Alternative à Okta : où partir et comment migrer sans couper les accès

Pourquoi partir sur Entra ID. Si tes salariés se connectent déjà à Outlook, Teams et SharePoint avec un compte Microsoft, l'annuaire existe déjà. Entra ID (l'ancien Azure AD) fait du SSO (une seule connexion pour toutes les applications) en SAML et en OIDC, du MFA et de l'accès conditionnel : des règles du type « depuis un poste non géré, MFA obligatoire ». Tu supprimes une facture au lieu d'en changer.

Pour qui. Les entreprises qui vivent dans Microsoft 365, et celles qui ont encore un Active Directory sur site.

Pour qui ce n'est pas fait. Une équipe 100 % Google Workspace et Mac : tu achèterais un écosystème pour son annuaire.

Sa limite. Le catalogue et le lanceur d'applications d'Okta restent plus agréables, et les applications qui se connectaient par mot de passe enregistré (le mode SWA d'Okta) passent mal. Les avis divergent aussi sur l'accès conditionnel : plus fin que la politique de session d'Okta, mais plus long à régler. La fédération progressive ne gère pas les vieux protocoles de messagerie comme POP3 ou SMTP authentifié.

Comment migrer. C'est l'outil le mieux outillé pour sortir d'Okta : Microsoft publie trois guides officiels. Le premier liste tes applications par l'API d'Okta et les migre une par une (SAML, OIDC, serveurs d'autorisation). Le deuxième bascule la fédération de Microsoft 365 par groupes d'utilisateurs, avec la synchronisation des hachages de mot de passe. Le troisième traduit tes politiques de connexion Okta en accès conditionnel.

Son prix. Une version Free existe. P1 coûte 6,10 € HT par utilisateur et par mois, P2 (protection d'identité, accès privilégiés) 8,70 €, et la Suite 10,40 €, en paiement annuel ; la Suite demande un abonnement P1.

Pourquoi partir sur JumpCloud. Okta gère les identités, pas les ordinateurs. JumpCloud fait les deux : un annuaire cloud, du SSO, du MFA, un gestionnaire de mots de passe, et la gestion des postes Windows, Mac et Linux (MDM). Pour une PME sans Active Directory, c'est souvent un outil de moins à payer.

Pour qui. Les PME (l'offre Platform Essentials va jusqu'à 300 utilisateurs), avec un parc de machines mélangé et une petite équipe informatique.

Pour qui ce n'est pas fait. Un grand compte qui a besoin de gouvernance des accès poussée : sur les forums, JumpCloud est décrit comme agréable mais moins avancé qu'Okta. Un ancien client d'Okta raconte aussi être reparti de JumpCloud à cause d'une prise en main plus raide que prévu.

Sa limite. Pas de plan gratuit permanent, seulement un essai de 30 jours. Les utilisateurs suspendus restent facturés : pense à supprimer les comptes des anciens salariés. L'offre Platform Essentials s'arrête à 300 utilisateurs.

Comment migrer. Recrée d'abord tes groupes avec les mêmes noms qu'Okta, puis connecte chaque application en SAML ou par synchronisation SCIM (le protocole qui crée et supprime les comptes automatiquement). Garde le même identifiant pour chaque personne, souvent l'email, pour que les applications reconnaissent leurs comptes existants.

Son prix. Le paquet SSO (SSO, MFA, gestionnaire de mots de passe) coûte 11 $ par utilisateur et par mois à l'année, 13 $ au mois. La gestion des appareils coûte 9 $ (11 $ au mois), le paquet appareils et identité 13 $ (15 $). Des modules à la carte démarrent à 3 $, et la plateforme complète est sur devis.

Pourquoi partir sur Ping. Ping est l'autre grand nom de l'identité d'entreprise, et il propose trois façons de déployer : PingOne (cloud mutualisé), Advanced Identity Cloud (cloud dédié à ton entreprise) et un logiciel que tu installes chez toi. Si une partie de tes applications vit encore dans tes datacenters, c'est un argument qu'Okta n'a pas au même niveau.

Pour qui. Les banques, assureurs, administrations et industriels, avec des milliers d'utilisateurs et des contraintes d'hébergement ; Ping propose aussi des environnements FedRAMP pour le secteur public américain.

Pour qui ce n'est pas fait. Une PME : sans prix public et avec un cycle de vente de grand compte, tu passeras plus de temps en réunion qu'à migrer.

Sa limite. Aucun prix affiché. Le tarif dépend du nombre et du type d'identités (salariés, clients, partenaires), et tout passe par un commercial. Compare donc à périmètre égal, module par module.

Comment migrer. Les étapes sont les mêmes que vers Entra : inventaire des applications, reconfiguration SAML ou OIDC une par une, bascule du MFA par groupes. Demande à Ping, dans le devis, ce qu'il prend en charge pour la migration et pendant combien de temps les deux outils peuvent tourner ensemble.

Son prix. Sur devis uniquement.

Pourquoi partir sur Keycloak. Keycloak est gratuit, sous licence Apache 2.0, et couvre l'essentiel d'un fournisseur d'identité : SSO, OIDC, OAuth 2.0, SAML 2.0, connexion à un annuaire LDAP ou Active Directory. Le projet est en incubation à la Cloud Native Computing Foundation, ce qui rassure sur sa durée de vie. Plus aucune facture par utilisateur.

Pour qui. Les équipes techniques qui hébergent déjà leurs services, et les éditeurs qui veulent une identité pour leurs propres clients.

