Le SSO (single sign-on, authentification unique) permet à un utilisateur d'accéder à plusieurs applications après une seule authentification. Une session est établie auprès d'un fournisseur d'identité, qui délivre ensuite à chaque application une preuve d'authentification — assertion SAML ou jeton OpenID Connect — sans redemander de secret.
Ce que le SSO apporte
- Moins de secrets : un seul point d'authentification au lieu d'un mot de passe par application, donc moins de réutilisation et moins de réinitialisations au support ;
- Politique homogène : la MFA, les contrôles contextuels et les règles d'accès s'appliquent au même endroit ;
- Cycle de vie maîtrisé : la désactivation d'un compte coupe l'accès à l'ensemble du parc ;
- Traçabilité : les authentifications sont journalisées de façon centralisée.
L'angle mort
Le SSO propage la qualité du facteur initial, dans les deux sens. Si l'authentification d'entrée repose sur un mot de passe et un code relayable, un unique hameçonnage réussi ouvre l'ensemble du système d'information. Deux points de vigilance s'ajoutent :
- la session SSO elle-même devient une cible : son cookie, une fois volé, dispense de toute authentification ;
- la déconnexion globale est rarement complète, les sessions applicatives locales survivant souvent à la fermeture de la session centrale.
Le SSO est donc un multiplicateur : il justifie de placer le facteur le plus robuste à l'entrée, et de réauthentifier explicitement les actions les plus sensibles.
Aller plus loin : SSO : fonctionnement, bénéfices et angle mort · définition de l'IdP · ajouter un facteur en overlay · l'authentification cognitive