SAML ou OpenID Connect : choisir le bon protocole pour Microsoft Entra ID

By Mirko Peters · 2026-10-30

Comparez les protocoles SAML et OpenID Connect (OIDC) dans Microsoft Entra ID. Découvrez les principales différences techniques, les cas d’usage et le moment opportun pour choisir chacun de ces standards.

Automatically translated with AI from the original post. Read the English original

SAML et OpenID Connect (OIDC) sont les deux principaux protocoles d’authentification qui assurent l’authentification unique d’entreprise dans Microsoft Entra ID. Le choix du protocole approprié dépend de l’ancienneté de l’application, des exigences d’architecture et des processus de développement, en trouvant un équilibre entre la compatibilité avec les logiciels d’entreprise existants et les standards modernes du développement cloud natif.

Points clés

• SAML est un protocole d’entreprise basé sur XML, idéal pour les applications anciennes et les logiciels hérités.
• OpenID Connect (OIDC) est un protocole léger basé sur JSON, construit sur OAuth 2.0 et conçu pour les applications web et mobiles modernes.
• Microsoft Entra ID prend nativement en charge les deux protocoles, ce qui permet aux administrateurs de sécuriser simultanément les outils anciens et modernes.
• Le vol de jetons et la compromission des identifiants constituent les principaux vecteurs de risque pour les deux protocoles, ce qui impose des stratégies MFA robustes.
• Le choix entre SAML et OIDC dépend de la compatibilité des applications, du degré de modernisation du développement et des règles de conformité de l’entreprise.

Comprendre SAML dans l’entreprise

Security Assertion Markup Language, plus connu sous le nom de SAML, est depuis plus d’une décennie la référence incontestée des systèmes de connexion d’entreprise. Lorsque les grandes entreprises ont eu besoin de permettre à leurs collaborateurs d’accéder à des dizaines de systèmes internes et externes sans ressaisir constamment leur mot de passe, SAML a fourni le cadre robuste nécessaire pour gérer les intégrations complexes avec les annuaires.

Au fond, SAML encapsule les messages d’authentification et les assertions utilisateur dans un format volumineux et très structuré appelé XML. Si XML fait grincer des dents les développeurs en raison de sa verbosité, il excelle à transporter une grande quantité d’informations détaillées sur un utilisateur. Dans une réponse SAML type, le jeton peut transmettre le service exact d’un collaborateur, son intitulé de poste, sa hiérarchie organisationnelle, ses appartenances à des groupes de sécurité et ses niveaux d’habilitation précis. Les grands éditeurs de logiciels d’entreprise ont bâti leurs plateformes autour de cette capacité, car les directions informatiques exigeaient un contrôle granulaire des autorisations dès la porte d’entrée de la connexion.

Pour les administrateurs de Microsoft Entra ID, SAML apparaît fréquemment lors de l’intégration d’applications anciennes sur site, de systèmes ERP spécialisés ou de plateformes SaaS d’entreprise antérieures à l’ère cloud mobile-first. Si un système ancien ne parle que SAML, ou si des cadres de conformité stricts et des contrats d’achat en imposent l’usage, les administrateurs configurent une connexion SAML depuis la galerie d’applications d’entreprise afin de préserver la compatibilité.

L’essor d’OpenID Connect pour les applications modernes

À mesure que les logiciels sont passés des installations monolithiques sur ordinateur de bureau aux applications web hébergées dans le cloud, aux applications monopages (SPA) et aux applications mobiles, la structure XML lourde de SAML s’est révélée trop pesante pour un développement rapide. C’est ainsi qu’est né OpenID Connect, universellement abrégé en OIDC.

OIDC est construit directement sur OAuth 2.0 et sépare l’authentification (prouver qui vous êtes) de l’autorisation (décider à quoi vous pouvez accéder). Au lieu de fichiers XML volumineux, OIDC regroupe les revendications et les informations d’identité dans des JSON Web Tokens (JWT) compacts. Cette conception légère rend OIDC exceptionnellement facile à intégrer pour les développeurs modernes dans les frameworks web et mobiles.

Lorsque vous utilisez Microsoft Entra ID pour vous connecter à un outil SaaS moderne ou à une application cloud développée en interne, OIDC gère en coulisse l’échange de jetons sous-jacent. Les développeurs privilégient OIDC car il s’intègre naturellement à l’architecture web moderne, consomme moins de ressources réseau et s’analyse rapidement dans les environnements de navigateur. Les recommandations par défaut de Microsoft pour le développement de nouvelles applications cloud préconisent explicitement OIDC pour son agilité et son intégration fluide avec les environnements de développement modernes.

