Un certificat expire sur le fournisseur d’identité (IdP) à 9 h 45. Les applications tournent parfaitement — bases de données saines, serveurs en ligne, aucun incident côté infrastructure. Et plus personne ne peut se connecter. SC Media a décrit cette scène en octobre 2026. Je l’ai vue en vrai. Ce qui m’avait frappé, dans la salle de crise, c’est que personne n’avait de plan pour le moment où l’identité elle-même tombe.
Nous avons fait de l’IdP le périmètre de sécurité. Puis nous avons continué à le gérer comme une plomberie parmi d’autres. C’est une contradiction d’architecture que notre discipline tolère beaucoup trop facilement.
Le plan de continuité ne couvre pas celui qui ouvre les portes
L’analyse met le doigt sur la fracture organisationnelle : l’équipe de sécurité possède le système qui tombe, et l’équipe de continuité possède les objectifs de reprise qu’on ne pourra pas tenir. Entre les deux, personne ne répond de l’ensemble. Les plans de continuité traitent l’authentification comme la connectivité réseau — une évidence qu’on suppose présente.
Sauf que dans une architecture zero trust, l’identité n’est pas une évidence : c’est le plan de contrôle. Tout décide par elle. La question à poser au prochain exercice de continuité n’est pas « que fait-on si l’application X tombe ». C’est : que fait-on quand le point central d’authentification disparaît ? Si la réponse demande d’appeler trois équipes, vous n’avez pas de réponse.
Et le point de fédération est aussi une surface d’attaque
Le même mois, Citrix corrigeait une faille critique dont l’exploitation suppose un NetScaler configuré en fournisseur SAML — fournisseur d’identité ou de service. Autrement dit : la pièce qui authentifie est elle-même une cible, et pas une cible périphérique.
Pendant ce temps, les attaquants n’ont pas besoin d’être sophistiqués. Le kit d’hameçonnage suivi par Cisco Talos fonctionne en adversaire au milieu (AiTM) : il place son infrastructure entre la victime et le service, relaie le mot de passe et le second facteur en temps réel — la fausse page se met à jour au rythme de la vraie connexion — et sait moissonner le jeton de session authentifié. À ce moment-là, ce n’est plus du vol d’identifiants, c’est une prise de contrôle de compte.
Je le dis sans détour : une authentification multifacteur qui ne résiste pas à l’hameçonnage est devenue une formalité de conformité, pas un contrôle.
Et on recommence tout avec les agents
Il y a une mesure, la même semaine, qui ferme le raisonnement. Le rapport Horizons of Identity Security de SailPoint, relayé par The Hacker News, place 54 % des organisations au stade le plus faible — aucun programme formel — pour les identités des agents d’IA.
Pour les identités humaines, ce même stade ne regroupe plus que 23 % des organisations, contre 45 % il y a cinq ans. Nous avons donc mis quinze ans à apprendre à gouverner des accès humains, et nous redémarrons plus bas qu’au point de départ — avec des entités qui peuvent exister quelques secondes.
Le rapport est clair sur le mécanisme : appliquer à des identités éphémères les cycles de revue périodique conçus pour des employés produit une lourdeur opérationnelle sévère, pour un résultat sans valeur. La certification statique ne couvre pas les agents. Et la recommandation qui en découle me paraît juste : étendre la gouvernance qu’on maîtrise déjà aux identités non humaines (NHI) non gérées, plutôt que de tout rebâtir à côté.
Trois questions, sans appeler personne
Les organisations qui s’en sortiront ne sont pas celles qui achètent le prochain outil d’agents. Ce sont celles qui peuvent répondre, sans consulter trois équipes :
- Qui — ou quoi — détient un accès ? Humains, comptes de service, agents, confondus dans un même inventaire.
- Qui en répond ? Un propriétaire humain par identité, y compris celles qui ne sont pas humaines.
- Que se passe-t-il quand le point central d’authentification disparaît ? Et qui, nommément, exécute la réponse.
Si vous ne savez pas répondre aujourd’hui, la priorité n’est pas d’ajouter une couche. C’est de cartographier. On gouverne ce qu’on a choisi de voir — jamais ce qui s’exécute réellement.
Pouvez-vous répondre aux trois questions sans appeler personne ? C’est exactement ce que mesure un diagnostic de maturité GIA — avant d’ajouter quoi que ce soit par-dessus. Évaluer ma maturité GIA →
Maîtrisez la GIA — une initiative de Securisa inc.
