Ce que c’est

Okta est le fournisseur indépendant d’identité des collaborateurs : single sign-on, MFA, un annuaire central des utilisateurs, le provisioning vers les applications SaaS et les revues d’accès, vendus à plus de 20 000 clients. Pour une équipe ops, c’est ce qui décide qui peut ouvrir Salesforce, Ashby ou Ironclad, et ce qu’il advient de cet accès le jour où quelqu’un part.

Ce qui a changé en 2026, c’est qu’Okta traite désormais les agents IA comme des identités dans le même annuaire que les employés. L’éditeur le livre en deux couches, que les acheteurs confondent :

Agent SSO — disponible en GA le 24 août 2026 et inclus dans les plans Okta SSO de base sans coût supplémentaire. Un agent compatible Cross App Access (XAA) est enregistré dans Universal Directory avec un propriétaire humain et, au lieu d’une clé API stockée, il reçoit des jetons de courte durée émis selon les mêmes politiques que la personne pour qui il travaille. Cross App Access est une extension OAuth dont Okta a mené la conception ; c’est désormais l’extension officielle Enterprise-Managed Authorization pour MCP. Parmi les partenaires de lancement : Anthropic (Claude), Slack, Notion, Linear, Glean, Granola, Asana, Atlassian, Figma, Canva, Datadog et Supabase.
Okta for AI Agents — un abonnement distinct et payant, disponible en GA le 30 avril 2026. Il ajoute la découverte des shadow agents via des signaux navigateur, endpoint et réseau, la couverture des agents qui ne parlent pas XAA, une Agent Gateway avec un serveur MCP virtuel qui journalise chaque appel d’un agent vers une ressource, le stockage en coffre et la rotation des identifiants des agents, les certifications d’accès, et Universal Logout for AI Agents — un kill switch qui révoque partout les jetons d’un agent.

Okta a par ailleurs finalisé le 26 août 2026 l’acquisition de Permiso Security, spécialiste de la détection des menaces liées à l’identité (10-Q d’Okta). Attendez-vous à voir sa détection apparaître dans Identity Threat Protection au fil des prochaines versions ; n’achetez pas sur la base de cette roadmap.

La question à laquelle il répond

« Gouvernons-nous l’accès de nos agents ops via Okta, ou avons-nous besoin d’une gateway MCP distincte ou d’une couche de sécurité pour agents ? » La réponse dépend des agents que vous faites tourner. Si les agents qui comptent sont Claude, Glean ou des agents natifs Slack qui accèdent à des applications compatibles XAA, Agent SSO couvre l’enregistrement, l’accès de courte durée et le offboarding avec la licence que vous payez déjà — la gouvernance la moins chère que vous trouverez. Si le risque est la longue traîne — des flux n8n qui détiennent un jeton Salesforce, des serveurs MCP que quelqu’un a installés sur un ordinateur portable, des agents développés en interne —, il vous faut Okta for AI Agents ou une gateway dédiée comme Runlayer ou Obot. Agent SSO ne voit pas les agents qui ne demandent jamais de jeton à Okta.

Le prix dans la pratique

Okta publie des prix catalogue par utilisateur pour ses suites Workforce, facturés annuellement, avec un minimum contractuel annuel de 1 500 $ :

Starter — 6 $/utilisateur/mois : SSO, MFA, Universal Directory, 5 Workflows.
Core Essentials — 14 $/utilisateur/mois.
Essentials — 17 $/utilisateur/mois : ajoute Adaptive MFA, Lifecycle Management, Access Governance, Privileged Access pour 2 administrateurs et 50 Workflows.
Professional et Enterprise — sur devis uniquement : ajoutent Identity Threat Protection, Identity Security Posture Management, Device Access, API Access Management et d’autres modules.

À 200 employés, Starter revient à 14 400 $ par an au prix catalogue et Essentials à 40 800 $. Okta for AI Agents est un add-on sur devis sans prix publié, et Identity Governance est vendu séparément. La facture qui surprend les responsables ops est celle des applications SaaS : le provisioning SCIM et le SSO sont souvent réservés à l’offre entreprise de l’éditeur, si bien que le coût réel de « on le met derrière Okta » inclut la montée en gamme de l’autre côté. Chiffrez les deux avant de le promettre.

