SSO (Single Sign-On) pour les PME : moins de mots de passe, plus de sécurité

De plus en plus de PME observent le même schéma : les collaborateurs utilisent dix à vingt applications cloud, chacun a un mot de passe légèrement différent partout, et le helpdesk croule sous les tickets « j'ai oublié mon mot de passe ». L'authentification unique, ou Single Sign-On (SSO), promet de régler ce problème : une seule connexion, un accès partout. Dans cet article, nous expliquons ce qu'est exactement le SSO, comment il fonctionne, quels sont ses avantages et ses risques réels pour une PME, et ce que coûtent les solutions les plus utilisées.

Qu'est-ce que le Single Sign-On, exactement ?

Le Single Sign-On est une méthode d'authentification dans laquelle un utilisateur se connecte une seule fois auprès d'un fournisseur d'identité central (identity provider, ou IdP), puis accède à toutes les applications reliées sans avoir à se reconnecter. L'IdP est le tiers de confiance : il vérifie qui vous êtes et remet aux applications un jeton temporaire qui atteste que « cette personne est bien celle qu'elle prétend être ».

En pratique : le matin, vous ouvrez votre ordinateur portable, vous vous connectez une fois à Microsoft Entra ou Google Workspace (ou Okta, ou JumpCloud), et ensuite Outlook, Teams, Salesforce, HubSpot et Slack s'ouvrent directement. Les mots de passe ou les passkeys n'ont pas disparu, mais il n'y en a plus vingt différents, ni vingt endroits différents où un attaquant peut les dérober.

Pourquoi le SSO est soudain devenu un sujet pour les PME

Selon Dashlane, une personne gère en moyenne 301 mots de passe. Même divisé par deux pour le seul usage professionnel, c'est plus qu'un être humain ne peut retenir sans astuces.

Conséquence : la réutilisation des mots de passe. Une étude portant sur 19,03 milliards de mots de passe divulgués a montré que 94 % étaient réutilisés ou en double. Le Verizon DBIR 2026 cite les identifiants volés comme vecteur d'accès initial dans 22 % de toutes les intrusions confirmées ; 88 % des attaques contre les applications web basiques s'appuient sur des identifiants volés.

Le calcul est simple pour une PME : plus il y a de mots de passe distincts, plus le risque est grand d'avoir dans vos systèmes un mot de passe faible, réutilisé ou divulgué. Le SSO réduit ce nombre de façon drastique. Voir aussi notre article sur le déploiement d'un gestionnaire de mots de passe professionnel, souvent la première étape avant le SSO.

Le coût bien réel des mots de passe pour le helpdesk

Au-delà de la sécurité, il y a un coût très concret. Gartner indique depuis des années que 20 à 50 % de tous les tickets de helpdesk concernent des mots de passe. HDI arrive à environ 70 dollars par ticket de réinitialisation de mot de passe pour un service complet, vérification d'identité, workflow et piste d'audit comprises. L'estimation plus prudente de Forrester, de 25 à 30 dollars par ticket de helpdesk général, représente aussi vite une somme conséquente avec des centaines de tickets par an.

Pour une PME de 50 collaborateurs avec deux réinitialisations par collaborateur et par an, on arrive facilement à 5 000 à 7 000 € de temps de helpdesk pur, auxquels s'ajoutent 15 à 30 minutes de perte de productivité par réinitialisation. Le SSO en supprime l'immense majorité. Il reste un compte central avec un mot de passe, mais un seul, et sa réinitialisation passe généralement par un libre-service avec une vérification d'identité forte.

Les protocoles sous-jacents : SAML, OIDC et OAuth

Lorsque vous parlez de SSO avec un fournisseur ou un consultant, trois sigles reviennent. En bref :

• SAML 2.0 est le standard plus ancien, vieux de plus de dix ans, du SSO en entreprise. Il transmet l'identité via le navigateur sous forme de messages XML signés. Pratiquement tous les logiciels professionnels prennent en charge SAML, même s'ils ne le nomment pas toujours ainsi.
• OpenID Connect (OIDC) est son successeur moderne, construit au-dessus d'OAuth 2.0. Il utilise des JSON Web Tokens (JWT) au lieu du XML. Il convient mieux aux applications mobiles, aux applications monopages et aux SaaS nativement cloud.
• OAuth 2.0 n'est pas un protocole de connexion mais un protocole d'autorisation : il permet à l'application A d'agir en votre nom auprès de l'application B, sans donner votre mot de passe à A. « Se connecter avec Google » repose en coulisses sur OAuth et OIDC.

Pour une PME, la règle pratique est la suivante : choisissez un IdP qui maîtrise à la fois SAML et OIDC, car vous rencontrerez les deux. Les nouvelles applications cloud tendent vers OIDC, les logiciels d'entreprise plus anciens restent souvent sur SAML. Notre article sur la sécurité zero trust explique plus en détail pourquoi les protocoles d'identité modernes sont importants.

Quels fournisseurs d'identité conviennent aux PME ?

