Le verdict en trois phrases
Brancher Microsoft Entra ID en OIDC sur vos applications métier supprime les mots de passe locaux, impose la MFA et applique vos règles d'accès conditionnel partout, pour 6 000 à 14 000 € HT par application en ordre de grandeur 2026. Le vrai gain vient du provisioning SCIM : un départ désactivé dans Entra ID coupe l'accès aux 4 applications dans la minute, ce qui ferme la remarque la plus fréquente des audits. Comptez 4 à 6 semaines pour un lot de 4 applications, à condition que vos rôles soient déjà pensés en groupes.
Pourquoi l'audit pointe vos comptes locaux
Dans une ETI de 1 100 salariés, les applications développées en interne ou sur mesure (gestion des achats, planning atelier, suivi qualité, portail RH) gèrent souvent leurs propres identifiants. Résultat typique d'un audit : mots de passe réutilisés, comptes d'anciens salariés encore actifs plusieurs mois après leur départ, aucune MFA, et une traçabilité dispersée dans 4 bases différentes. Les assureurs cyber et les grands donneurs d'ordre de l'aéronautique toulousaine demandent désormais une authentification forte centralisée.
Le SSO via Entra ID règle ces points en une architecture : l'application délègue l'authentification à Microsoft (protocole OpenID Connect, ou SAML pour les outils plus anciens), reçoit un jeton signé avec l'identité et les groupes de l'utilisateur, puis applique ses propres droits. La MFA, la détection de connexion à risque et le blocage des pays non autorisés deviennent des politiques Entra ID, plus du code applicatif.
| Élément | Comptes locaux (avant) | SSO Entra ID (après) |
|---|---|---|
| Authentification | Identifiant et mot de passe par application | Compte Microsoft unique, MFA imposée |
| Départ d'un salarié | Désactivation manuelle dans 4 outils, souvent oubliée | Désactivation Entra ID, propagée par SCIM en quelques minutes |
| Droits d'accès | Gérés à la main dans chaque application | Groupes Entra ID mappés sur les rôles applicatifs |
| Accès conditionnel | Impossible | Poste géré, pays, niveau de risque, horaires |
| Journal d'audit | 4 journaux hétérogènes | Journal de connexion centralisé, exportable vers le SIEM |
| Réinitialisation de mot de passe | Ticket au support pour chaque outil | Libre-service Microsoft, un seul mot de passe |
Ce que coûte l'intégration en 2026
Le coût dépend surtout de l'état de chaque application : framework récent avec bibliothèque OIDC disponible, ou code ancien où l'authentification est mélangée à la logique métier. Le provisioning SCIM demande d'exposer une API conforme côté application, que la plupart des outils maison n'ont pas.
| Poste | Ordre de grandeur 2026 | Commentaire |
|---|---|---|
| Intégration OIDC, application récente | 6 000 à 8 000 € HT | Bibliothèque standard, rôles déjà structurés |
| Intégration OIDC, application ancienne | 10 000 à 14 000 € HT | Refonte du module de connexion et des sessions |
| Provisioning SCIM (création, mise à jour, désactivation) | 4 000 € HT | API SCIM 2.0 exposée par l'application |
| Mapping groupes vers rôles | Inclus ou 1 500 à 3 000 € HT | Selon le nombre de rôles et d'exceptions |
| Licences Entra ID P1 | Environ 6 € par utilisateur et par mois | Souvent déjà incluses dans Microsoft 365 E3 ou Business Premium |
| Tests de sécurité ciblés après bascule | 2 000 à 5 000 € HT | Contournement de session, élévation de droits |
| Délai global, lot de 4 applications | 4 à 6 semaines | Bascule application par application |
Point souvent oublié : vérifiez vos licences avant de budgéter. Si vos salariés ont déjà Microsoft 365 E3, l'accès conditionnel est inclus et le poste licences tombe à zéro. Sinon, Entra ID P1 seul représente environ 79 200 € par an pour 1 100 utilisateurs, un montant qui mérite d'être comparé aux offres groupées.
Méthode de bascule sans couper la production
Une bascule réussie suit quatre étapes. D'abord l'inventaire : liste des rôles réels de chaque application, comptes de service, accès de prestataires externes. Ensuite la création des groupes Entra ID et l'enregistrement de chaque application avec ses URL de redirection. Puis une période de double connexion de 1 à 2 semaines, où le SSO est proposé et les comptes locaux restent actifs pour un groupe pilote. Enfin la fermeture des comptes locaux, en gardant un compte de secours stocké hors ligne, protégé par une clé matérielle.
Les comptes partagés d'atelier (un poste utilisé par plusieurs opérateurs) demandent une solution spécifique : badge, code PIN Windows Hello ou session courte. Ce cas représente souvent 20 % de l'effort sur une ETI industrielle, prévoyez-le dans le cadrage. Pour valider le résultat, un test d'intrusion ciblé sur les flux d'authentification est utile, comme expliqué dans notre article sur le test d'intrusion avant lancement.
Mini cas pratique
Thomas, DSI d'une ETI de sous-traitance aéronautique à Toulouse, 1 100 salariés, doit traiter 4 applications internes avant le prochain audit client.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
- Intégration : 2 applications récentes à 7 000 € HT et 2 anciennes à 12 000 € HT, soit 38 000 € HT.
- SCIM : 4 000 € HT sur l'application RH, qui alimente les autres par groupes.
- Licences : déjà couvertes par Microsoft 365 E3, 0 € supplémentaire.
- Total projet : 42 000 € HT, livré en 5 semaines.
Gains mesurés : le support traitait 320 réinitialisations de mot de passe par mois à 15 minutes chacune, soit 80 heures à 40 € chargés, 3 200 € par mois ou 38 400 € par an. Ces tickets baissent de 75 % après bascule, soit environ 28 800 € économisés par an. Le retour sur investissement arrive en 18 mois sur ce seul poste, sans compter la remarque d'audit levée sur les comptes orphelins, qui conditionnait un contrat client.
FAQ
Faut-il obligatoirement des licences Entra ID P1 ?
Le SSO de base fonctionne avec la version gratuite incluse dans Microsoft 365. L'accès conditionnel et certaines fonctions de provisioning exigent P1, environ 6 € par utilisateur et par mois, souvent déjà inclus dans les offres E3 ou Business Premium.
OIDC ou SAML pour une application maison ?
OIDC est le bon choix pour une application web ou mobile récente : plus simple, jetons JSON, bibliothèques matures. SAML reste utile pour 1 ou 2 outils anciens qui le supportent déjà, sans refonte.
Que devient l'accès des prestataires externes ?
Ils sont invités comme comptes B2B dans Entra ID, avec MFA et date d'expiration. Sur une ETI, on compte souvent 50 à 150 comptes externes, à revoir tous les 90 jours.
Combien de temps dure la bascule pour les utilisateurs ?
Avec une période pilote de 1 à 2 semaines, la coupure perçue est nulle. Le jour de la fermeture des comptes locaux, prévoyez un renfort support d'une demi-journée pour 1 100 salariés.
Le SSO suffit-il pour passer un audit de sécurité ?
Il règle l'authentification et la gestion des départs, qui pèsent souvent 30 à 40 % des remarques. La gestion des droits internes, le chiffrement et les journaux applicatifs restent à traiter dans chaque application.
Parlons de votre projet. Nous inventorions vos applications, vos rôles et vos licences, puis planifions la bascule SSO et SCIM sur 4 à 6 semaines. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
