Le verdict en trois phrases
En 2026, l'authentification SSO d'entreprise figure dans environ 60 % des appels d'offres grands comptes : sans connexion Microsoft Entra ID, Okta ou Google Workspace, votre application est éliminée avant la démo. Une intégration SAML 2.0 et OIDC propre coûte 4 000 à 12 000 € HT, et le provisioning SCIM ajoute 3 000 à 8 000 € HT, le tout livré en 3 à 6 semaines. Pour un éditeur montpelliérain qui vise 5 à 10 clients entreprises, le développement maîtrisé est généralement plus rentable qu'un service managé facturé au nombre d'utilisateurs et de connexions.
Pourquoi les grands comptes exigent le SSO
Les DSI des groupes, des CHU, des collectivités d'Occitanie et des ETI industrielles ont une règle simple : aucun outil métier sans gestion centralisée des identités. Le SSO leur permet de désactiver un collaborateur qui quitte l'entreprise en un clic, d'imposer l'authentification multifacteur et de tracer les accès pour les audits ISO 27001 ou NIS2. Pour vous, éditeur, c'est un argument commercial direct : le questionnaire sécurité envoyé par l'acheteur comporte presque toujours la ligne « SSO SAML ou OIDC disponible : oui / non ».
Un éditeur SaaS de gestion de planning basé à Montpellier nous a expliqué avoir perdu trois consultations en 2025 pour cette seule ligne, soit environ 85 000 € de revenus annuels récurrents manqués. Le coût de l'intégration représentait moins d'un mois de ce chiffre d'affaires.
| Exigence acheteur | Fréquence dans les appels d'offres 2026 (estimation) | Effort technique |
|---|---|---|
| SSO SAML 2.0 (Entra ID, ADFS) | 60 % | 2 à 3 semaines |
| SSO OIDC (Google Workspace, Okta) | 45 % | 1 à 2 semaines |
| Provisioning SCIM 2.0 | 30 % | 2 à 3 semaines |
| MFA imposée côté application | 55 % | 3 à 5 jours |
| Journal d'audit des connexions exportable | 40 % | 4 à 6 jours |
| Gestion des rôles mappés sur les groupes AD | 35 % | 1 semaine |
| Hébergement des données en France ou UE | 70 % | selon infrastructure |
Combien coûte une intégration SSO en 2026
Le budget dépend surtout de trois facteurs : le nombre de fournisseurs d'identité à supporter, la présence ou non du provisioning automatique, et l'état actuel de votre module d'authentification. Une application qui stocke déjà proprement ses sessions et ses rôles s'intègre vite ; un code hérité avec des mots de passe gérés à la main demande souvent une refonte préalable.
| Option | Coût de mise en place | Coût récurrent | Délai | Pour qui |
|---|---|---|---|---|
| SSO OIDC seul (Google, Entra ID) | 4 000 à 6 000 € HT | maintenance ~600 € HT/an | 2 à 3 semaines | premiers clients PME |
| SSO SAML + OIDC multi-tenant | 7 000 à 12 000 € HT | ~1 200 € HT/an | 3 à 5 semaines | éditeur visant les grands comptes |
| Provisioning SCIM 2.0 | 3 000 à 8 000 € HT | ~800 € HT/an | 2 à 3 semaines | clients de plus de 200 utilisateurs |
| Auth0 B2B (service managé) | intégration 2 000 à 4 000 € HT | à partir de 240 $/mois, souvent 800 à 1 500 $/mois à l'échelle | 1 à 2 semaines | lancement rapide, peu de clients |
| Keycloak auto-hébergé | 5 000 à 9 000 € HT | serveur 40 à 120 €/mois + mises à jour | 3 à 4 semaines | souveraineté, données en France |
| WorkOS ou équivalent | intégration 2 000 à 3 500 € HT | ~125 $/mois par connexion entreprise | 1 à 2 semaines | peu de connexions, budget récurrent accepté |
Le piège classique des services managés est la tarification par connexion SSO : à 10 clients entreprises, la facture annuelle peut dépasser 15 000 $, soit plus que le coût d'un développement maîtrisé sur Keycloak ou une bibliothèque open source comme SAML Jackson. À l'inverse, pour un éditeur qui signe son premier grand compte dans un mois, un service managé évite de bloquer la signature.
Ce que doit contenir un cahier des charges SSO solide
Une intégration réussie ne se limite pas au bouton « Se connecter avec Microsoft ». Exigez au minimum : la configuration par client (chaque tenant renseigne ses métadonnées SAML ou son identifiant OIDC dans un écran d'administration), le mapping des groupes vers vos rôles applicatifs, la création juste à temps des comptes (JIT), la désactivation automatique via SCIM, un mode de secours par mot de passe pour l'administrateur, et des tests avec au moins Entra ID, Google Workspace et Okta. Ajoutez une documentation d'intégration à destination du DSI client : elle réduit de moitié les allers-retours lors du déploiement.
Côté conformité, documentez la durée de vie des sessions, la rotation des certificats SAML (souvent annuelle) et la journalisation : ce sont les points que l'auditeur d'un grand compte vérifiera.
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Julien, CTO d'un éditeur de logiciel RH de 14 personnes à Montpellier, vise 6 grands comptes en 2026, chacun à environ 18 000 € HT par an. Option managée : 6 connexions entreprises à ~125 $/mois, soit environ 9 000 $ par an, plus 3 000 € HT d'intégration. Option développée : SAML + OIDC + SCIM pour 16 000 € HT, puis 2 000 € HT de maintenance annuelle. Sur trois ans, le managé revient à environ 28 000 € et le développé à 22 000 €. Surtout, si le SSO permet de signer seulement 2 contrats supplémentaires, il génère 36 000 € HT par an : le projet est remboursé en moins de six mois.
FAQ
Faut-il choisir SAML ou OIDC ?
Les deux, idéalement. SAML reste la norme chez les grands groupes sous Entra ID ou ADFS, OIDC domine chez les entreprises sous Google Workspace ; supporter les deux représente environ 30 % de travail en plus par rapport à un seul protocole.
Le SSO doit-il être inclus dans tous les forfaits ?
La pratique 2026 consiste à le réserver au forfait entreprise, souvent facturé 20 à 40 % plus cher. Attention cependant : certains acheteurs publics considèrent cette « taxe SSO » comme un frein, une offre à 5 € par utilisateur et par mois reste un bon compromis.
Combien de temps pour connecter un nouveau client une fois le module livré ?
Avec un écran de configuration par tenant, 30 minutes à 2 heures, essentiellement le temps que le DSI client crée l'application dans sa console. Sans cet écran, comptez une demi-journée de développeur par client.
Le SSO aide-t-il à la conformité NIS2 ?
Oui : il centralise la gestion des accès et la révocation, deux points examinés par les entités essentielles et importantes. Il ne suffit pas seul, mais il couvre une part significative des exigences de contrôle d'accès.
Peut-on garder l'authentification par mot de passe pour les petits clients ?
Oui, et c'est recommandé. Les deux modes cohabitent par tenant, le SSO s'active client par client sans impact sur les 80 à 90 % d'utilisateurs PME qui se connectent par e-mail.
Parlons de votre projet. Nous chiffrons votre intégration SSO (SAML, OIDC, SCIM) à partir d'un audit de votre module d'authentification, avec un budget indicatif de 4 000 à 20 000 € HT et une livraison en 3 à 6 semaines. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