Les trois choix les plus courants :

Microsoft Entra ID (anciennement Azure AD). Une version de base d'Entra ID est déjà incluse dans Microsoft 365. Pour un véritable SSO vers des applications externes, il vous faut Entra ID P1 : environ 7 dollars par utilisateur et par mois avec engagement annuel depuis la hausse de prix du 1er juillet 2026. P2, avec l'accès conditionnel basé sur le risque : 10 dollars. Microsoft 365 E3 inclut P1, E5 inclut P2.

Okta Workforce Identity. L'acteur indépendant spécialisé. Une offre SSO seule à partir de 2 dollars par utilisateur et par mois ; en pratique, il vous faudra la Starter Suite (6 dollars avec SSO, MFA, Adaptive MFA, Universal Directory) ou Essentials (17 dollars). Contrat minimum de 1 500 dollars par an, facturation annuelle uniquement.

JumpCloud. Apprécié dans les environnements mixtes Windows/Mac. Offre SSO autour de 13 dollars par utilisateur et par mois ; Platform à 22 dollars, Platform Prime à 27 dollars.

Pour les entreprises déjà équipées en Microsoft 365, Entra ID P1 est le point de départ logique, car il s'intègre à ce que vous utilisez déjà. Pour les environnements hétérogènes, avec beaucoup de Mac ou Google Workspace, Okta et JumpCloud sont mieux placés.

Toujours associer le SSO à la MFA ou aux passkeys

Le SSO seul n'est pas plus sûr que des mots de passe distincts, il est seulement plus efficace. Si quelqu'un vole l'unique mot de passe central, il accède d'un coup à toutes les applications. C'est le risque inhérent. La solution est connue : associez toujours le SSO à une authentification multifacteur (MFA) robuste, et de préférence aux passkeys (une connexion résistante au phishing basée sur FIDO2).

Chez les fournisseurs SSO, la part médiane des tentatives d'authentification classées comme du credential stuffing s'élève à 19 % par jour. Autrement dit : les attaquants savent qu'une connexion centrale rapporte gros et la ciblent activement. Sans MFA, le risque d'une attaque par force brute ou par credential stuffing réussie est trop élevé.

Si vous n'avez pas encore déployé la MFA, commencez par là. Notre guide de mise en œuvre de la MFA en décrit les étapes.

Avantages et limites en un coup d'œil

Avantages :

• Moins de mots de passe par collaborateur, donc moins de réutilisation et moins de mots de passe faibles.
• Moins de tickets de helpdesk liés aux mots de passe, et donc des coûts opérationnels plus faibles.
• Une intégration plus rapide des nouveaux collaborateurs : vous les rattachez à l'IdP et ils accèdent immédiatement à toutes les applications auxquelles ils ont droit.
• Des départs gérés plus vite et de façon plus sûre : désactiver quelqu'un dans l'IdP coupe immédiatement l'accès à toutes les applications, sans oubli. Lisez aussi notre guide sur l'arrivée et le départ des collaborateurs côté IT.
• Un audit centralisé : vous voyez qui a accédé à quelle application et quand, ce qui est crucial pour NIS2, le RGPD et la cyberassurance.
• Une base pour le Zero Trust et l'accès conditionnel : accès basé sur le risque, connexion uniquement depuis des appareils gérés, restrictions géographiques.

Limites et risques :

• Point de défaillance unique : si l'IdP est en panne, plus personne ne peut accéder à rien. C'est rare chez les grands fournisseurs, mais le risque existe bel et bien.
• Si le compte central est compromis, tout est exposé. La MFA ou les passkeys ne sont donc pas un luxe mais une nécessité.
• Les coûts augmentent avec le nombre de collaborateurs. Pour 100 collaborateurs, la licence peut atteindre 10 000 à 20 000 € par an selon votre choix.
• Toutes les applications ne prennent pas en charge le SSO dans leur offre la moins chère : de nombreux éditeurs SaaS appliquent une « taxe SSO » et vous obligent à passer à un abonnement plus coûteux. Cela peut fausser l'analyse de rentabilité.
• L'intégration a un coût : comptez 1 à 4 semaines de mise en œuvre selon le nombre d'applications.

Comment mener un projet de SSO ?

Un bon déploiement du SSO dans une PME suit un schéma bien établi :

1. Choisissez votre IdP. Généralement Entra ID si vous êtes déjà dans l'écosystème Microsoft, sinon Okta ou JumpCloud. Ne comparez pas seulement les prix, mais aussi les applications prises en charge.
2. Inventoriez vos applications. Dressez la liste de tous les SaaS réellement utilisés par les collaborateurs. N'oubliez pas le « shadow IT », jamais officiellement approuvé. Pour en savoir plus sur ce phénomène, lisez notre article sur les risques du shadow IT.
3. Établissez des priorités. Raccordez d'abord les applications qui comptent le plus d'utilisateurs et les données les plus sensibles (messagerie, CRM, comptabilité, RH).
4. Configurez la MFA ou les passkeys en même temps. Ne le faites pas plus tard ; sinon, vous subirez à mi-parcours une baisse de confort pour les utilisateurs sans le gain de sécurité.
5. Testez avec un petit groupe. Déployez d'abord auprès de l'IT et d'une poignée d'utilisateurs pilotes. Réglez les cas particuliers avant de généraliser.
6. Documentez et formez. Les collaborateurs doivent savoir ce qui change et pourquoi, et quoi faire en cas de problème.
7. Automatisez le provisionnement. Via SCIM, certains IdP se connectent aux systèmes RH : un nouveau collaborateur saisi dans l'outil RH obtient automatiquement un compte dans toutes les applications concernées.

