Quel logiciel SSO et IAM choisir pour ton entreprise en 2026 ?

Entra ID est l'annuaire de Microsoft 365. Si ton entreprise a des comptes Microsoft, elle a déjà un Entra ID, même sans le savoir. L'édition gratuite donne le SSO sans limite d'applis, la double vérification et la réinitialisation du mot de passe par l'utilisateur lui-même.

Le palier qui change tout, c'est P1, à 6,10 € HT par utilisateur et par mois. Il ajoute l'accès conditionnel : autoriser ou bloquer une connexion selon l'appareil utilisé ou le lieu de connexion. Il ajoute aussi la connexion sans mot de passe et la synchronisation avec un Active Directory local. Bonne nouvelle : P1 est inclus dans Microsoft 365 Business Premium. Beaucoup de PME le paient déjà sans s'en servir.

La galerie compte des milliers d'applis prêtes pour le SSO. La création automatique des comptes passe par SCIM 2.0, mais pas pour toutes les applis de la galerie : vérifie la fiche de chacune. Les retours d'administrateurs disent la même chose : simple si tout est chez Microsoft, mais les niveaux de licence se lisent mal et réservent des surprises sur la facture.

Okta est le spécialiste indépendant de l'identité. Son atout reste le catalogue : plus de 8 000 intégrations prêtes à l'emploi. Pour une entreprise qui ne vit pas que dans Microsoft, c'est la solution où la plupart des applis se branchent en quelques clics.

Le prix démarre à 6 $ par utilisateur et par mois avec Starter : SSO, double vérification et annuaire universel. Mais la création et la suppression automatiques des comptes (Lifecycle Management) et la double vérification adaptative sont en option sur ce palier. Il faut Essentials, à 17 $, pour les avoir avec 50 automatisations (Workflows). Tout se paie à l'année, avec un contrat minimum de 1 500 $ : une équipe de 15 personnes paie donc le minimum, pas 15 fois 6 $.

Les administrateurs le résument ainsi : le plus cher, mais extrêmement simple, et « ça marche ». Ils se plaignent aussi des modules qu'on pousse à ajouter et de la facturation au compte Okta, comptes de service compris. Okta a aussi connu deux incidents de sécurité en 2022 et en 2023, ce dernier touchant son système de support. Si tu envisages de le quitter, notre guide pour changer d'Okta détaille les options.

JumpCloud se présente comme un annuaire dans le cloud. Il gère les comptes des salariés, le SSO vers les applis et aussi les ordinateurs eux-mêmes, avec des modules LDAP et RADIUS pour les équipements qui ne parlent pas SSO. C'est ce mélange qui le distingue d'Okta.

Son offre SSO coûte 11 $ par utilisateur et par mois à l'année, 13 $ au mois, et inclut la double vérification et un gestionnaire de mots de passe. La gestion des appareils seule coûte 9 $, les deux ensemble 13 $. Tu peux aussi prendre des modules à la carte dès 3 $. Attention : JumpCloud n'est plus gratuit pour les nouveaux comptes depuis 2024. L'ancien gratuit à 10 utilisateurs reste réservé aux comptes ouverts avant, et beaucoup de comparatifs l'affichent encore.

Côté terrain, les avis saluent l'étendue de l'outil mais citent une console exigeante, beaucoup de clics pour les règles avancées et des rapports limités. Le rapport qualité-prix est le point le moins bien noté par les utilisateurs. Autre piège : les utilisateurs suspendus sont facturés, fais le ménage avant chaque renouvellement.

Duo, de Cisco, est d'abord un outil de double vérification. Il propose aussi un SSO, inclus dans ses offres payantes. Son argument, c'est le prix : le SSO est inclus dès Essentials, à 3 $ par utilisateur et par mois. C'est le premier prix public du classement avec SSO.

L'édition gratuite couvre 10 utilisateurs, mais sans SSO : elle sert à protéger quelques accès par la double vérification. Au-dessus, Advantage coûte 6 $ et Premier 9 $ par utilisateur et par mois. Les licences se vendent par lots de 10 sous 100 utilisateurs, puis de 25 : une équipe de 32 personnes en paie 40.

La limite tient au catalogue. Duo n'a ni la galerie d'Okta ni celle de Microsoft, et il ne remplace pas un annuaire complet. Il convient bien à une PME qui veut une double vérification solide partout et un SSO pour une dizaine d'applis.

Cloud Identity est la brique d'identité de Google, celle qui fait tourner les comptes Workspace. Elle peut servir de fournisseur d'identité pour tes applis tierces : ton salarié ouvre Slack ou ton CRM avec son compte Google, en SAML. La validation en deux étapes et les clés de sécurité sont dans les deux éditions.

