Aller au contenu

Sujets populaires

SaaS Management Trouvez les SaaS dont personne ne vous a parlé. IA comprise.

CerteroX SaaS Management trouve chaque application réellement utilisée par vos équipes, via le fournisseur d’identité, les API des éditeurs et une extension de navigateur, puis récupère automatiquement les licences inutilisées et révoque les accès.

Réserver une démo Voir la console d’offboarding
Masquer le détail technique
  • 47 connecteurs
  • 3 signaux de découverte
  • Score de risque OAuth
Découverte
Interface à titre d’illustration
  • SYNCHRO Fournisseur d’identité

    Entra ID · Okta · inscription MFA

  • EXTRACTION API de l’éditeur

    47 connecteurs · utilisateurs, licences

  • SIGNAL Extension de navigateur

    Domaines · temps par application · utilisateurs

Fiche application

Responsables
4 types
Licences
240 / 186
Actifs 90 j
61%
SSO
Couvert
Application Classification
  • Slack IdP API Ext
    Approuvé
  • Notion API Ext
    Shadow IT
  • Miro Ext
    Non approuvé
  • ChatGPT Ext
    IA fantôme
Données d’exemple
En bref

Les abonnements continuent d’être facturés une fois que les gens ne s’en servent plus.

Les équipes souscrivent à des outils en ligne avec une carte, et beaucoup n’apparaissent jamais sur une liste centrale. Quand quelqu’un s’en va, ses comptes principaux sont désactivés, mais les autres abonnements continuent d’être facturés et certains ont encore accès aux fichiers de l’entreprise. CerteroX trouve ces applications, montre qui les utilise réellement et comble la faille quand les gens partent.

  • Coût

    Cessez de payer des licences utilisateur que personne n’ouvre.

    Les licences inutilisées depuis trente jours ou plus sont signalées, puis récupérées, réattribuées ou basculées vers une offre moins chère, avec un suivi des économies trimestre par trimestre.

  • Risque

    Les collaborateurs sortants perdent leurs accès partout.

    Chaque licence détenue par un collaborateur sortant est suivie jusqu’à sa clôture, les outils d’IA que personne n’a approuvés sont détectés et peuvent être bloqués, et chaque étape est inscrite dans un journal d’audit.

  • Effort

    Le travail répétitif s’exécute tout seul.

    Les étapes d’arrivée et de départ s’exécutent automatiquement dans les applications que vous connectez : l’informatique cesse de répéter les mêmes clics à chaque changement.

Vous consultez le détail technique complet. Désactivez-le pour afficher la version courte.

Masquer le détail technique
Le problème

Le problème : la faille de l’offboarding

Une personne est partie il y a quatre mois. Sa licence Microsoft 365 a été retirée dès le premier jour. Ses licences utilisateur Figma, Notion, Linear et ChatGPT sont toujours facturées, et son autorisation OAuth accordée à une application tierce donne encore un accès en lecture au drive de l’entreprise.

Le processus d’offboarding n’a pas été ignoré. Il s’est exécuté, il a réussi, mais il ne couvrait que les applications connues du fournisseur d’identité. Tout ce qui avait été acheté avec une carte restait en dehors.

  1. Jour 0

    Le ticket de départ est clôturé

    Licence retirée, connexion bloquée, fiche archivée.

  2. Jour 1

    Six licences utilisateur que personne ne surveille

    Chaque application achetée en dehors du fournisseur d’identité continue d’être facturée.

  3. Jour 31

    Le premier renouvellement est facturé malgré tout

    La fiche d’abonnement n’a jamais su que la personne était partie.

  4. Jour 124

    L’autorisation OAuth est toujours active

    Une application tierce autorisée lit encore les fichiers de l’entreprise.

305

applications SaaS dans le portefeuille moyen d’une entreprise

46%

des licences SaaS restent inutilisées ; l’organisation moyenne en utilise 54 %

+393%

de croissance des dépenses en applications natives IA dans les grandes entreprises

CerteroX SaaS Management peut vous aider

Réserver une démo

47

Connecteurs SaaS

3

signaux de découverte convergents

13

actions de workflow

0–100

Score de risque des autorisations OAuth

Dans le produit

L’offboarding, de la checklist à la preuve

Un utilisateur, chaque licence qu’il détenait et l’état de révocation de chacune. Le coût mensuel de tout ce qui reste ouvert figure en haut du panneau.

