déjà l'accès conditionnel avec MFA, l'application en bénéficie sans surcoût ; sinon, prévoyez 2 000 à 5 000 € HT pour un MFA applicatif.
OpenID Connect ou SAML : lequel choisir ?
Pour une application web moderne, OpenID Connect est plus simple et 20 à 30 % moins cher à intégrer. SAML reste pertinent pour des applications anciennes ou des clients grands comptes qui l'exigent contractuellement.
Combien de temps l'application est-elle indisponible pendant la bascule ?
Avec une bascule préparée, l'interruption dure moins d'une heure. Nous gardons souvent une connexion locale de secours pour 2 comptes administrateurs pendant 30 jours.
Faut-il aussi gérer les utilisateurs externes (fournisseurs, clients) ?
Oui si l'application leur est ouverte : Entra ID B2B ou External ID les gère, avec un surcoût d'intégration de 1 500 à 3 000 € HT selon le parcours d'invitation.
Que se passe-t-il si Entra ID tombe en panne ?
Microsoft annonce une disponibilité de 99,99 % pour Entra ID. Un compte de secours local, protégé par clé FIDO2 et surveillé dans les journaux, couvre les cas extrêmes.
Parlons de votre projet. Envoyez-nous l'application concernée, votre fournisseur d'identité et le nombre de rôles : nous chiffrons SSO, MFA et journalisation dans une fourchette de 4 000 à 17 000 € HT, avec un délai de 3 à 6 semaines. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
