Le verdict en trois phrases
Pour une ETI de 900 salariés qui jongle avec 7 applications internes, le SSO (authentification unique) supprime les mots de passe multiples et surtout les comptes de salariés partis jamais désactivés, premier vecteur d'intrusion relevé dans les audits NIS2. Microsoft Entra ID P1 coûte environ 6 EUR par utilisateur et par mois et s'impose si vous êtes déjà sur Microsoft 365, tandis que Keycloak auto-hébergé est gratuit en licence mais demande 3 000 à 8 000 EUR HT de mise en place et une exploitation sérieuse. Dans les deux cas, comptez 1 500 à 4 000 EUR HT par application métier à brancher en OIDC, et une baisse d'environ 70 % des tickets de réinitialisation de mot de passe.
Entra ID ou Keycloak : le vrai comparatif 2026
Le choix dépend moins de la technique que de votre écosystème existant et de votre sensibilité à la souveraineté. Entra ID est un service géré, intégré à Microsoft 365, avec accès conditionnel et MFA natifs. Keycloak est un logiciel libre (projet de la CNCF) que vous hébergez où vous voulez, y compris sur un cloud qualifié, et que vous administrez vous-même.
| Critère | Microsoft Entra ID P1 | Keycloak auto-hébergé |
|---|---|---|
| Licence | Environ 6 EUR/utilisateur/mois (souvent inclus dans M365 E3 ou Business Premium) | Gratuit (Apache 2.0) |
| Mise en place initiale | 2 000 à 5 000 EUR HT | 3 000 à 8 000 EUR HT |
| Hébergement et exploitation | Inclus | 300 à 900 EUR HT/mois (2 nœuds, base PostgreSQL, supervision) |
| MFA et accès conditionnel | Natifs (P1) | MFA natif, règles conditionnelles à configurer |
| Souveraineté des données | Cloud Microsoft, soumis au Cloud Act | Hébergement au choix, possible en SecNumCloud |
| Synchronisation annuaire | Entra Connect avec Active Directory | Fédération LDAP ou Active Directory |
| Délai de mise en service | 2 à 4 semaines | 4 à 8 semaines |
| Compétences requises | Administrateur M365 | Ingénieur identité ou prestataire infogéré |
Le coût réel sur 3 ans pour 900 utilisateurs
La licence est rarement le poste principal. Ce qui pèse, c'est l'intégration de chaque application métier : un ERP du marché supporte souvent SAML ou OIDC en standard, alors qu'une application développée sur mesure il y a 8 ans demande de réécrire sa couche d'authentification.
| Poste (900 utilisateurs, 7 applications) | Entra ID P1 | Keycloak auto-hébergé |
|---|---|---|
| Licences sur 3 ans | 194 400 EUR (0 EUR si déjà inclus dans M365) | 0 EUR |
| Mise en place | 4 000 EUR HT | 6 000 EUR HT |
| Exploitation sur 3 ans | Incluse | 21 600 EUR HT (600 EUR/mois) |
| Intégration OIDC de 7 applications | 7 x 2 500 = 17 500 EUR HT | 7 x 2 500 = 17 500 EUR HT |
| Mises à jour et tests de sécurité | 3 000 EUR HT | 9 000 EUR HT |
| Total 3 ans, licences à payer | 218 900 EUR HT | 54 100 EUR HT |
| Total 3 ans, licences déjà incluses | 24 500 EUR HT | 54 100 EUR HT |
La lecture est simple : si vos salariés ont déjà une licence Microsoft 365 qui inclut Entra ID P1, Entra ID est presque toujours moins cher. Si vos utilisateurs n'ont pas M365 (ateliers, entrepôts, sous-traitants) ou si vos applications doivent rester hors du droit extraterritorial, Keycloak devient nettement plus rentable. Un modèle hybride est fréquent : Entra ID pour les bureaux, Keycloak fédéré pour les applications sensibles et les comptes externes.
Les étapes d'un projet SSO sans casse
Un projet type se déroule en quatre temps. D'abord l'inventaire : liste des applications, protocole supporté (OIDC, SAML ou aucun), nombre d'utilisateurs, propriétaire métier. Ensuite le socle : fournisseur d'identité, MFA, règles de création et de suppression des comptes reliées au SIRH. Puis l'intégration, en commençant par l'application la plus utilisée pour obtenir un gain visible. Enfin la bascule : désactivation des mots de passe locaux et procédure de départ testée, qui doit couper tous les accès en moins d'une heure.
Mini cas pratique
Thomas, DSI d'une ETI industrielle de 900 salariés basée à Strasbourg avec une filiale à Berlin, reçoit environ 260 tickets de réinitialisation de mot de passe par mois, à 15 minutes de traitement chacun, soit 65 heures par mois. Seuls 400 salariés de bureau ont une licence M365 E3. Il retient un modèle hybride : Entra ID pour les 400 (déjà inclus), Keycloak hébergé en France pour les 500 opérateurs et l'application qualité sensible. Budget : 6 000 EUR HT de mise en place, 17 500 EUR HT d'intégration, 600 EUR HT par mois d'exploitation. Les tickets baissent de 70 %, soit 45 heures libérées par mois (environ 2 000 EUR de temps support à 45 EUR l'heure). Sur 3 ans, le gain de temps couvre déjà plus de 80 % du projet, sans compter le risque évité sur les comptes orphelins.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
FAQ
Keycloak est-il assez fiable pour une ETI ?
Oui, il est utilisé par des banques et des administrations, à condition d'être déployé en haute disponibilité (2 nœuds minimum) et mis à jour tous les 2 à 3 mois. Prévoyez 300 à 900 EUR HT par mois d'exploitation infogérée.
Combien coûte l'intégration d'une application sur mesure ?
De 1 500 EUR HT si le framework supporte OIDC nativement à 4 000 EUR HT si la couche d'authentification doit être réécrite. Une application très ancienne peut nécessiter un proxy d'authentification, autour de 2 000 EUR HT.
Faut-il obligatoirement la MFA ?
Elle n'est pas imposée par la loi dans tous les cas, mais NIS2 et les assureurs cyber la demandent de plus en plus. Avec le SSO, elle s'active une seule fois pour toutes les applications, ce qui évite 7 configurations séparées.
Combien de temps dure un projet complet ?
Comptez 2 à 4 semaines pour le socle Entra ID, 4 à 8 semaines pour Keycloak, puis 1 à 2 semaines par application. Un parc de 7 applications est en général basculé en 3 à 4 mois.
Peut-on changer de fournisseur d'identité plus tard ?
Oui, si les applications parlent OIDC standard : le changement se résume à reconfigurer chaque client, environ 1 jour par application. C'est un argument pour exiger OIDC plutôt qu'une intégration propriétaire.
Parlons de votre projet. Nous inventorions vos applications, chiffrons le scénario Entra ID, Keycloak ou hybride et intégrons le SSO en OIDC application par application, de 1 500 à 4 000 EUR HT chacune, en 3 à 4 mois pour un parc de 7 outils. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
