Le verdict en trois phrases
Intégrer le SSO Microsoft Entra ID (ex-Azure AD) à une application interne coûte entre 3 000 et 10 000 € HT par application et prend 2 à 4 semaines. Le protocole OpenID Connect convient à la plupart des outils web récents, SAML 2.0 reste utile pour les applications anciennes ou les progiciels. Dans une ETI de 800 postes où 30 % des tickets support concernent les mots de passe, le retour sur investissement se compte en mois, sans parler du gain de sécurité.
OpenID Connect ou SAML : le choix qui fixe le budget
La plupart des outils maison (intranet, outil de devis, portail RH, application de planning) ont été développés avec une base d'utilisateurs locale. Le chantier consiste à déléguer l'authentification à Entra ID, à récupérer l'identité et les groupes dans le jeton, puis à mapper ces groupes sur les rôles de l'application.
| Critère | OpenID Connect (OIDC) | SAML 2.0 |
|---|---|---|
| Applications visées | Web récentes, API, SPA, mobile | Progiciels, applications anciennes |
| Complexité d'intégration | Faible à moyenne | Moyenne |
| Coût type par application 2026 | 3 000 à 6 000 € HT | 5 000 à 10 000 € HT |
| Délai type | 2 à 3 semaines | 3 à 4 semaines |
| Format du jeton | JWT (JSON) | Assertion XML signée |
| Bibliothèques disponibles | MSAL, NextAuth, Spring Security | ITfoxtec, passport-saml, Shibboleth |
| Accès API Microsoft Graph | Natif | À ajouter séparément |
Si l'application n'a pas de notion de rôles propre ou si le code est très ancien (PHP 5, .NET Framework 3.5), le budget grimpe vers le haut de fourchette, car il faut parfois refondre le module de sessions.
Ce que comprend une intégration propre
Une intégration sérieuse ne se limite pas à un bouton « Se connecter avec Microsoft ». Elle traite le provisionnement des comptes, la déconnexion globale, les comptes de service et la journalisation.
| Brique | Effort indicatif | Coût indicatif 2026 (€ HT) |
|---|---|---|
| Enregistrement de l'application dans Entra ID et configuration | 0,5 à 1 jour | 300 à 700 |
| Flux d'authentification OIDC ou SAML | 2 à 5 jours | 1 200 à 3 500 |
| Mapping groupes Entra vers rôles applicatifs | 1 à 3 jours | 600 à 2 000 |
| Migration des comptes locaux existants | 1 à 3 jours | 600 à 2 000 |
| MFA et accès conditionnel (politiques Entra) | 0,5 à 1 jour | 300 à 700 |
| Provisionnement SCIM automatique | 2 à 4 jours | 1 200 à 2 800 |
| Tests, recette et documentation | 1 à 2 jours | 600 à 1 400 |
La MFA elle-même est gérée par Entra : l'application n'a rien à coder, il suffit d'activer les politiques d'accès conditionnel. Côté licences, Entra ID P1 (inclus dans Microsoft 365 E3 et Business Premium) coûte environ 6 € par utilisateur et par mois s'il est acheté seul, et débloque l'accès conditionnel.
Le coût caché des mots de passe locaux
Chaque outil maison avec son propre identifiant crée trois risques : des mots de passe réutilisés, des comptes d'anciens salariés jamais désactivés, et une charge support récurrente. Les études sectorielles situent entre 20 et 50 % la part des tickets helpdesk liés aux identifiants, avec un coût de 15 à 25 € par réinitialisation. Avec le SSO, le départ d'un collaborateur désactive en une action son accès à toutes les applications fédérées.
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Nathalie, responsable informatique d'une ETI industrielle de 800 postes près de Lyon, gère 5 applications internes avec authentification locale. Son helpdesk traite 900 tickets par mois, dont 30 % liés aux mots de passe, soit 270 tickets à 18 € chacun : 4 860 € par mois. Elle fait intégrer les 5 applications à Entra ID pour 5 × 6 000 = 30 000 € HT. En supposant que le SSO supprime 70 % de ces tickets, l'économie atteint 3 400 € par mois. Le projet est amorti en un peu moins de 9 mois, et les audits d'accès trimestriels passent de 3 jours à une demi-journée.
FAQ
Faut-il une licence Entra ID P1 pour le SSO ?
Non, le SSO OIDC ou SAML fonctionne avec la version gratuite incluse dans Microsoft 365. La P1, autour de 6 € par utilisateur et par mois, est nécessaire pour l'accès conditionnel et le provisionnement avancé.
Combien de temps l'application sera-t-elle indisponible ?
En général aucune coupure : on active le SSO en parallèle de l'ancien login pendant 1 à 2 semaines, puis on désactive les mots de passe locaux. La bascule finale prend moins d'une heure.
Peut-on garder des comptes locaux pour des prestataires externes ?
Oui, mais il est préférable de les inviter comme comptes B2B invités dans Entra ID. Ils profitent alors de la MFA et leurs accès expirent automatiquement, par exemple au bout de 90 jours.
Que se passe-t-il si Microsoft est en panne ?
Entra ID affiche une disponibilité contractuelle de 99,99 %. On prévoit tout de même 1 ou 2 comptes de secours locaux, très protégés, réservés aux administrateurs.
Le SSO aide-t-il pour la conformité NIS 2 ?
Oui, la MFA généralisée et la gestion centralisée des accès font partie des mesures attendues. Elles représentent souvent 20 à 30 % du plan d'action d'une ETI concernée.
Parlons de votre projet. Listez vos applications internes et leur technologie : nous chiffrons l'intégration Entra ID entre 3 000 et 10 000 € HT par application, avec un planning de 2 à 4 semaines chacune. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