Idéal pour

Le responsable IT ou sécurité d’une entreprise de 200 à 5 000 personnes qui gère un parc SaaS hétérogène — Google Workspace ou Microsoft 365, plus Salesforce, Slack, un ATS et un CLM — et qui veut un seul endroit pour décider quels humains et quels agents peuvent accéder à chaque application. Le cas précis où Okta l’emporte : une équipe RevOps ou Legal Ops qui déploie Claude et Glean sur Slack, Notion et Linear, et pour qui Agent SSO donne à chaque agent un propriétaire et un jeton révocable sans acheter un outil de plus.

Pas pour

Une entreprise 100 % Microsoft où Entra ID est déjà licencié dans Microsoft 365 E3 ou E5 — payer une deuxième fois pour l’annuaire et le SSO est difficile à justifier. Pas non plus pour une équipe de moins d’environ 25 personnes : le plancher de 1 500 $ et les montées en gamme des applications SaaS dépassent le coût d’un gestionnaire de mots de passe avec SSO.

Face aux alternatives

Microsoft Entra ID — inclus dans Microsoft 365, donc la plupart des entreprises l’ont déjà. L’identité des agents passe par Entra Agent ID et Microsoft Agent 365 à 15 $ par utilisateur et par mois. Choisissez Entra si la plupart de vos agents vivent dans Copilot Studio, Foundry ou le tenant Microsoft ; choisissez Okta si les agents qui comptent agissent sur des SaaS hors Microsoft.
Ping Identity — l’autre grand éditeur indépendant d’identité des collaborateurs, fusionné avec ForgeRock sous Thoma Bravo, le plus solide sur les environnements hybrides et on-premise. Choisissez-le si les applications legacy et la fédération sur mesure dominent la liste des exigences.
Rippling AI Governance — le nouvel entrant le plus rapide : une gateway MCP, l’identité des agents et la détection du shadow AI, lancés en août 2026 au-dessus d’un SIRH. Choisissez-le si Rippling est déjà votre système de référence et que l’accès doit suivre le statut d’emploi sans fournisseur d’identité distinct.
Runlayer, Obot, Composio, Arcade — des gateways et des couches de tool-auth qui se placent à côté d’Okta, pas à sa place. Elles se fédèrent à Okta pour l’identité ; choisissez-en une quand le manque porte sur l’inspection du trafic MCP ou sur l’accès en écriture des agents à des centaines d’applications, pas sur l’identité de l’agent.
Zenity ou WitnessAI — choisissez-les quand l’inquiétude porte sur ce que les agents et les copilotes font des données à l’exécution, ce qu’un fournisseur d’identité n’inspecte pas.

Points de vigilance

Agent SSO ne couvre que les agents qui demandent. Il enregistre les agents compatibles XAA ; une automatisation qui détient une clé API statique lui est invisible. Garde-fou : inventoriez les identifiants des agents dans vos dix principales applications SaaS avant de déclarer la couverture, et budgétez Okta for AI Agents ou une gateway pour tout ce qui ne figure pas sur la liste des partenaires XAA.
Okta se trouve sur le chemin de chaque connexion, ce qui en fait une cible. La compromission de son système de support en octobre 2023 a exposé des données de session de clients. Garde-fou : imposez une MFA résistante au phishing pour les administrateurs Okta, envoyez l’Okta System Log vers votre SIEM et conservez un compte administrateur break-glass documenté en dehors du SSO.
Le prix catalogue n’est que la moitié du devis. SCIM et SSO côté SaaS, Identity Governance et l’add-on AI Agents sont autant de lignes séparées. Garde-fou : faites chiffrer chaque add-on dans le même devis et plafonnez la hausse au renouvellement dans le bon de commande.
Une roadmap issue des acquisitions. La détection de Permiso n’est pas encore un SKU Okta nommé. Garde-fou : n’évaluez que ce qui est disponible en GA aujourd’hui, et inscrivez toute fonctionnalité promise dans le contrat avec une date.

À lire aussi : Les serveurs MCP expliqués et la stack de portail ops interne.

Modifier cette page sur GitHub