Pour qui ce n'est pas fait. Une entreprise sans équipe d'exploitation : sur les forums, l'hébergement de Keycloak est décrit comme une lourde charge. Mises à jour, sauvegardes, haute disponibilité et sécurité sont pour toi.

Sa limite. Pas de catalogue d'applications prêtes à brancher comme celui d'Okta : chaque application se configure à la main. Pas de support éditeur non plus, sauf à passer par un prestataire.

Comment migrer. Monte d'abord une instance de test et migre une application peu critique. Recrée tes groupes avec les mêmes noms, garde l'email comme identifiant, et prévois la réinitialisation des mots de passe : Okta ne te les rendra pas en clair.

Son prix. Gratuit. Le vrai coût, c'est le temps de ton équipe et l'hébergement.

Pourquoi partir sur Cloud-IAM. Tu veux Keycloak sans l'héberger ? Cloud-IAM, éditeur français, le fait tourner pour toi. Tu choisis ton hébergeur, dont Scaleway et Outscale, et sur Outscale tu peux obtenir un hébergement qualifié SecNumCloud 3.2 et certifié HDS (données de santé). Pour une entreprise qui doit garder ses identités hors des clouds américains, c'est l'argument que ni Okta ni Entra n'offrent.

Pour qui. Les éditeurs de logiciels, la santé, le secteur public et les entreprises soumises à des exigences de souveraineté.

Pour qui ce n'est pas fait. Une petite PME qui cherche un SSO prêt à l'emploi pour ses salariés : tu retrouves la configuration application par application de Keycloak.

Sa limite. Le prix est un forfait mensuel, pas un prix par personne : à petite échelle, il pèse plus lourd qu'un outil facturé au siège. Le catalogue d'intégrations prêtes reste celui de Keycloak.

Comment migrer. Commence par le plan Freemium (100 utilisateurs, un seul espace) pour reconfigurer deux ou trois applications de test. Bon point : Cloud-IAM facture au nombre de comptes, mais ne bloque jamais le service si tu dépasses ton quota, ce qui évite une coupure le jour de l'import.

Son prix. Freemium gratuit, Starter 225 € par mois, Essential 495 €, Premium 1 440 €, avec 10 % de remise à l'année.

Pourquoi partir sur authentik. authentik est un fournisseur d'identité open source plus jeune que Keycloak. Sa version gratuite suffit pour des cas simples, et son offre Enterprise ajoute le support et des fonctions pour l'entreprise à un prix par personne bien plus bas que celui d'Okta.

Pour qui. Les équipes techniques qui veulent héberger leur identité mais garder un éditeur à appeler en cas de problème.

Pour qui ce n'est pas fait. Une équipe qui ne veut rien héberger : tu restes responsable des serveurs, des sauvegardes et des mises à jour.

Sa limite. L'éditeur présente lui-même la version gratuite comme faite pour les labos personnels et les cas simples, avec un support communautaire seulement. Le haut de gamme saute d'un coup : Enterprise Plus démarre à 20 000 $ par an.

Comment migrer. Même méthode que pour Keycloak : une instance de test, une application peu critique d'abord, les groupes recréés à l'identique, l'email comme identifiant stable.

Son prix. Open source gratuit. Enterprise à 5 $ par utilisateur interne et par mois, ou 0,02 $ par utilisateur externe, facturé à l'année.

Pourquoi partir sur Duo. Beaucoup d'équipes utilisent surtout Okta pour la double authentification. Si c'est ton cas, Duo fait ce travail pour bien moins cher, en s'ajoutant à l'annuaire que tu gardes.

Pour qui. Les petites structures, et les entreprises qui gardent un annuaire Microsoft ou Google mais veulent un MFA plus solide devant leurs VPN et leurs applications.

Pour qui ce n'est pas fait. Remplacer tout Okta : Duo est d'abord un outil de MFA, pas un annuaire complet. Il faut l'associer à celui que tu gardes.

Sa limite. Les licences se vendent par lots de 10 sous 100 utilisateurs, puis par lots de 25 : avec 104 personnes, tu paies 125 sièges.

Comment migrer. Le MFA est la partie de la migration qui touche chaque salarié. Lance une campagne d'enrôlement Duo avant de couper le MFA d'Okta, avec une date limite claire et un canal d'aide.

Son prix. Free jusqu'à 10 utilisateurs. Essentials 3 $, Advantage 6 $ et Premier 9 $ par utilisateur et par mois, avec un essai de 30 jours.

Pourquoi partir sur ZITADEL. ZITADEL est un fournisseur d'identité open source qui propose aussi une version hébergée par l'éditeur, facturée au mois et non au siège. Tu gardes la porte de sortie de l'open source sans faire tourner de serveur.

Pour qui. Les éditeurs de logiciels qui doivent connecter leurs propres clients, et les équipes produit qui cherchent une alternative à l'offre clients d'Okta, dont le socle Enterprise coûte 3 000 $ par mois.

Pour qui ce n'est pas fait. Remplacer l'identité de tes salariés avec un catalogue d'applications prêtes : ZITADEL vise d'abord les développeurs.

Sa limite. Le gratuit plafonne à 100 utilisateurs actifs par jour et 3 fournisseurs d'identité externes. Le saut vers Pro est net si tu dépasses légèrement.

Comment migrer. Pour une application cliente, prévois un import progressif : chaque utilisateur réinitialise son mot de passe ou se reconnecte via un fournisseur externe (Google, Microsoft), puisque les mots de passe ne sortent pas d'Okta en clair.

Son prix. Free gratuit, Pro à 100 $ par mois jusqu'à 25 000 utilisateurs actifs par jour, Enterprise sur devis.