Ajouter SSO et double authentification à une application métier d'ETI à Lyon : coût et étapes

Le verdict en trois phrases

Brancher une application métier existante sur Microsoft Entra ID en SSO avec double authentification demande en général 8 à 20 jours de développement, selon l'état du code et le nombre de rôles à reprendre. Le coût des licences est souvent déjà couvert : Entra ID P1 (5,60 EUR par utilisateur et par mois) est inclus dans Microsoft 365 E3, E5 et Business Premium, que la plupart des ETI possèdent déjà. Le vrai enjeu porte sur la journalisation des accès et la désactivation immédiate des comptes au départ des salariés, deux points que les auditeurs NIS2 vérifient en priorité.

Pourquoi l'audit pointe presque toujours l'authentification

Une application interne développée il y a cinq ou dix ans gère souvent ses propres comptes : identifiant, mot de passe stocké en base, aucune double authentification. Trois risques en découlent. Les mots de passe sont réutilisés d'un service à l'autre, les comptes des salariés partis restent actifs faute de lien avec l'annuaire, et aucune trace exploitable ne permet de reconstituer un accès suspect. Avec la directive NIS2, dont la transposition française étend les obligations à des milliers d'ETI qualifiées d'entités importantes ou essentielles, ces lacunes deviennent des non-conformités, avec des amendes pouvant atteindre 7 à 10 millions d'euros ou 1,4 à 2 % du chiffre d'affaires mondial.

Les étapes et la charge de travail

Le passage au SSO s'appuie sur un protocole standard, OpenID Connect de préférence, ou SAML 2.0 pour les applications plus anciennes. La charge varie selon la qualité du code existant.

À Lyon, avec un TJM de 550 à 750 EUR HT en ESN, l'intégration coûte donc entre 4 400 et 15 000 EUR HT. La double authentification elle-même se configure côté Entra ID par des stratégies d'accès conditionnel, sans code supplémentaire dans l'application.

Comparer les fournisseurs d'identité

Si l'ETI n'est pas équipée de Microsoft 365, plusieurs options existent. Le tableau compare les coûts récurrents pour 400 utilisateurs de l'application.

Ce que NIS2 et l'ANSSI attendent concrètement

Les auditeurs regardent moins le protocole que la preuve. Ils demandent la liste des comptes actifs, la date de dernière connexion, les droits par profil, le délai de désactivation au départ d'un salarié et la conservation des journaux. L'ANSSI recommande de conserver les journaux d'authentification au moins 6 mois, idéalement 12, dans un stockage séparé de l'application. Le SSO règle d'un coup le délai de désactivation : un compte supprimé dans Entra ID perd l'accès à l'application dès l'expiration du jeton, généralement en moins d'une heure.

Le repère Kolonell

Kolonell intègre le SSO dans les applications métier qu'elle développe ou reprend. La mise en conformité d'une application existante relève d'un chiffrage sur devis après audit du code ; une application neuve se situe dans la grille sur mesure : simple de 2 500 000 à 4 000 000 FCFA (3 810 à 6 100 EUR), moyenne de 4 000 000 à 7 000 000 FCFA (6 100 à 10 670 EUR), complexe de 7 000 000 à 15 000 000+ FCFA (10 670 à 22 870+ EUR). La maintenance suit trois forfaits : 35 000, 75 000 ou 120 000 FCFA par mois (53, 114 ou 183 EUR).

Mini cas pratique

Nathalie, RSSI d'une ETI industrielle de 1 300 salariés à Lyon, doit corriger la non-conformité relevée sur l'application de gestion de production, utilisée par 400 personnes. L'entreprise dispose déjà de Microsoft 365 E3, donc d'Entra ID P1.

• Intégration : 14 jours x 650 EUR HT = 9 100 EUR HT.
• Licences supplémentaires : 0 EUR.
• Envoi des journaux vers le SIEM existant : 2 jours inclus.

Côté gains, le support traite aujourd'hui 480 réinitialisations de mot de passe par an pour cette application, à 25 EUR le ticket : 12 000 EUR par an disparaissent avec le SSO et la réinitialisation en libre-service. L'investissement est rentabilisé en 9 mois, avant même de compter la réduction du risque d'intrusion par un compte orphelin.

FAQ

OpenID Connect ou SAML : lequel choisir ?

OpenID Connect pour toute application web ou mobile récente, il est plus simple à intégrer et à tester. SAML reste utile pour des applications anciennes qui le supportent déjà, l'intégration prenant alors 2 à 4 jours de moins.

La double authentification gêne-t-elle les opérateurs en atelier ?

L'accès conditionnel permet d'exempter les postes fixes du réseau de l'usine et de n'exiger la double authentification qu'à distance. Les clés FIDO2 coûtent 25 à 50 EUR par opérateur pour les postes partagés.

Combien de temps garder les journaux d'accès ?

L'ANSSI recommande au moins 6 mois, et les auditeurs NIS2 attendent souvent 12 mois. Pour 400 utilisateurs, le stockage représente quelques gigaoctets par an.

Peut-on garder des comptes locaux pour les prestataires ?

Mieux vaut les inviter comme comptes invités dans Entra ID, gratuits jusqu'à 50 000 utilisateurs actifs par mois. Les comptes locaux échappent à la revue d'accès et à la désactivation centralisée.

Faut-il réécrire l'application pour ajouter le SSO ?

Rarement : dans 80 % des cas, seul le module d'authentification change. Si le code mélange droits et logique métier partout, prévoyez la fourchette haute de 20 jours.

Parlons de votre projet. Partagez l'architecture de votre application et le rapport d'audit : nous évaluons l'intégration SSO, la reprise des rôles et un planning de bascule sans interruption de service. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.