Le verdict en trois phrases
Pour un éditeur SaaS qui vise les grands comptes, le SSO SAML ou OIDC et le provisionnement SCIM ne sont plus des options : ils figurent dans 8 questionnaires sécurité sur 10. Le développement interne coûte en ordre de grandeur 13 000 à 32 000 € HT pour les deux briques, livrées en 4 à 8 semaines, alors qu'un service d'identité clé en main facture 1 à 3 € par utilisateur et par mois. Le bon choix dépend surtout du nombre d'utilisateurs finaux à cinq ans et du nombre de fournisseurs d'identité à supporter.
Ce que les DSI des grands comptes exigent vraiment
Lorsqu'un groupe du CAC 40, une banque mutualiste ou un hôpital déploie un logiciel SaaS, la DSI veut que ses collaborateurs se connectent avec leur compte d'entreprise, que la double authentification soit appliquée par sa propre politique et que les départs soient coupés le jour même. Concrètement, la grille d'évaluation contient presque toujours :
- SSO SAML 2.0 pour Entra ID (ex Azure AD), Okta, Ping ou ADFS.
- OIDC pour Google Workspace et les fournisseurs plus récents.
- MFA imposée côté fournisseur d'identité, ou à défaut côté application.
- SCIM 2.0 pour créer, modifier, suspendre et supprimer les comptes automatiquement.
- Mappage des groupes vers les rôles de l'application.
- Journaux d'audit exportables, conservés 12 mois minimum.
Sans SCIM, chaque départ oblige un administrateur à désactiver le compte à la main. Pour une DSI qui gère 20 000 collaborateurs, c'est un risque de comptes orphelins qu'elle refuse désormais.
Coûts 2026 : développement interne ou service d'identité
Les montants ci-dessous sont des ordres de grandeur 2026 observés en France pour une application SaaS B2B déjà en production, avec une base d'utilisateurs et un modèle de rôles existants.
| Brique | Contenu | Délai | Ordre de grandeur 2026 (HT) |
|---|---|---|---|
| SSO SAML 2.0 | Métadonnées par client, signature, test Entra ID et Okta | 2 à 4 semaines | 5 000 à 12 000 € |
| SSO OIDC | Google Workspace, flux code avec PKCE | 1 à 2 semaines | 3 000 à 8 000 € |
| SCIM 2.0 | Endpoints Users et Groups, filtres, PATCH, tests de conformité | 2 à 4 semaines | 5 000 à 12 000 € |
| MFA applicative | TOTP, WebAuthn, codes de secours | 1 à 2 semaines | 3 000 à 7 000 € |
| Console d'administration client | Configuration SSO en libre-service, domaines vérifiés | 2 à 3 semaines | 4 000 à 9 000 € |
| Journaux d'audit | Événements de connexion et d'administration, export | 1 à 2 semaines | 2 500 à 6 000 € |
Le socle indispensable (SAML, OIDC, SCIM) représente donc 13 000 à 32 000 € HT et 4 à 8 semaines de travail selon la propreté du modèle de comptes existant.
Comparatif développement interne contre service d'identité
| Critère | Développement interne | Service d'identité clé en main |
|---|---|---|
| Coût initial | 13 000 à 32 000 € HT | 2 000 à 6 000 € d'intégration |
| Coût récurrent | maintenance 10 à 15 % par an | 1 à 3 € par utilisateur et par mois |
| Délai de mise en marché | 4 à 8 semaines | 1 à 3 semaines |
| Fournisseurs supportés | ceux que vous testez | 20 à 50 connecteurs prêts |
| Dépendance | aucune | forte, migration coûteuse |
| Localisation des données | maîtrisée | à vérifier, souvent hors UE par défaut |
| Seuil de rentabilité | au-delà de 1 000 à 2 000 utilisateurs | en dessous de ce seuil |
Le point de bascule est simple : à 2 € par utilisateur et par mois, 1 500 utilisateurs finaux coûtent 36 000 € par an, soit plus que le développement complet. En dessous de 500 utilisateurs, le service clé en main l'emporte presque toujours.
Les pièges à éviter
Trois erreurs reviennent souvent dans les projets que nous reprenons. La première consiste à lier l'identité au courriel : quand un collaborateur change de nom ou de domaine, son compte se duplique. Il faut stocker l'identifiant immuable renvoyé par le fournisseur. La deuxième est d'ignorer la suspension SCIM : Entra ID envoie un PATCH active=false, et non une suppression, ce que beaucoup d'implémentations oublient. La troisième touche aux sessions : couper un compte via SCIM ne sert à rien si le jeton de session reste valable 30 jours. Visez une durée de session de 8 à 12 heures pour les comptes SSO, avec révocation immédiate.
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Thomas, directeur technique d'un éditeur SaaS de gestion RH à Nantes, perd deux appels d'offres par trimestre faute de SSO. Ses trois prospects actuels représentent 4 200 utilisateurs, avec un panier moyen de 6 € par utilisateur et par mois.
- Revenu annuel en jeu : 4 200 × 6 × 12 = 302 400 €.
- Option service d'identité à 1,50 € par utilisateur : 4 200 × 1,50 × 12 = 75 600 € par an, soit 25 % du revenu de ces comptes.
- Option développement interne : SAML 9 000 €, OIDC 5 000 €, SCIM 9 000 €, journaux 4 000 €, total 27 000 € HT, plus 3 500 € de maintenance annuelle.
Sur trois ans, le service d'identité coûte 226 800 € contre 37 500 € pour le développement interne. Thomas choisit de développer, livre en 7 semaines et réduit le délai de réponse au questionnaire sécurité de 3 semaines à 4 jours.
FAQ
SAML ou OIDC, lequel développer en premier ?
Commencez par SAML 2.0 : environ 70 % des grands comptes français utilisent Entra ID ou ADFS et le demandent en priorité. OIDC s'ajoute ensuite en 1 à 2 semaines pour Google Workspace.
Le SCIM est-il vraiment obligatoire ?
Pour les comptes de plus de 1 000 collaborateurs, oui dans la majorité des grilles d'évaluation. Sans lui, la désactivation des départs reste manuelle et peut prendre 5 à 10 jours.
Faut-il facturer le SSO aux clients ?
Beaucoup d'éditeurs le réservent à l'offre Entreprise, avec un surcoût de 20 à 40 % sur l'abonnement. Cette pratique est de plus en plus critiquée par les DSI, qui la jugent contraire à la sécurité.
Où héberger les données d'identité ?
Pour les clients publics et de santé, l'hébergement en France ou dans l'UE est souvent exigé. Vérifiez la localisation des services d'identité clé en main, dont beaucoup traitent les données aux États-Unis par défaut.
Combien de temps pour passer un questionnaire sécurité grand compte ?
Avec SSO, SCIM, MFA et journaux d'audit documentés, comptez 3 à 5 jours ouvrés. Sans ces briques, l'échange dure souvent 3 à 6 semaines et se termine par un refus.
Pour la suite du parcours utilisateur, voyez notre article sur les tests utilisateurs d'un outil interne et celui sur la reprise d'une application en TMA. Nous accompagnons aussi les éditeurs en cybersécurité applicative.
Parlons de votre projet. Indiquez-nous votre stack, vos fournisseurs d'identité cibles et le volume d'utilisateurs : nous chiffrons SAML, OIDC et SCIM avec une livraison en 4 à 8 semaines. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