La version gratuite suffit pour démarrer le SSO. Premium, à 6,60 € par utilisateur et par mois en formule flexible, ajoute la création automatique des comptes dans les applis et un engagement de disponibilité de 99,9 %. Sans Premium, chaque départ reste à traiter à la main dans chaque appli.

Les administrateurs sont partagés. L'outil convient bien aux PME et à l'éducation, mais beaucoup le jugent trop léger au-delà, faute de règles d'accès aussi fines qu'Entra ID ou Okta. Si tu hésites entre les deux suites, notre guide pour changer de Google Workspace compare les options.

Cloud-IAM est un éditeur français qui héberge et maintient Keycloak pour toi. Tu gardes l'outil open source standard (SAML, OIDC, annuaire LDAP), sans gérer les serveurs, les mises à jour ni les sauvegardes. Pour une PME, c'est souvent la façon raisonnable d'utiliser Keycloak.

Le prix est un forfait mensuel, pas un prix par utilisateur : gratuit jusqu'à 100 utilisateurs (un seul royaume, hébergé chez AWS, sans engagement de disponibilité), puis Starter dès 225 € par mois, Essential dès 495 € et Premium dès 1 440 €, avec 10 % de remise à l'année. Le prix final dépend du nombre d'utilisateurs, du support et de l'hébergeur choisi. Tous les plans payants sont certifiés ISO 27001:2022. La qualification SecNumCloud 3.2 et l'hébergement de données de santé (HDS) ne valent que pour un déploiement sur l'hébergeur Outscale : précise-le dans ta demande.

La limite, c'est la logique Keycloak elle-même : une console technique, pensée pour des développeurs autant que pour des administrateurs. Pour 30 salariés qui veulent juste le SSO vers leurs applis, Entra ID ou Duo sont plus simples. Pour une application à toi à protéger, ou une exigence souveraine écrite dans un contrat, Cloud-IAM devient très pertinent.

authentik est un fournisseur d'identité open source, plus récent que Keycloak et réputé plus simple. La version gratuite inclut déjà OIDC, SAML, LDAP, SCIM, RADIUS, Kerberos et un mode proxy pour protéger une appli qui ne sait pas parler SSO. L'éditeur a pris position contre la « taxe SSO » et garde ces protocoles dans l'open source.

La version gratuite n'a qu'un support communautaire. Enterprise coûte 5 $ par utilisateur interne et par mois à l'année, 0,02 $ par utilisateur externe, et les comptes de service y sont gratuits, à l'inverse d'Okta. Enterprise Plus démarre à 20 000 $ par an.

Sur les forums d'auto-hébergement, authentik revient souvent comme le juste milieu entre Keycloak, complet mais lourd, et des outils plus légers. Il reste un logiciel à installer, mettre à jour et sauvegarder toi-même. Sans quelqu'un pour s'en occuper, une solution hébergée coûte moins cher au final.

Ping Identity vise les grands comptes. Sa plateforme couvre le SSO, la double vérification et la gestion des accès, en trois formes : un cloud partagé (PingOne), un cloud dédié (Advanced Identity Cloud) ou un logiciel que tu héberges toi-même. Cette souplesse de déploiement est rare.

Ping n'affiche aucun prix : l'éditeur le fixe sur devis, selon le nombre et le type d'identités à gérer. Pour une PME, c'est un signal clair. Le cycle d'achat ressemble à celui d'un grand projet, avec un intégrateur la plupart du temps.

Nous le classons pour une raison simple : si ton entreprise grandit vite, ou si un groupe te demande de t'aligner sur sa solution, Ping fait partie des noms qui reviendront. Pour une structure de 50 personnes, Entra ID, Okta ou JumpCloud répondent au besoin plus vite et pour moins cher.

Keycloak est le serveur d'identité open source de référence, sous licence Apache 2.0 et aujourd'hui en incubation à la CNCF (la fondation du cloud natif). Il gère le SSO, OIDC, OAuth 2.0 et SAML 2.0, se branche sur un annuaire LDAP ou Active Directory et propose la double vérification.

Il ne coûte rien en licence. Le vrai prix, c'est le serveur, les mises à jour, les sauvegardes et la personne qui sait réparer un royaume (le compartiment de configuration de Keycloak) un vendredi soir. Un administrateur résume ce choix sans détour : monter Keycloak soi-même, « un cauchemar ». D'autres le trouvent très bien une fois en place.

Pour une PME sans développeurs, Keycloak n'est pas le bon point de départ. Pour un éditeur d'appli ou une équipe technique, c'est l'outil le plus complet du classement. Si tu le veux sans l'exploiter, Cloud-IAM le fournit géré en France.