Le SSO n'est pas un confort. C'est ce qui vous sauve le jour d'un départ.

L’authentification unique est presque toujours présentée par son bénéfice le plus visible : un seul mot de passe au lieu de six. C’est vrai, et c’est la moindre de ses conséquences.

Le vrai sujet est le jour du départ

Un salarié quitte l’entreprise. Sans SSO, la désactivation de ses accès est une liste : la messagerie, le portail, l’outil de gestion, l’espace de fichiers, l’application mobile, deux services en ligne souscrits par un service et oubliés de la direction. Cette liste est tenue à la main, elle est incomplète, et personne ne le découvre avant l’audit.

Avec un SSO, la désactivation est un geste unique dans l’annuaire. Tout ce qui délègue son authentification s’aligne immédiatement.

C’est le même mécanisme qui transforme une arrivée : les droits découlent du rattachement hiérarchique et du rôle, pas d’une demande individuelle traitée service par service.

L’effet sur l’usage, souvent sous-estimé

Sur les portails internes, la suppression d’un identifiant dédié produit le gain d’adoption le plus net — davantage qu’une refonte graphique ou qu’un enrichissement du contenu. La raison est mécanique : l’utilisateur compare en permanence le coût d’accès à l’outil au coût du contournement. Un mot de passe à retrouver suffit à faire pencher la balance vers le message au collègue.

Trois pièges d’implémentation

Confondre authentification et autorisation. Le SSO répond à « qui êtes-vous », pas à « avez- vous le droit ». Un portail qui laisse entrer toute personne authentifiée par l’annuaire donne au stagiaire de l’accueil la vue du comité de direction. Les rôles restent à définir, et à définir dans l’application.

Faire des groupes de l’annuaire la source de vérité métier. C’est tentant, et cela finit en groupes nommés PORTAIL_RH_LECTURE_SAUF_ALTERNANTS. L’annuaire porte l’identité et le rattachement ; l’application porte la règle métier.

Oublier le chemin de secours. Le jour où le fournisseur d’identité est indisponible, plus personne n’entre — administrateurs compris. Un compte de secours local, hors SSO, à mot de passe long et conservé hors ligne, évite d’avoir à choisir entre attendre et tout reconstruire.

Et pour un portail public

Le raisonnement change. Pour un espace client ou adhérent, le SSO d’entreprise n’a pas de sens, mais la même logique s’applique aux comptes : centraliser l’identité dans un seul service plutôt que la dupliquer dans chaque application, pour que la suppression d’un compte soit effective partout, et vérifiable.

C’est aussi ce qui rend l’exercice du droit à l’effacement praticable. Une identité éclatée dans quatre bases rend toute demande d’effacement approximative — et l’approximation, ici, s’appelle un manquement.