Toujours facturé, 124 jours plus tard À titre indicatif

£214.25$289€251/mois

6 licences sur 7 d’un collaborateur sortant, toujours attribuées et toujours facturées. Le panneau ci-dessous ramène ce chiffre à zéro et consigne les preuves.

Interface fonctionnelle · appuyez sur lecture ou regardez-la tourner

Utilisateurs / Offboarding / u-4821

Interface à titre d’illustration · données d’exemple

Collaborateur parti · accès retiré il y a 124 jours

Fiche annuaire archivée · 7 licences détenues au départ

Toujours facturé

£214.25$289€251/mois

Avancement de la révocation 1 sur 7

  • Microsoft 365 · E3

    Révoquée à la date de départ · connexion bloquée

    —

    En attente

  • Slack · Business+

    Connecteur · désactiver le membre

    £11.75$16€14

    En attente

  • Notion · Plus

    Connecteur · retirer de l’espace de travail

    £8$11€9

    En attente

  • Box · Business

    Connecteur · transférer, puis désactiver

    £13.5$18€16

    En attente

  • HubSpot · Sales Hub Pro

    Connecteur · mode souple (pas d’API de suspension)

    £75$101€88

    En attente

  • ServiceNow · ITIL

    Connecteur · verrouiller et retirer les rôles

    £84$113€98

    En attente

  • ChatGPT · Team

    Connecteur · retirer de l’espace de travail

    £22$30€26

    En attente

6 licences en attente · chaque étape inscrite au journal d’audit

Autorisations OAuth encore actives

Score de 0 à 100 selon la sensibilité des données, l’étendue de la portée, le type de consentement et l’inactivité.

  • Utilitaire de synchronisation de documents

    Éditeur non vérifié · Inutilisée depuis 124 jours

    drive.readonly offline_access
    Risque élevé

  • Module d’enrichissement marketing

    Éditeur vérifié · Inutilisée depuis 38 jours

    Mail.Read User.Read.All
    Risque accru

  • Enregistreur de réunions

    Éditeur vérifié · Utilisée il y a 6 jours

    Calendars.Read
    Risque faible

Journal d’audit · cet utilisateur

1 entrée

  1. › entra.licence.remove ok

Consigné au retour de chaque étape. La révocation est aussi une action de workflow : elle n’a donc jamais à être refaite à la main. Le rôle Auditor peut consulter les preuves sans disposer des droits pour modifier quoi que ce soit.

État par licence

En attente, en cours ou terminé : jamais une simple coche verte à la place de sept systèmes distincts.

Des étapes fidèles à chaque éditeur

Chaque connecteur exécute le déprovisionnement que l’éditeur prend réellement en charge et indique l’étape effectuée.

Des preuves conservées

Chaque action de provisionnement et de déprovisionnement est inscrite dans un journal d’audit consultable par le rôle Auditor.

En savoir plus

Réserver une démo
Visibilité · Optimisation · Gestion · Gouvernance

Les quatre piliers, appliqués aux SaaS

Chaque classe d’actifs de la plateforme est gérée selon les mêmes quatre axes. Voici ce que chacun signifie quand l’actif est un abonnement acheté par quelqu’un dans un navigateur.

Visibilité

01 / 04

Chaque application, autorisée ou non, avec la preuve de qui l’utilise.