Comparaison des architectures SAML et OIDC

Évaluer SAML face à OpenID Connect exige de dépasser leurs acronymes et d’examiner la manière dont ils gèrent la transmission des données, la compatibilité des applications et la charge administrative. Une image mentale utile présente SAML comme un document juridique formel, lourdement tamponné et envoyé par courrier recommandé, tandis qu’OIDC ressemble à un SMS rapide et chiffré, envoyé instantanément sur un appareil mobile.

Le tableau ci-dessous résume les principales différences d’architecture :

• Format des données : SAML utilise XML ; OIDC utilise JSON (JWT).
• Cadre sous-jacent : SAML est autonome ; OIDC repose sur OAuth 2.0.
• Cas d’usage principal : SAML convient aux environnements d’entreprise traditionnels et aux SaaS historiques ; OIDC alimente les applications web, mobiles et monopages modernes.
• Complexité pour les développeurs : SAML exige une analyse approfondie du protocole ; OIDC offre une intégration API légère et intuitive.

Malgré ces différences, aucun des deux protocoles n’est intrinsèquement supérieur. Ils répondent simplement à des besoins conçus pour différentes époques du développement logiciel. De nombreuses organisations maintiennent des environnements hybrides où les outils historiques reposent sur SAML tandis que les applications cloud récemment déployées utilisent OIDC, les deux protocoles fonctionnant côte à côte au sein de Microsoft Entra ID sans conflit.

Implications en matière de sécurité et gestion des jetons

Quel que soit le standard choisi par votre organisation, SAML ou OIDC, la posture de sécurité fondamentale repose entièrement sur la validation des jetons et la gestion de leur cycle de vie. Dans une architecture moderne d’authentification unique, le bien le plus précieux qu’un attaquant peut viser n’est plus un mot de passe statique, mais un jeton de session actif.

Les jetons accordent un accès direct au-delà de la porte d’authentification, sans nouvelle demande d’identifiants ; les attaquants sophistiqués utilisent donc des kits d’hameçonnage et des attaques de type adversaire au milieu (AiTM) pour intercepter les jetons actifs. Pour atténuer ce risque dans Microsoft Entra ID, les administrateurs doivent imposer des stratégies d’authentification multifacteur (MFA) robustes, exploiter l’accès conditionnel pour évaluer la conformité des appareils et s’assurer que la durée de vie des jetons est correctement délimitée.

Les jetons d’accès et les jetons d’ID sont volontairement de courte durée, souvent d’environ une heure par défaut, ce qui oblige les applications à s’appuyer sur des jetons d’actualisation ou des contrôles de réauthentification pour maintenir les sessions utilisateur en toute sécurité. Qu’il s’agisse d’analyser des assertions XML en SAML ou de valider des revendications JSON en OIDC, l’application doit rigoureusement vérifier les signatures cryptographiques auprès des certificats des fournisseurs d’identité de confiance afin de prévenir toute falsification.

Conclusion

Maîtriser les subtilités de SAML et d’OpenID Connect est indispensable pour tout architecte cloud ou administrateur informatique qui gère l’identité au sein de Microsoft Entra ID. Si les débats sur les protocoles peuvent vite s’échauffer, comprendre leurs différences techniques permet aux équipes de prendre des décisions d’architecture pragmatiques, fondées sur la compatibilité des applications et les exigences de sécurité. Pour approfondir les mécanismes des fournisseurs d’identité, le cycle de vie des jetons et la sécurité cloud moderne, n’hésitez pas à écouter l’épisode complet et à vous abonner au podcast pour davantage d’analyses expertes sur l’écosystème Microsoft 365.

Questions fréquentes

Quelle est la principale différence technique entre SAML et OpenID Connect ?

SAML utilise XML pour regrouper les données d’authentification et les revendications, ce qui le rend plus lourd et plus complexe, alors qu’OpenID Connect utilise des JSON Web Tokens (JWT) par-dessus OAuth 2.0, offrant une expérience développeur plus légère et plus rapide.

Microsoft Entra ID peut-il gérer SAML et OIDC simultanément ?

Oui, Microsoft Entra ID prend pleinement en charge les deux protocoles. Les organisations exploitent couramment SAML pour les applications d’entreprise historiques aux côtés d’OIDC pour les logiciels cloud natifs modernes, au sein du même locataire.

Quand une organisation doit-elle choisir OpenID Connect plutôt que SAML ?

Les organisations devraient choisir OpenID Connect lorsqu'elles développent ou intègrent des applications web modernes, des applications monopages (SPA) et des applications mobiles qui nécessitent des échanges de jetons rapides et légers, ainsi qu'une implémentation simplifiée pour les développeurs.

Opter pour SAML plutôt que pour OIDC compromet-il la sécurité dans Microsoft Entra ID ?

Non, les deux protocoles sont sûrs lorsqu'ils sont correctement configurés. Toutefois, leur sécurité repose largement sur une authentification multifacteur (MFA) robuste et sur la protection des jetons contre le vol ou le détournement de session.