Il y a deux semaines, on vous parlait de gestionnaire de mots de passe. Aujourd'hui, on va plus loin : et si vous n'aviez même plus de mot de passe à gérer pour la moitié de vos outils ? C'est la promesse du bouton "Se connecter avec Microsoft" ou "Se connecter avec Google" que vous voyez partout. On vous explique ce qui se cache derrière, et pourquoi on vous le recommande.
Le problème : un outil, un compte, un mot de passe
Faites le compte. Votre messagerie, votre logiciel de devis, votre banque, votre outil de planning, le back-office de votre site, le portail de votre fournisseur, l'application de notes de frais... Une TPE utilise facilement une quinzaine de services en ligne. Quinze comptes, quinze mots de passe, et dans la vraie vie, souvent le même mot de passe partout, avec un chiffre qui change à la fin.
Un gestionnaire de mots de passe règle une partie du problème. Le SSO en règle une autre : il supprime carrément des mots de passe.
SSO, le mot barbare pour une idée simple
SSO veut dire Single Sign-On, "authentification unique" en bon français. L'idée : vous avez déjà un compte sérieux quelque part, chez Microsoft ou chez Google par exemple, celui de votre messagerie pro. Plutôt que de créer un nouveau compte sur chaque outil, l'outil vous demande simplement : "prouve-moi que tu es bien connecté chez Microsoft". Microsoft confirme, l'outil vous ouvre la porte. Vous n'avez tapé aucun mot de passe sur l'outil, et l'outil ne connaît pas votre mot de passe Microsoft.
L'image qu'on utilise souvent : c'est le bracelet du festival. Vous montrez votre pièce d'identité une fois à l'entrée, on vous met un bracelet, et ensuite chaque bar, chaque scène, chaque stand regarde le bracelet sans vous redemander vos papiers. Le bracelet, c'est votre session Microsoft ou Google. Et il expire tout seul à la fin du festival.
Pourquoi c'est plus sûr qu'un mot de passe
Un seul endroit à protéger vraiment. Vous activez la double authentification sur votre compte Microsoft ou Google (le code sur le téléphone), et d'un coup tous les outils connectés en bénéficient. Un seul effort, quinze services protégés.
Les petits outils ne stockent plus votre mot de passe. Quand le site d'un petit prestataire se fait pirater (ça arrive toutes les semaines), il n'y a aucun mot de passe à vous voler. Juste un jeton temporaire, périmé depuis longtemps.
Un départ dans l'équipe se gère en un clic. Un collaborateur quitte l'entreprise : vous désactivez son compte Microsoft, et il perd l'accès à tout en même temps. Plus besoin de faire la tournée des quinze outils en espérant n'en oublier aucun.
Le phishing a moins de prise. Un faux formulaire de connexion qui vous demande votre mot de passe pour "l'outil X" devient suspect par définition : vous n'avez pas de mot de passe pour l'outil X.
Les limites, parce qu'il y en a
Le SSO met tous vos oeufs dans le même panier. Si quelqu'un prend le contrôle de votre compte Microsoft ou Google, il a accès à tout.
C'est pour ça que la double authentification sur ce compte-là n'est pas une option, c'est le prix d'entrée. Et si Microsoft ou Google tombe en panne (c'est rare, mais ça arrive quelques heures par an), vous ne vous connectez plus nulle part le temps que ça revienne.
Autre point : tous les outils ne le proposent pas, ou le réservent aux abonnements "Entreprise" plus chers. Et sur les outils qui le proposent, il faut penser à supprimer l'ancien mot de passe "classique" une fois le SSO activé, sinon vous avez deux portes au lieu d'une.
Comment s'y mettre, concrètement
Choisissez votre compte pivot : si votre messagerie pro est chez Microsoft 365, c'est Microsoft ; si elle est chez Google Workspace, c'est Google. Un compte Gmail ou Outlook personnel fait l'affaire pour un indépendant, mais pour une équipe, préférez un compte pro que vous administrez.
Activez la double authentification sur ce compte, avec une application (Microsoft Authenticator, Google Authenticator) plutôt qu'un SMS.
Passez vos outils en revue : à chaque fois que vous voyez "Se connecter avec Microsoft" ou "avec Google", associez votre compte, puis supprimez le mot de passe local si l'outil le permet.
Gardez le gestionnaire de mots de passe pour le reste : la banque, les administrations, les outils qui n'ont pas encore le bouton.
Et pour vos propres outils ?
Le SSO ne sert pas qu'aux grands logiciels du marché. Une application métier développée pour votre entreprise, un espace client, un intranet : tout ça peut aussi s'ouvrir avec le compte Microsoft ou Google que vos équipes utilisent déjà, plutôt qu'avec un énième identifiant à créer, oublier et réinitialiser. C'est ce que nous recommandons systématiquement sur les applications que nous concevons : moins de mots de passe à gérer pour vous, moins de surface d'attaque pour tout le monde. Si vous avez un outil interne avec son propre système de comptes et que vous aimeriez le brancher sur Microsoft ou Google, on en discute.
