La taxe SSO en entreprise vide les budgets — et Apple a une ouverture

Les acheteurs de logiciels d'entreprise ont appris à s'attendre à un certain type de choc sur facture. La plateforme qu'ils licencient déjà, celle qui coûte déjà six chiffres par an, s'avère facturer un supplément pour l'authentification unique. Pas pour l'écran de connexion lui-même, mais pour le privilège de permettre aux employés d'utiliser le fournisseur d'identité que l'entreprise possède et exploite déjà. La chronique Apple @ Work de 9to5Mac présente l'argument clairement : l'entreprise doit tuer la taxe SSO, et le ressentiment que cette taxe génère est une opportunité pour Apple. C'est un argument court avec une cible très large.

Il convient de noter le contexte dans lequel cette chronique apparaît. Apple @ Work est présenté par Mosyle, qui se décrit comme une Apple Unified Platform — un système professionnel unique qui rassemble les outils nécessaires pour gérer les appareils Apple en entreprise. Sponsorisé ou non, la thèse sous-jacente résonne bien au-delà d'un seul fournisseur, car la taxe SSO est devenue un poste budgétaire routinier dans les achats d'entreprise, et les postes routiniers sont exactement le genre de choses qui finissent par être auditées, contestées et supprimées.

Ce qu'est réellement la taxe SSO

Le terme décrit une pratique de tarification plutôt qu'un produit. Les éditeurs de logiciels intègrent l'authentification unique dans leurs niveaux tarifaires supérieurs — ou la vendent comme un module complémentaire autonome — de sorte que les organisations souhaitant une authentification centralisée doivent payer plus que celles qui acceptent que les utilisateurs gèrent des mots de passe séparés. La fonctionnalité n'est pas exotique. Elle constitue, dans la plupart des piles SaaS modernes, une fine couche de configuration qui mappe un fournisseur d'identité existant à l'application.

L'objection n'est pas que les fournisseurs facturent. L'objection est qu'ils facturent une capacité que l'acheteur a déjà payée une fois, au niveau de l'identité, puis la paie à nouveau pour chaque application qui y touche. Une organisation qui utilise des dizaines d'outils SaaS ne subit pas une seule taxe SSO. Elle en subit des dizaines, chacune avec sa propre structure de niveaux, son cycle de renouvellement et sa posture de négociation.

Pourquoi l'identité s'est retrouvée derrière un paywall

La logique derrière cette pratique n'est pas mystérieuse. L'authentification est une porte. Celui qui contrôle la porte peut segmenter le marché, facturer plus cher aux clients qui se soucient le plus du contrôle, et laisser tous les autres acheter le niveau moins cher avec des mots de passe locaux en espérant que tout se passe bien. Les fonctionnalités de sécurité qui sont aussi des commodités administratives constituent un excellent matériel de vente incitative précisément parce que les acheteurs qui en ont besoin sont les moins enclins à partir.

Cette logique a un coût. Elle habitue les équipes d'approvisionnement à traiter l'identité comme une dépense par application plutôt que comme une infrastructure partagée. Elle pousse les petites organisations vers une hygiène d'identification plus faible parce que l'option sécurisée est facturée à un prix premium. Et elle crée une étrange inversion, où les entreprises les plus soucieuses de protéger les données sont celles qui signent le plus grand nombre de chèques séparés pour la même capacité fondamentale.

Le coût réel pour les entreprises

Quantifier la taxe est difficile, car elle se cache dans les mises à niveau de niveau, les références de modules complémentaires et les négociations de renouvellement. Mais la forme du fardeau est facile à décrire.

• Fragmentation budgétaire. Les dépenses d'identité se dispersent sur des dizaines de relations fournisseurs au lieu de se consolider en un seul poste que les équipes de sécurité peuvent réellement gérer.
• Application incohérente. Les applications achetées sans SSO restent souvent sans SSO bien après que le besoin est évident, simplement parce que personne ne veut rouvrir le contrat.
• Authentification fantôme. Les identifiants locaux se multiplient, et avec eux les réinitialisations de mots de passe, les mots de passe réutilisés et les lacunes de départ.
• Fatigue de négociation. Chaque renouvellement devient une lutte pour une fonctionnalité que l'acheteur estime devrait être acquise, ce qui consomme la capacité d'approvisionnement qui pourrait aller vers quelque chose de véritablement stratégique.

