Le SSO (Single Sign-On, authentification unique) permet à un utilisateur de s'authentifier une seule fois auprès d'un fournisseur d'identité, puis d'accéder à plusieurs applications sans recommencer. C'est un gain réel d'ergonomie et de contrôle. C'est aussi une concentration du risque : tout ce qui protège l'ensemble des applications se joue désormais dans une seule authentification initiale.
Comment fonctionne le SSO
Trois acteurs entrent en jeu : l'utilisateur, le fournisseur d'identité (IdP) et l'application cible, appelée fournisseur de service.
- L'utilisateur demande l'accès à une application. Celle-ci ne l'authentifie pas elle-même.
- Elle le redirige vers l'IdP, avec une demande d'authentification.
- L'IdP vérifie l'identité — mot de passe, second facteur — puis ouvre une session d'authentification de son côté.
- L'IdP renvoie à l'application une assertion signée : jeton SAML ou jeton d'identité OpenID Connect. L'application vérifie la signature et ouvre sa propre session.
- À l'application suivante, l'IdP retrouve sa session existante et délivre une nouvelle assertion, sans redemander de facteur : c'est l'effet « une seule connexion ».
Deux protocoles dominent : SAML 2.0, historiquement répandu côté entreprise, et OpenID Connect, bâti sur OAuth 2.0, plus courant sur les applications récentes et mobiles. Il faut les distinguer d'un gestionnaire de mots de passe ou d'un simple partage d'identifiants : dans un SSO, l'application cible ne voit jamais le secret de l'utilisateur.
Ce que le SSO améliore réellement
| Bénéfice | Mécanisme | Condition pour qu'il se matérialise |
|---|---|---|
| Moins de mots de passe | un seul secret, auprès de l'IdP | ne pas laisser subsister des accès directs hors SSO |
| Départ d'un collaborateur | désactivation centrale du compte | inventaire complet des applications raccordées |
| Politique homogène | règles d'accès appliquées au même endroit | pas d'exceptions permanentes |
| Traçabilité | journal d'authentification unifié | conservation et exploitation effective des journaux |
| Itinérance | accès depuis plusieurs contextes sans re-saisie | durée de session calibrée sur la criticité |
Le bénéfice le plus sous-estimé est le dernier point de la colonne de gauche : le SSO facilite l'itinérance, c'est-à-dire le passage fluide d'un outil à l'autre et d'un poste à l'autre. C'est souvent ce qui motive le projet côté métier, avant même les arguments de sécurité.
L'angle mort : la concentration du risque
Le raisonnement mérite d'être posé sans détour. En raccordant vingt applications à un IdP, on ne supprime pas vingt authentifications : on les remplace par une seule, dont la compromission donne accès à l'ensemble.
Trois conséquences en découlent.
Le login devient un point de reconnaissance. L'identifiant SSO est presque toujours une adresse professionnelle, largement diffusée. Elle indique à l'attaquant qui cibler, où le contacter et quel portail attaquer. Le travail de reconnaissance est ainsi fait pour lui.
Le MFA initial devient le seul rempart. Après cette étape, l'utilisateur n'est plus sollicité pendant toute la durée de la session. Si ce facteur unique est rejouable — code à usage unique, notification à approuver — un attaquant placé en relais le récupère et hérite de l'intégralité du périmètre. La qualité de l'ensemble se ramène à la résistance au phishing de ce seul facteur.
Le jeton devient le butin. Une fois la session ouverte, le cookie ou le jeton de rafraîchissement vaut authentification. Un vol de session par malware ou extension malveillante permet d'agir sans repasser par le moindre facteur, et le changement de mot de passe ne suffit alors pas : il faut révoquer les jetons.
Réduire la concentration sans renoncer au SSO
L'objectif n'est pas de revenir à des authentifications éparpillées, qui seraient pires. Il est de faire en sorte que la porte unique soit à la hauteur de ce qu'elle ouvre.
- Renforcer l'authentification à l'IdP avec un facteur non rejouable : méthode liée à l'origine, ou preuve d'intention. C'est le point d'effort le plus rentable de toute la chaîne.
- Calibrer la durée de vie des sessions par sensibilité applicative, et savoir les révoquer rapidement — capacité à tester, pas seulement à documenter.
- Ajouter une élévation ciblée avant les actions sensibles, plutôt que de tout durcir en amont : c'est la logique du step-up.
- Protéger les parcours de repli. Une récupération de compte qui retombe sur un code envoyé par e-mail annule l'effort réalisé sur la connexion nominale.
- Surveiller l'IdP lui-même : créations d'applications, ajout de méthodes d'authentification, modifications de règles. Ce sont des signaux d'intrusion avancée.
L'ajout d'un facteur cognitif en overlay de l'IdP existant s'inscrit dans cette logique : la chaîne SSO est conservée, mais la validation initiale — et, si besoin, les actions sensibles — reposent sur un challenge qui ne transmet aucun secret réutilisable.
FAQ
Le SSO améliore-t-il ou dégrade-t-il la sécurité ?
Les deux, selon la mise en œuvre. Il améliore la gouvernance, la révocation et la traçabilité. Il dégrade la situation si l'authentification unique reste faible, car il transforme une compromission locale en compromission générale.
Quelle différence entre SSO et MFA ?
Ce sont deux notions orthogonales. Le SSO répond à « combien de fois s'authentifier », la MFA à « avec quoi ». Un SSO sans MFA robuste concentre le risque sans le réduire ; une MFA robuste sans SSO protège chaque application mais complique l'exploitation.
Le SSO protège-t-il du phishing ?
Non par lui-même. Il réduit le nombre de pages de connexion, donc le nombre de cibles possibles, mais il fait de la page restante une cible de grande valeur. La protection vient du facteur employé, pas de l'architecture SSO.
Que se passe-t-il si l'IdP est indisponible ?
Les accès raccordés deviennent impossibles. Cette dépendance justifie de traiter l'IdP comme un service critique : disponibilité, plan de reprise, comptes de secours strictement encadrés et audités.
Aller plus loin : authentification cognitive : le principe · identification, authentification, autorisation · step-up authentication · MFA en overlay d'un IdP existant