Fournisseur d’identité API de l’éditeur Extension de navigateur Un seul enregistrement d’application
  • Extension de navigateur détection des domaines SaaS, du temps passé par application et de l’attribution par utilisateur
  • Synchronisation du fournisseur d’identité depuis Entra ID et Okta, inscription MFA comprise
  • Synchronisation des connecteurs extraction des listes de référence des utilisateurs et des licences chez l’éditeur
  • Shadow AI Dashboard avec un modèle de risque d’adoption à trois niveaux
4 de plus sur 8
  • Découverte des autorisations OAuth accordées aux applications tierces
  • Executive Dashboard consolidant applications, utilisateurs, dépenses et tendances
  • Usage Summary avec Active Usage Rate et identification des utilisateurs intensifs
  • Widget de couverture SSO avec une liste classée des applications à forte valeur non couvertes

Optimisation

02 / 04

Arrêtez de payer des licences que personne n’a ouvertes depuis mars.

Jours sans aucune utilisation enregistrée

0306090

Signalée inactive à 30 jours · six actions possibles ensuite

  • Détection des licences inutilisées après 30 jours ou plus sans utilisation
  • App Rationalization détection des doublons classés par économie récupérable
  • Actions récupérer, réattribuer, rétrograder l’offre, archiver, relancer, écarter
  • Optimization Score de 0 à 100 selon l’utilisation, la réactivité et le respect des règles
4 de plus sur 8
  • Renouvellements à venir avec jours restants avant renouvellement et taux d’utilisation
  • Coût par utilisateur sous licence comparé au coût par utilisateur actif
  • Économies réalisées, coûts évités réalisés et ROI par trimestre fiscal
  • Assistant de déprovisionnement en masse pour un offboarding à sélection multiple

Gestion

03 / 04

Automatisez les tâches répétitives entre la découverte et la résolution.

8 déclencheurs 11 conditions 13 actions Un seul canevas de workflow
  • Moteur de workflow 8 déclencheurs, 11 conditions, 13 actions sur un seul canevas
  • Provisionnement et déprovisionnement sur Entra, Okta, Google, M365 et d’autres
  • Quatre types de responsables responsable applicatif, métier, technique et des données
  • Diffusion des rapports vers Slack et Microsoft Teams
3 de plus sur 7
  • Cycle de vie des abonnements  : achetées, attribuées, disponibles et en surnombre
  • Champs personnalisés sur les applications, les abonnements et les utilisateurs
  • Data Agents et Reporting Agents planifiés

Gouvernance

04 / 04

Bouclez la boucle et gardez la preuve.

Score de risque des autorisations OAuth

Sensibilité, portée, consentement, inactivité

Faible 0–39 Accru 40–69 Élevé 70–100
  • Checklist d’offboarding par utilisateur, avec l’état de révocation de chaque licence
  • Score de risque des autorisations OAuth selon la sensibilité, la portée, le consentement et l’inactivité
  • Révocation des autorisations en un clic également disponible comme action de workflow
  • Modèle de rôles à six niveaux dont un rôle Auditor dédié
4 de plus sur 8
  • Indicateur de dépenses gaspillées pour les licences encore détenues par des collaborateurs partis
  • Évaluation des risques selon la sensibilité des données, la conformité et la criticité métier
  • Journal d’audit couvrant chaque étape de provisionnement et de déprovisionnement
  • Budgets par application avec seuils d’avertissement et critiques

31 fonctionnalités nommées au total, réparties sur les quatre piliers.

La couche d’automatisation

Personne ne devrait faire
deux fois les mêmes sept clics.

Huit déclencheurs, onze conditions et treize actions réunis sur un seul canevas, le moteur entre la découverte et la résolution. Trois exemples concrets ci-dessous ; passez de l’un à l’autre.

Workflows / Collaborateur sortant détecté

Configuration à titre d’illustration

Quand · 1 déclencheur sur 8

Utilisateur marqué comme sortant

Fournisseur d’identité · Entra ID ou Okta

Si · 11 conditions disponibles

  • L’utilisateur détient une ou plusieurs licences payantes
  • L’application dispose d’un connecteur de déprovisionnement

Toutes doivent être remplies

Alors · 13 actions disponibles

  1. 01 Déprovisionner Chaque connecteur, dans le mode pris en charge par l’éditeur
  2. 02 Révoquer les autorisations OAuth Chaque application tierce autorisée
  3. 03 Récupérer les licences utilisateur Remise dans le pool d’abonnements
  4. 04 Notifier Responsable applicatif, dans Slack ou Teams

Résultat La checklist d’offboarding se clôt avec des preuves pour chaque licence

Au-delà de la découverte

Trois choses que ce type d’outil ne fait pas

La découverte est le minimum attendu. C’est après la découverte que les plateformes de gestion des SaaS s’arrêtent discrètement.