Pourquoi c'est l'ouverture d'Apple

Le cadrage d'Apple @ Work est qu'Apple bénéficie lorsque la tarification de l'identité dans l'industrie est renégociée, car la plateforme d'Apple occupe déjà une position que la plupart des fournisseurs envieraient : l'appareil lui-même peut être un identifiant.

Une identité ancrée dans le matériel

L'approche d'Apple en matière d'authentification s'est constamment appuyée sur une sécurité matérielle — enclaves sécurisées, biométrie et identifiants de type passkey liés à un appareil plutôt qu'à un secret partagé. Pour une entreprise, c'est une proposition matériellement différente d'un coffre-fort de mots de passe boulonné au-dessus d'une application. Si l'identité est ancrée dans l'appareil que l'employé porte déjà et que l'entreprise gère déjà, le coût marginal d'étendre une authentification forte à une nouvelle application chute fortement.

Les attentes des consommateurs arrivent au travail

Le deuxième avantage est culturel. Les employés qui se connectent déjà à des comptes personnels d'un coup d'œil sur un téléphone trouvent l'équivalent au bureau — un mot de passe, un code envoyé par SMS, une application séparée — visiblement pire. Cet écart crée une pression d'en bas, et la pression d'en bas est souvent ce qui finit par faire bouger une feuille de route d'entreprise. Apple n'a pas besoin de gagner une guerre d'approvisionnement si ses utilisateurs sont déjà agacés par l'alternative.

Les obstacles qu'Apple rencontrerait

Rien de tout cela ne rend le résultat automatique. L'identité en entreprise est un domaine dominé par des spécialistes profondément intégrés aux systèmes de ressources humaines, aux annuaires et aux flux de conformité. Les grandes organisations standardisent rarement sur la vision d'un seul fournisseur sans une décennie de planification de migration, et les environnements hétérogènes — un mélange de Windows, Linux et d'infrastructure cloud — ne disparaissent pas simplement parce que l'histoire d'authentification d'une plateforme est plus élégante.

Il y a aussi un contre-argument à prendre au sérieux : les fournisseurs diraient que la taxe SSO finance le travail de certification, d'audit et de support que l'authentification de niveau entreprise nécessite véritablement. Cette défense n'est pas sans fondement. La question que les entreprises se posent de plus en plus est de savoir si le prix reflète ce travail ou simplement le manque d'alternatives de l'acheteur.

Ce que les acheteurs devraient exiger

Si la taxe SSO doit être tuée, elle ne sera pas tuée par la bonne volonté. Elle sera tuée par les acheteurs traitant l'identité comme une exigence de base plutôt que comme une fonctionnalité premium.

• Faire de l'authentification unique basée sur des standards une condition non négociable dans chaque nouveau contrat, à un prix nul.
• Demander aux fournisseurs de justifier le prix du SSO avec une ventilation réelle des coûts plutôt qu'un tableau de niveaux.
• Consolider les dépenses d'identité afin que l'effet de levier global remplace l'effet de levier par application.
• Récompenser les plateformes qui traitent l'authentification comme une infrastructure, et le dire publiquement.

C'est là que réside l'opportunité. Un fournisseur qui supprime le péage ne gagne pas seulement un contrat — il change ce que les acheteurs considèrent comme normal, et la normalité est la chose la plus difficile à concurrencer dans les logiciels d'entreprise.

L'essentiel

L'argument d'Apple @ Work porte parce qu'il identifie un décalage entre ce que les entreprises paient et ce qu'elles reçoivent réellement. L'authentification devrait être le plancher d'une relation logicielle, pas un balcon avec vue. Apple, avec une plateforme construite autour d'identifiants ancrés dans l'appareil et une base d'utilisateurs qui s'attend déjà à ce que l'authentification soit sans effort, est exceptionnellement bien positionnée pour bénéficier si ce plancher est relevé. Qu'elle choisisse ou non de presser cet avantage est une autre question — mais la frustration sur laquelle cela serait construit est déjà là, présente dans chaque feuille de calcul de renouvellement en entreprise.

Cet article est basé sur un reportage de 9to5Mac. Lire l'article original.