Dans un SI d'entreprise, la sécurité des accès est souvent reléguée au second rang, derrière les projets visibles et les outils métiers. Pourtant, c'est bien là que se jouent des enjeux de coûts, de productivité et de risques parfois majeurs. Dans ce nouvel épisode du podcast Orbeet, Franck et Florent reviennent sur le SSO (Single Sign-On), la fédération d'identités et l'authentification multifacteur (MFA), trois briques indissociables d'une stratégie d'accès maîtrisée.
L'onboarding, ou le coût caché des accès tardifs
Le point de départ de la discussion est une réalité que beaucoup d'entreprises connaissent sans la mesurer : lorsqu'un nouvel employé arrive, il peut attendre parfois une semaine avant d'avoir accès à sa messagerie et à ses outils. Pour les organisations qui recrutent en volume, c'est du "chiffre d'affaires fantôme" : des collaborateurs payés mais non opérationnels, bloqués dans l'attente de leurs accès.
Face à cela, le SSO apparaît d'abord comme une évidence de confort : un seul identifiant et mot de passe pour accéder à l'ensemble des applications, plutôt qu'une multitude de comptes à provisionner et à retenir. Les particuliers utilisent d'ailleurs déjà cette logique quotidiennement en s'authentifiant via Google, Facebook ou Apple sur de nombreuses applications.
Un cycle de vie complet, de l'arrivée au départ
Au-delà de l'arrivée, l'épisode détaille l'ensemble du cycle de vie de l'identité en entreprise. La fameuse procédure "j'ai oublié mon mot de passe" en est un exemple parlant : avec douze applications, douze procédures de récupération différentes, chacune avec son mail et son lien, les risques de sécurité augmentent considérablement. Avec un mot de passe centralisé et un self-service correctement identifié et brandé, la procédure est standardisée et sécurisée.
Le pendant logique est l'offboarding, souvent négligé. Comme le rappelle Florent, des études montrent que dans la plupart des entreprises, d'anciens collaborateurs conservent des accès actifs plusieurs semaines après leur départ. "Entre le mail, l'ERP, le chat, le site web, ça va vite", résume-t-il, en soulignant le cas limite de l'ancien employé encore présent dans le Slack de l'entreprise, capable de demander des fichiers à d'anciens collègues sans éveiller les soupçons. Autant de vecteurs d'attaque auxquels on ne pense pas spontanément.
MFA : le second facteur qui change tout
Reste le revers de la médaille du mot de passe unique : s'il fuit, c'est l'ensemble des applications qui est exposé. La réponse tient en trois lettres : le MFA, l'authentification multifacteur. Le principe : superposer plusieurs barrières indépendantes, car "aucune n'est fiable à 100 %, mais en les ajoutant, tu augmentes l'épaisseur du cuir pour te protéger". Franck le rapproche des stratégies anti-Covid et leurs barrières successives.
Concrètement, si un mot de passe est compromis par hameçonnage, l'attaquant ne dispose que d'un seul facteur : sans le second — code généré par une application type Google Authenticator, SMS, biométrie — il ne peut pas accéder au compte. L'utilisateur peut alors changer son mot de passe et resécuriser l'ensemble des accès, avec la certitude qu'il n'y a pas eu de fenêtre de vulnérabilité exploitable.
Le MFA répond aussi à une réalité humaine bien connue : la délégation de comptes. Lorsqu'un manager confie son mot de passe à un collaborateur pour lui déléguer une tâche, le second facteur complique singulièrement la donne. "Il peut donner son password autant qu'il veut, il va falloir qu'il donne aussi son Authenticator. Il n'aura pas envie de donner son iPhone en partant en vacances."
Keycloak : la souplesse de l'open source face aux géants
C'est ici qu'entre en scène Keycloak, la solution open source de gestion d'identité et d'accès. L'épisode illustre son apport par des cas concrets vécus par les équipes d'Orbeet : fédération de l'identité Google pour permettre aux employés de se connecter avec leur compte existant tout en gardant un socle interne, ou, à l'inverse, remplacement pur et simple de l'authentification Google dans une G Suite par le SSO maison de l'entreprise.
