Le CIAM (customer identity and access management) désigne la gestion des identités des utilisateurs externes : clients, adhérents, usagers, partenaires. Il couvre l'inscription, l'authentification, la gestion du profil et des consentements, ainsi que le cycle de vie du compte — le tout sans service informatique interne pour arbitrer les accès.
Ce qui distingue le CIAM de l'IAM
L'IAM interne part d'un référentiel maîtrisé : un collaborateur est créé par les ressources humaines, ses droits découlent de son poste, son compte est fermé à son départ. En CIAM, l'utilisateur se crée lui-même, choisit ses moyens d'authentification et peut disparaître sans préavis. Trois conséquences structurantes :
- Échelle : des millions de comptes, des pics de connexion, une disponibilité de niveau public ;
- Friction : chaque étape supplémentaire se paie en abandons, donc en chiffre d'affaires ;
- Conformité : consentement, minimisation, droit à l'effacement au sens du RGPD.
Le point de tension : sécurité contre conversion
Le CIAM est la cible privilégiée du credential stuffing et du phishing grand public, car les utilisateurs réemploient massivement leurs mots de passe. Mais durcir l'authentification pour tous dégrade la conversion. La réponse habituelle consiste à moduler l'exigence selon le risque : parcours fluide en usage courant, élévation du niveau au moment d'une action sensible — changement de coordonnées bancaires, virement, accès à des données de santé.
C'est exactement le terrain d'une authentification sans mot de passe et sans identifiant permanent, où la preuve porte sur l'action plutôt que sur un secret que l'utilisateur a déjà réutilisé ailleurs.
Aller plus loin : IAM ou CIAM, deux architectures · définition de l'IAM · l'authentification cognitive