Pour une PME qui utilise 20 à 30 applications, comptez 2 à 6 semaines de travail, selon la complexité de votre environnement d'identités existant.

Quand le SSO n'en vaut-il pas la peine ?

Soyons francs sur les inconvénients : si votre équipe est très petite (moins de 10 collaborateurs) et que vous n'utilisez presque aucune application cloud en dehors de Microsoft 365, l'intérêt économique du SSO est limité. Un bon gestionnaire de mots de passe et la MFA sur les comptes les plus importants vous apportent alors déjà 80 % du bénéfice pour 20 % du coût. Si vous passez à 20 collaborateurs ou utilisez davantage de SaaS, la balance bascule rapidement.

De même, si une grande partie de votre travail repose sur des systèmes on-premise anciens qui ne prennent en charge ni SAML ni OIDC, le SSO restera incomplet et vous aurez tout de même besoin d'une solution distincte pour ces applications.

Questions fréquentes sur le SSO dans les PME

Quelle est la différence entre le SSO et un gestionnaire de mots de passe ? Un gestionnaire de mots de passe stocke vos mots de passe individuels en toute sécurité et les saisit automatiquement dans chaque application. Le SSO remplace ces mots de passe individuels par une connexion centrale unique auprès d'un fournisseur d'identité. Un gestionnaire de mots de passe est un excellent point de départ et fonctionne avec toutes les applications ; le SSO exige que l'application prenne en charge SAML ou OIDC, mais il vous offre un audit centralisé, des départs gérés rapidement et une intégration avec la MFA.

Le SSO est-il plus sûr que des mots de passe distincts ? Uniquement si vous l'associez à une MFA robuste ou à des passkeys. Un SSO sans MFA est plus efficace mais pas automatiquement plus sûr, car un compte central compromis donne accès à tout. Avec la MFA, le SSO devient nettement plus sûr qu'un patchwork de mots de passe distincts.

Combien coûte le SSO pour une PME de 50 collaborateurs ? Avec Microsoft Entra ID P1, comptez environ 7 dollars par utilisateur et par mois, soit environ 4 200 dollars par an pour 50 utilisateurs, sauf si vous utilisez déjà M365 E3 ou E5 (où il est inclus). Okta revient, avec sa suite d'entrée de gamme, à environ 3 600 dollars par an pour la même taille d'entreprise. Ajoutez-y des frais de mise en œuvre de 3 000 à 10 000 € selon le nombre d'applications à raccorder.

Toutes les applications SaaS prennent-elles en charge le SSO ? Presque tous les SaaS modernes prennent en charge SAML ou OIDC, mais de nombreux éditeurs réservent le SSO à leurs offres les plus chères. C'est ce qu'on appelle la « taxe SSO », qui peut fausser l'analyse de rentabilité. Vérifiez pour chaque application si le SSO est inclus dans votre abonnement et de quelle offre vous avez besoin.

Que se passe-t-il si mon fournisseur d'identité tombe en panne ? Plus personne ne peut alors se connecter aux applications reliées. Chez les grands fournisseurs comme Microsoft et Okta, cela arrive rarement, mais le risque est réel. Prévoyez une procédure de secours pour les comptes critiques (comme celui de votre administrateur IT) et envisagez des comptes d'urgence (break-glass) qui ne passent pas par le SSO, pour les situations de crise.

Conclusion

Pour une PME, le SSO n'est ni un luxe ni un effet de mode, mais l'un des moyens les plus efficaces de renforcer la sécurité des mots de passe tout en allégeant la charge opérationnelle. Le calcul est presque toujours favorable dès que vous utilisez plus d'une poignée d'applications SaaS et que vous comptez plus de 20 collaborateurs. Associez-le toujours à une MFA robuste ou à des passkeys, choisissez un fournisseur d'identité adapté à votre environnement existant et traitez le déploiement comme un véritable projet, avec un pilote et de la documentation.

Vous voulez savoir quelle solution SSO convient à votre environnement, ou devez-vous mettre quelque chose en place en urgence pour une cyberassurance, pour NIS2 ou simplement parce que votre helpdesk est débordé ? TRON Group aide les PME néerlandaises à sélectionner, déployer et intégrer Entra ID, Okta ou JumpCloud, MFA et accès conditionnel compris. Découvrez nos services de cybersécurité ou appelez le +31 85 303 5869 pour un échange sans discours commercial. TRON Group. Moving IT Forward - Une informatique qui fonctionne, évolue et protège.