L'argument économique est loin d'être anecdotique. Franck et Florent évoquent un déploiement en cours pour environ 70 000 utilisateurs au sein d'une association qui bénéficiait autrefois de licences Microsoft gratuites, avant que l'éditeur ne révise unilatéralement ses conditions tarifaires. Avec Keycloak, pas de licence par utilisateur : le budget porte sur la customisation, l'intégration, les thèmes et la configuration du MFA — des chantiers sur lesquels Orbeet intervient naturellement.
La fédération d'identités, notion technique expliquée simplement dans l'épisode, y est aussi présentée comme une brique stratégique pour les grands groupes : chaque entité conserve l'autonomie de sa source d'identité (souvent un Keycloak, un Active Directory ou un LDAP), et l'ensemble est fédéré au niveau supérieur dans une identité globale. Un schéma précieux pour les organisations internationales, mais aussi plus proche de nous : fédérer les comptes Google des employés avec les comptes des clients déclarés dans le Keycloak, pour offrir un même type d'accès au back-office à des profils issus de sources différentes.
Sécuriser Odoo par le SSO : l'argument des auditeurs
Le lien avec le métier historique d'Orbeet est direct : c'est en déployant Odoo chez des groupes soumis à des audits de sécurité que les équipes ont été conduites vers Keycloak. Les auditeurs pointaient le stockage des mots de passe dans la base de données de l'ERP — une époque révolue depuis que les mots de passe sont correctement hachés, mais la réponse la plus convaincante reste architecturale : "on ne met pas d'utilisateurs dans la base Odoo, tout est dans un SSO".
La logique est celle de la forteresse : un ERP concentre des dizaines, voire des centaines d'utilisateurs aux accès variés, sur une multitude d'écrans et de processus métiers, chacun susceptible d'introduire une faiblesse permettant d'escalader les droits. Le SSO, à l'inverse, n'expose aux utilisateurs qu'une interface minimale — login, mot de passe, challenge MFA. La surface d'attaque est drastiquement réduite. Autre bénéfice opérationnel : en cas d'alerte de sécurité, une réinitialisation globale des mots de passe se fait en un clic, pour toutes les applications à la fois, améliorant considérablement la réacité en défense.
Des flux d'authentification adaptatifs
Difficile, voire impossible, à obtenir auprès des offres propriétaires : Keycloak permet de paramétrer finement les flux d'authentification selon le contexte. Sur site, sur une plage d'adresses IP identifiée ? Login et mot de passe suffisent. Depuis l'étranger ? Triple authentification. On peut même imaginer des logiques de détection de présence pour adapter le niveau de challenge.
Un paramétrage qui rejoint aussi la question de la souveraineté : héberger soi-même son gestionnaire d'identité, auditer le code, maîtriser la chaîne de bout en bout — backups compris — sans dépendre d'un service externe dont la panne condamnerait l'accès à toutes les applications. Un dernier argument de poids pour les associations et fondations, où l'on ne peut pas toujours imposer un compte Gmail ou Microsoft aux bénévoles : avec Keycloak, n'importe quelle source d'identité peut être fédérée, y compris Keycloak lui-même.
Pour conclure, cet épisode replace la sécurité des accès au cœur de la transformation digitale : moins de charge administrative pour les équipes IT, une expérience fluide pour les utilisateurs finaux — particulièrement déterminante dans le milieu associatif — et une posture de sécurité nettement renforcée.
Retrouvez l'intégralité de cet échange dans le podcast Orbeet, ainsi que le livre blanc dédié, disponible en lien sous l'épisode.
https://www.youtube.com/watch?v=IhDvA4wCnlI
Votre SI est-il correctement sécurisé ?
Nos experts accompagnent ETI et grands groupes dans la mise en place de SSO, la fédération d'identités et le MFA, adaptés à votre contexte.