01

L’IA fantôme est une fonctionnalité à part entière, pas une note de bas de page

Les outils d’IA sont classés à partir des étiquettes de fonctionnalités des applications du catalogue plutôt que d’une liste figée, si bien que le périmètre de détection s’enrichit de lui-même. Le tableau de bord classe le risque d’adoption selon la part de votre organisation qui utilise chaque outil, car dix personnes sur ChatGPT ne posent pas le même problème que mille.

Les outils que personne n’a déclarés arrivent dans cette liste par l’extension de navigateur, le seul des trois signaux capable de voir un compte ouvert avec une adresse e-mail professionnelle et payé avec une carte personnelle.

IA fantôme · part de l’organisation À titre indicatif
  1. 01 ChatGPT Niveau 1 34%
  2. 02 Claude Niveau 2 11%
  3. 03 Gemini Niveau 3 4%

Chaque outil peut être défini comme géré, bloqué ou ignoré. La classification s’appuie sur les étiquettes de fonctionnalités du catalogue : un nouvel outil est donc détecté avant que quiconque n’écrive une règle pour lui.

02

Un offboarding dont vous pouvez prouver la fin

La plupart des plateformes vous indiquent qu’un utilisateur a été retiré. Celle-ci affiche chaque licence qu’il détenait, l’état du connecteur correspondant et si la révocation est en attente, en cours ou terminée, ainsi que le coût mensuel estimé de tout ce qui reste ouvert.

Ce dernier chiffre porte un nom dans le produit : les dépenses gaspillées, comptabilisées pour chaque licence encore détenue par un collaborateur parti.

  1. État 01

    En attente

    Licence détenue, connecteur en file d’attente, coût qui continue de courir

  2. État 02

    En cours

    Appel à l’éditeur en cours, avec l’étape précise nommée

  3. État 03

    Terminé

    Licence utilisateur libérée, preuves consignées, coût ramené à zéro

03

Un déprovisionnement adapté à la réalité de chaque éditeur

HubSpot n’a pas d’API de suspension : il existe donc un mode souple qui retire les rôles et un mode strict qui supprime. Box transfère la propriété des fichiers avant de désactiver. ServiceNow verrouille le compte et retire chaque rôle et chaque appartenance à un groupe. Les connecteurs génériques ne savent pas le faire.

Ces trois cas suivent trois chemins de code distincts.

HubSpot
Aucune API de suspension n’existe. Le mode souple retire chaque rôle et libère la licence utilisateur payante ; le mode strict supprime purement et simplement l’utilisateur.
Box
La propriété des fichiers est d’abord transférée à un responsable désigné, et le compte n’est désactivé qu’ensuite.
ServiceNow
Le compte est verrouillé, puis chaque rôle et chaque appartenance à un groupe sont retirés un par un.
Intégrations

Des connecteurs qui puisent les données de référence chez l’éditeur

Un connecteur lit la liste de référence des utilisateurs et des licences directement dans l’application, puis exécute le déprovisionnement selon la méthode prise en charge par cet éditeur.

Connecteurs disponibles aujourd’hui

47

Développés sur l’API propre à chaque éditeur.

Cités ici
26
Également disponible
21

Identité 02

  • Entra ID
  • Okta

Productivité et collaboration 13

  • Microsoft 365
  • Google Workspace
  • Slack
  • Zoom
  • Notion
  • Miro
  • Box
  • Dropbox
  • Atlassian
  • Asana
  • Monday.com
  • Airtable
  • DocuSign

Systèmes métier 05

  • Salesforce
  • HubSpot
  • ServiceNow
  • Tableau
  • Databricks

Ingénierie et observabilité 04

  • GitLab
  • Datadog
  • New Relic
  • PagerDuty

IA 02

  • OpenAI
  • Anthropic

Vingt-six cités ici, sur les quarante-sept connecteurs disponibles aujourd’hui. Voir la liste complète.

