Le verdict en trois phrases
Pour une ETI bretonne dont le RSSI impose Entra ID avec MFA sur toutes les applications internes, l'intégration du SSO dans une application métier existante coûte 3 000 à 12 000 € HT et demande 2 à 4 semaines. Le choix déterminant n'est pas OIDC contre SAML, mais le niveau d'automatisation : rôles pilotés par les groupes Entra et provisioning SCIM suppriment les comptes orphelins à la source. Le gain se mesure en sécurité (zéro mot de passe applicatif, départs révoqués immédiatement) et en temps : environ 15 minutes par arrivée et autant par départ.
Les quatre niveaux d'intégration et leur coût
Ordre de grandeur 2026 pour une application web métier développée sur mesure (Node.js, .NET, PHP ou Python), hors licences Microsoft.
| Niveau | Contenu | Délai | Budget HT |
|---|---|---|---|
| 1. SSO OIDC simple | Connexion via Entra ID, MFA héritée, déconnexion | 1 à 2 semaines | 3 000 à 5 000 € |
| 2. SSO SAML 2.0 | Idem en SAML, pour applications ou frameworks qui l'imposent | 2 semaines | 4 000 à 6 500 € |
| 3. Rôles par groupes Entra | Mappage groupes vers rôles applicatifs, droits fins | 2 à 3 semaines | 6 000 à 9 000 € |
| 4. Provisioning SCIM 2.0 | Création, mise à jour et désactivation automatiques des comptes | 3 à 4 semaines | 9 000 à 12 000 € |
| Option accès conditionnel | Restriction par appareil conforme, pays, réseau | +2 à 4 jours | 1 500 à 3 000 € |
| Option comptes externes (B2B) | Invités partenaires, prestataires | +3 à 5 jours | 2 000 à 4 000 € |
Les licences restent à votre charge : la MFA et le SSO sont inclus dès Entra ID Free, mais l'accès conditionnel exige Entra ID P1 (environ 6 € par utilisateur et par mois, souvent déjà compris dans Microsoft 365 E3 ou Business Premium).
OIDC ou SAML : comparatif technique
| Critère | OpenID Connect (OIDC) | SAML 2.0 |
|---|---|---|
| Format | JSON, jetons JWT | XML signé |
| Adapté aux | Applications web modernes, API, mobile | Applications legacy, progiciels |
| Complexité d'intégration | Faible, bibliothèques MSAL | Moyenne, gestion des certificats |
| Renouvellement de certificat | Automatique via métadonnées | Manuel tous les 1 à 3 ans selon configuration |
| Protection des API | Native (jetons d'accès) | Non prévue, à compléter |
| Recommandation 2026 | Par défaut pour du sur mesure | Si contrainte existante |
Pour une application développée en interne ou par un prestataire, OIDC avec la bibliothèque MSAL est presque toujours le bon choix. SAML reste utile pour un progiciel qui ne propose que ce protocole.
Sécurité : ce que le SSO règle et ce qu'il ne règle pas
Le SSO centralise l'authentification, mais l'autorisation reste dans l'application. Un audit de sécurité doit vérifier la validation des jetons (signature, audience, émetteur, expiration), la durée des sessions applicatives (8 heures maximum recommandées) et la journalisation des connexions. Le provisioning SCIM ferme la faille la plus fréquente : le compte applicatif qui reste actif des mois après le départ du salarié. Dans les audits d'ETI, 5 à 15 % des comptes d'une application sans SSO appartiennent à des personnes parties.
Mini cas pratique
Nathalie, RSSI d'une ETI agroalimentaire de 650 salariés près de Rennes, doit raccorder l'application de gestion qualité (220 utilisateurs) à Entra ID. Elle retient le niveau 4 avec SCIM pour 10 500 € HT. L'entreprise compte environ 90 arrivées et 85 départs par an, saisonniers inclus. À 15 minutes économisées par mouvement pour le support, cela représente 44 heures par an, soit environ 2 200 € à 50 € chargés de l'heure. L'essentiel du gain est ailleurs : l'audit initial a révélé 31 comptes actifs de personnes parties, et l'assureur cyber de l'entreprise demandait la MFA sur toutes les applications exposées pour maintenir une franchise à 25 000 €. Le projet est livré en 3 semaines, et les mots de passe applicatifs disparaissent.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
FAQ
Faut-il une licence Entra ID P1 pour le SSO ?
Non, le SSO et la MFA de base fonctionnent avec Entra ID Free inclus dans Microsoft 365. La P1, autour de 6 € par utilisateur et par mois, devient nécessaire pour l'accès conditionnel et certaines fonctions de provisioning avancées.
Combien de temps pour un SSO OIDC simple ?
Une à deux semaines suffisent, recette comprise, si l'application dispose déjà d'une couche d'authentification propre. Ajoutez une semaine si la gestion des sessions doit être refaite.
Le SCIM est-il indispensable ?
Il l'est dès que l'application dépasse 100 utilisateurs ou que les mouvements de personnel sont fréquents. En dessous, une désactivation manuelle documentée peut suffire, au prix d'un risque de comptes orphelins.
Peut-on garder une connexion locale de secours ?
Oui, il est recommandé de conserver 1 ou 2 comptes d'urgence protégés par une clé FIDO2, pour accéder à l'application en cas de panne d'Entra ID. Ces comptes doivent être journalisés et testés chaque trimestre.
Le SSO aide-t-il pour NIS 2 ?
Oui, la directive NIS 2 impose des mesures de contrôle d'accès et d'authentification multifacteur aux entités concernées. Centraliser l'authentification sur Entra ID avec MFA fournit une preuve directe pour l'audit.
Parlons de votre projet. Décrivez-nous votre application, votre nombre d'utilisateurs et vos exigences RSSI : nous chiffrons l'intégration Entra ID entre 3 000 et 12 000 € HT avec un délai de 2 à 4 semaines. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
