En bref : repérer un login SaaS sur plusieurs postes
- Compter la mauvaise chose : Les limites de sessions concurrentes ne repèrent pas le partage de mot de passe, parce que ceux qui partagent ne se connectent presque jamais à la même seconde. Une équipe de huit à tour de rôle vit tranquille sous un plafond à deux sessions. Vous comptez la mauvaise chose.
- Le compteur d'appareils : cside construit une empreinte matérielle à partir de plus de 250 signaux par session et renvoie un compteur d'appareils par compte via API, avec 1 000 appels par mois en offre gratuite. Huit collègues sur un même login produisent huit empreintes distinctes depuis la même IP de bureau.
- Proposez, ne bloquez pas : Ne bloquez pas le compte, proposez un siège. Quand l'API repère un nouvel appareil sur un compte qui en a déjà trois, affichez l'invite d'ajout de siège au moment où la session arrive. Silencieux pour l'utilisateur réel, signal net pour la discussion avec la finance.
Peu de temps ? Découvrez la détection sans friction du partage de comptes de cside. Elle couvre tout ce qui suit en un seul déploiement.
Les outils de détection du partage de mots de passe identifient les cas où plusieurs personnes se connectent avec un seul jeu d'identifiants pour éviter d'acheter des sièges supplémentaires. C'est la forme la plus courante d'abus de sièges dans les logiciels licenciés par utilisateur, et elle échappe à la plupart des contrôles standard. Ces utilisateurs détiennent des identifiants valides, ils passent la MFA quand elle est requise et leurs sessions semblent normales. Le seul signal qui les trahit, c'est qu'un même compte apparaît sur plusieurs appareils physiques distincts dans un court laps de temps.
| Type d'outil | Fonctionnement | Manque le partage sur le même réseau | Nécessite une implémentation sur mesure | Offre gratuite |
|---|---|---|---|---|
| cside (fingerprinting d'appareil) | Signaux matériels au niveau du navigateur, par session | Non | Non (signal de diversité intégré via API) | Oui (1,000 appels/mois) |
| Limites de sessions simultanées | Bloque plus de N sessions actives en même temps | Non (l'usage séquentiel la contourne) | Non | Selon la plateforme |
| Détection basée sur l'IP | Signale les comptes se connectant depuis plusieurs IP | Oui (réseau de bureau partagé) | Non | Selon la plateforme |
Les trois outils que les équipes SaaS essaient en premier (et pourquoi ils échouent)
Les limites de sessions simultanées sont la première ligne de défense la plus courante. Vous autorisez une ou deux sessions actives par compte et bloquez les connexions supplémentaires. Le problème, c'est que ceux qui partagent un mot de passe opèrent rarement en même temps. Ils partagent les identifiants et se connectent à différents moments de la journée. L'accès séquentiel n'atteint jamais la limite de simultanéité. Une équipe de huit personnes partageant un seul identifiant peut fonctionner sans souci dans une limite de deux sessions tant qu'elles ne travaillent pas toutes exactement au même instant.
La détection basée sur l'IP signale les comptes qui s'authentifient depuis plusieurs adresses IP. Elle repère certaines anomalies géographiques mais manque totalement le schéma de partage le plus courant en entreprise. Huit collègues dans le même bureau utilisent une seule connexion internet. Leurs sessions arrivent toutes depuis une même IP. La détection par IP voit une source unique et ne lève aucune alerte. Pour les équipes qui utilisent un VPN d'entreprise, la situation est identique : tout le trafic sort de la passerelle VPN avec une seule adresse IP.
Les plateformes d'authentification comme Okta ou Azure AD vérifient l'identifiant et, éventuellement, un second facteur. Elles sont efficaces pour empêcher les tentatives de connexion non autorisées, mais elles n'ont aucune visibilité sur le fait que le titulaire autorisé du compte partage ou non ses identifiants. Si un utilisateur transmet un OTP à un collègue, ou si le collègue opère pendant une session déjà authentifiée, la plateforme d'authentification voit une session valide et ne fait rien.
Ce qui fonctionne vraiment : le fingerprinting d'appareil
Chaque appareil physique (ordinateur portable, de bureau ou poste de travail) possède une combinaison distincte de GPU, de CPU, de polices, de résolution d'écran, de matériel audio et de comportement de rendu canvas. Un outil de fingerprinting au niveau du navigateur lit ces signaux à chaque session et produit un identifiant d'appareil stable. Cet identifiant persiste malgré l'effacement des cookies, le mode navigation privée et les connexions VPN, car il provient du matériel physique plutôt que d'un état stocké.
Lorsque vous associez chaque événement d'authentification à son empreinte d'appareil et que vous suivez le nombre d'empreintes distinctes par compte sur une fenêtre temporelle glissante, le partage de mots de passe devient visible. Un utilisateur sur un appareil produit une seule empreinte cohérente. Huit collègues partageant un identifiant produisent huit empreintes distinctes, chacune avec un profil matériel différent.
Le seuil de signalement est configurable. Deux empreintes distinctes en 24 heures peuvent être normales, par exemple un utilisateur avec un ordinateur portable et un poste fixe. Cinq empreintes distinctes en 24 heures n'est pas un scénario plausible pour un seul utilisateur.
cside pour la détection du partage de mots de passe dans les SaaS
La détection du partage de comptes de cside construit une empreinte d'appareil à partir de plus de 250 signaux de navigateur par session et expose un signal de diversité d'appareils par compte via son API. Votre application voit l'empreinte d'appareil actuelle, si cet appareil est déjà connu pour le compte, et combien d'appareils distincts ont été vus dans la fenêtre temporelle que vous configurez.
C'est le signal dont votre flux d'ajout de sièges a besoin. Lorsque l'API signale un nouvel appareil sur un compte qui compte déjà trois appareils connus, votre application peut afficher une invite : ce compte est utilisé depuis un nouvel appareil, souhaitez-vous ajouter un siège ? La détection reste passive et silencieuse, et elle n'ajoute aucune friction pour les utilisateurs légitimes qui n'ont qu'un seul appareil.
cside s'intègre sous la forme d'une seule balise de script, et le verdict est disponible en temps réel, de sorte que l'invite peut apparaître au moment où la session sur le nouvel appareil est détectée plutôt que dans une notification différée.
Liste de vérification pour l'achat d'un outil de détection du partage de mots de passe
- Détecte-t-il le partage sur des réseaux partagés ? Le fingerprinting d'appareil le fait, la détection par IP non.
- Fonctionne-t-il sans imposer de limite de sessions simultanées ? Vous pouvez vouloir déclencher des invites plutôt que bloquer des sessions.
- Le signal de diversité est-il intégré à l'API, ou nécessite-t-il une logique backend sur mesure ?
- Pouvez-vous configurer le seuil ? Deux appareils et cinq appareils n'ont pas les mêmes implications pour l'activité.
- Gère-t-il les sessions mobiles ? Un utilisateur sur un navigateur mobile a une empreinte distincte de celle de son poste fixe, votre logique de seuil doit donc en tenir compte.