  1. 01

    Authentifier

    Des identifiants à portée limitée pour chaque application, jamais un jeton d’administration partagé.

  2. 02

    Synchronisation

    Utilisateurs, niveaux de licence, nombre de licences utilisateur et dates d’attribution, directement depuis l’éditeur.

  3. 03

    Rapprocher

    Liste de l’éditeur rapprochée du fournisseur d’identité et du signal du navigateur.

  4. 04

    Agir

    Le provisionnement et le déprovisionnement s’exécutent selon la méthode réellement prise en charge par l’éditeur.

En savoir plus

Réserver une démo
FAQ sur la gestion des SaaS

Les premières questions des acheteurs

6 questions, avec les réponses des ingénieurs qui ont conçu les connecteurs.

Si votre question est plus précise, la réponse tient généralement à un détail de connecteur, et nous vous la donnerons sans détour.

Interroger un ingénieur
Qu’enregistre réellement l’extension de navigateur ?

Le domaine de l’application, le temps passé dessus et l’utilisateur concerné. C’est le signal qui révèle les applications achetées avec une carte sans jamais en informer l’informatique, celles dont aucun fournisseur d’identité ni aucun connecteur ne vous parlera jamais.

Peut-on l’utiliser sans déployer d’extension ?

Oui. Deux des trois signaux ne nécessitent rien sur le poste de travail : la synchronisation du fournisseur d’identité depuis Entra ID ou Okta, et la synchronisation des connecteurs qui extrait les listes de référence des utilisateurs et des licences auprès de chaque éditeur. C’est l’extension qui comble la faille sur les outils non approuvés : la plupart des organisations la testent donc d’abord sur un seul service.

Comment déterminez-vous qu’une licence est inutilisée ?

Trente jours ou plus sans aucune utilisation enregistrée, mesurés par rapport à la liste d’utilisateurs de l’éditeur lui-même. Ensuite, les actions sont explicites : récupérer, réattribuer, rétrograder l’offre, archiver, relancer ou écarter. Écarter compte comme une action et est inscrit au journal d’audit comme les cinq autres.

Comment l’IA fantôme est-elle détectée si de nouveaux outils apparaissent chaque semaine ?

La classification s’appuie sur les étiquettes de fonctionnalités déjà présentes dans le catalogue d’applications : le périmètre de détection s’enrichit donc sans attendre une nouvelle version du produit. Le Shadow AI Dashboard classe ensuite le risque d’adoption selon la part de votre organisation qui utilise chaque outil, et chacun peut être marqué comme géré, bloqué ou ignoré.

Que se passe-t-il quand un éditeur n’a pas d’API de suspension ?

Le connecteur fait ce qui s’en rapproche le plus de façon défendable et vous indique ce qu’il a fait. HubSpot n’a pas de point de terminaison de suspension : il existe donc un mode souple qui retire les rôles et libère la licence utilisateur payante, et un mode strict qui supprime. Vous choisissez pour chaque application, et le résultat est inscrit au journal d’audit dans les deux cas.

Qui peut voir les dépenses, et qui peut agir dessus ?

Un modèle de rôles à six niveaux, dont un rôle Auditor dédié qui peut consulter les preuves d’offboarding et la piste d’audit sans disposer des droits pour modifier quoi que ce soit. Les responsables applicatif, métier, technique et des données sont distincts : la personne chargée du renouvellement n’est donc pas automatiquement celle qui détient les droits de révocation.

Commencez par la faille de l’offboarding

Suivez le départ d’un collaborateur,
application par application.

La démo parcourt la console de bout en bout : la licence encore détenue, l’autorisation OAuth encore active et l’éditeur sans point de terminaison de suspension, avec chaque étape nommée et chaque appel de connecteur affiché.

Réserver une démo

Pas de PDF soumis à formulaire, et si vous dites que vous vous renseignez simplement, personne ne vous relancera chaque semaine.