Le verdict en trois phrases
Pour une ETI de Strasbourg, intégrer le SSO Microsoft Entra ID à une application métier coûte 3 000 à 9 000 € HT selon le protocole et la qualité du code existant. La synchronisation des rôles depuis l'annuaire ajoute 2 000 à 5 000 € HT et c'est elle qui supprime réellement les comptes orphelins. Le projet tient en 2 à 5 semaines et fournit au RSSI des journaux d'accès directement exploitables pour la conformité NIS2.
Ce que vous achetez exactement : les briques d'une intégration Entra ID
Une intégration sérieuse ne se limite pas à un bouton « Se connecter avec Microsoft ». Elle couvre l'enregistrement de l'application dans le tenant, le choix du protocole, la récupération des groupes, l'application de l'accès conditionnel (MFA, appareils conformes, géolocalisation) et la journalisation. Sur une application métier développée il y a cinq ans avec une authentification locale, le plus gros du travail consiste souvent à remplacer la table des utilisateurs par une identité fédérée sans casser l'historique des données.
| Brique | Fourchette 2026 (€ HT) | Délai indicatif | Commentaire |
|---|---|---|---|
| SSO OIDC sur application moderne (Node, .NET, Python) | 3 000 - 5 000 | 1 à 2 semaines | Bibliothèques MSAL matures, cas le plus simple |
| SSO SAML 2.0 sur application ancienne | 5 000 - 9 000 | 2 à 3 semaines | Métadonnées, certificats, tests plus longs |
| Mapping des groupes Entra vers les rôles applicatifs | 2 000 - 5 000 | 1 à 2 semaines | Supprime la gestion manuelle des droits |
| Provisionnement SCIM (création et désactivation auto) | 3 000 - 6 000 | 1 à 2 semaines | Départ d'un salarié = accès coupé en moins de 40 min |
| Journalisation des accès et export SIEM | 1 500 - 4 000 | 1 semaine | Preuves d'audit, rétention 12 mois conseillée |
| Migration des comptes locaux existants | 1 000 - 3 500 | 3 à 5 jours | Rapprochement par e-mail, nettoyage des doublons |
| Tests de sécurité ciblés (jetons, redirections) | 1 500 - 3 000 | 3 à 5 jours | Recommandé avant mise en production |
Un périmètre type pour une ETI (OIDC, rôles, journalisation) se situe donc autour de 7 000 à 14 000 € HT. Le SCIM est optionnel mais devient rentable dès que l'application compte plus de 150 utilisateurs avec un turn-over régulier.
OIDC ou SAML, MFA et NIS2 : comment arbitrer
Le choix du protocole dépend d'abord de la pile technique. OIDC est le standard actuel, plus léger et mieux outillé. SAML reste pertinent pour des applications Java ou PHP anciennes, ou si votre PSSI l'impose. Dans les deux cas, la double authentification n'est pas codée dans l'application : elle est portée par les stratégies d'accès conditionnel d'Entra ID, ce qui évite de maintenir un second système de MFA.
| Critère | OIDC | SAML 2.0 | Authentification locale actuelle |
|---|---|---|---|
| Coût d'intégration 2026 | 3 000 - 5 000 € HT | 5 000 - 9 000 € HT | 0 € (mais dette de sécurité) |
| Support MFA et accès conditionnel | Natif via Entra | Natif via Entra | À développer, 4 000 € HT et plus |
| Révocation d'accès au départ d'un salarié | Immédiate avec SCIM | Immédiate avec SCIM | Manuelle, souvent oubliée |
| Adapté aux API et applications mobiles | Oui | Peu adapté | Variable |
| Charge de maintenance annuelle | 500 - 1 200 € HT | 800 - 1 800 € HT | Réinitialisations de mots de passe à traiter |
| Contribution aux preuves NIS2 | Forte | Forte | Faible |
Pour NIS2, la directive transposée en France impose aux entités essentielles et importantes une gestion des accès et une authentification renforcée. Un SSO adossé à Entra ID, avec journaux centralisés, couvre une part significative des mesures attendues sur le contrôle d'accès. Il ne remplace pas l'analyse de risques ni le plan de continuité, mais il simplifie fortement la démonstration lors d'un contrôle.
Les erreurs qui font dériver le budget
Trois erreurs reviennent dans nos audits. La première : oublier les comptes de service et les accès techniques, qui ne passent pas par le SSO et restent des portes dérobées. La deuxième : remonter tous les groupes Entra dans le jeton, ce qui dépasse la limite de 200 groupes et provoque des erreurs de connexion difficiles à diagnostiquer. La troisième : ne pas prévoir de compte de secours (break-glass) si le tenant devient indisponible. Chacune de ces erreurs coûte en moyenne 1 à 3 jours de correction, soit 700 à 2 100 € HT.
Mini cas pratique
Nathalie, RSSI d'une ETI industrielle de 420 salariés à Strasbourg, gère une application de suivi de production avec 260 comptes locaux. L'audit interne révèle 38 comptes d'anciens salariés encore actifs. Le projet retenu : SSO OIDC (4 200 € HT), mapping des rôles (3 100 € HT), SCIM (3 800 € HT) et journalisation (2 200 € HT), soit 13 300 € HT sur 4 semaines.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Côté gains, le support informatique traitait environ 45 réinitialisations de mot de passe par mois à 15 minutes chacune, soit 11 heures mensuelles. À 55 € l'heure chargée, cela représente 7 260 € par an économisés, sans compter la suppression du risque lié aux 38 comptes orphelins. Le retour sur investissement direct arrive en moins de deux ans, et l'argument NIS2 a suffi à faire valider le budget par la direction.
FAQ
Faut-il une licence Entra ID P1 ou P2 pour le SSO ?
Le SSO de base fonctionne avec la version incluse dans Microsoft 365. L'accès conditionnel exige Entra ID P1, environ 5,60 € par utilisateur et par mois en 2026, souvent déjà inclus dans Microsoft 365 Business Premium ou E3.
Combien de temps l'application est-elle indisponible pendant la bascule ?
Avec une migration préparée, la coupure se limite à une fenêtre de 30 minutes à 2 heures, planifiée hors production. Les deux modes de connexion peuvent cohabiter 1 à 2 semaines pour sécuriser la transition.
Peut-on intégrer des utilisateurs externes (sous-traitants, clients) ?
Oui, via Entra External ID ou les invités B2B. Comptez 1 500 à 3 000 € HT supplémentaires pour gérer des parcours et des rôles distincts pour ces populations.
Le SSO suffit-il pour être conforme NIS2 ?
Non, il couvre surtout le volet contrôle d'accès et authentification. Il faut le compléter par une gestion des vulnérabilités, une politique de sauvegarde et une procédure de notification d'incident sous 24 heures.
Que se passe-t-il si Microsoft change ses API ?
Les bibliothèques MSAL sont maintenues et les évolutions sont annoncées 12 à 24 mois à l'avance. Un contrat de maintenance de 500 à 1 200 € HT par an absorbe ces mises à jour.
Parlons de votre projet. Envoyez-nous la pile technique de votre application et le nombre d'utilisateurs : nous chiffrons le SSO, les rôles et la journalisation, avec un budget indicatif de 7 000 à 14 000 € HT et un délai de 2 à 5 semaines. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
