Ariovis franchit une nouvelle étape avec le lancement de son nouveau site et de six outils diagnostics gratuits, disponibles depuis ariovis.fr.
Nouvelles fonctionnalités
Site ariovis.fr – refonte complète
Le site Ariovis a été entièrement repensé : nouvelle architecture, nouveau design, contenu réorganisé autour des offres, des cas d’usage et des ressources. Disponible en français et en anglais.
Chiffrez le retour sur investissement de votre programme IAM en 7 minutes. Trois scénarios documentés (conservateur, base, ambitieux), couvrant les gains opérationnels, la réduction des licences inutilisées (SAM) et la réduction du risque cyber (modèle ALE). Export PDF Ariovis inclus.
Évaluez votre maîtrise des accès à privilèges et obtenez une feuille de route personnalisée en 5 étapes : gouverner, authentifier, décider, contrôler, protéger les secrets.
Qualifiez votre parc applicatif et recevez une recommandation claire : RBAC classique, gouvernance IGA ou autorisation dynamique (FGA). Score de criticité, de complexité et plan projet en sortie.
Évaluez la maturité de l’autorisation de vos agents IA, copilotes, serveurs MCP et pipelines RAG. 20 risques analysés (agents sur-privilégiés, MCP fantômes, RAG non filtré…), architecture cible et roadmap de mise en sécurité.
Ariovis poursuit l’amélioration de son extranet afin d’offrir aux clients un suivi projet plus clair et des accès mieux maîtrisés.
Amélioration
Extranet : suivi projet côté client
Les clients ayant accès à l’extranet peuvent désormais consulter le suivi de leurs projets, avec les vues Kanban et Gantt.
Corrections
Extranet : droits d’accès aux projets clients
Correction d’un problème d’accès : les projets partagés avec un client ne sont visibles que par les contacts autorisés, et non par l’ensemble des contacts de la même entreprise.
Pendant des années, le Privileged Access Management (PAM) a fait bande à part. Un sujet critique, certes, mais cantonné à sa bulle technique. Entre spécialistes, on y parlait coffres-forts, gestion des secrets, sessions et traçabilité. Cette approche silotée a eu ses heures de gloire : elle a permis de colmater les brèches les plus évidentes et de reprendre la main sur les accès à hauts risques.
Mais aujourd’hui, le modèle s’essouffle. Sécuriser l’exécution ne suffit plus ; il faut gouverner le privilège.
Le privilège persistant : la véritable épée de Damoclès
Le véritable risque cyber ne réside plus tant dans l’existence des droits d’administration que dans leur persistance. Nous faisons face à une prolifération silencieuse au sein des systèmes d’information : des comptes actifs en permanence, des droits élevés accordés « au cas où », ou encore des habilitations sensibles héritées d’un ancien poste et confortablement oubliées.
Le danger est devenu une question de durée et de banalisation. C’est ici que le PAM historique capitule. S’il excelle à verrouiller l’accès à un instant T, il reste structurellement aveugle dès qu’il s’agit de questionner la légitimité de ce droit dans le temps. Sans une gouvernance globale, l’outil protège le flux, mais ne transforme pas le modèle d’accès.
La conviction Ariovis : réintégrer le privilège dans le flux de l’identité
Le privilège n’est pas une couche annexe en bout de chaîne : c’est une composante native du cycle de vie de l’identité. Un accès sensible ne doit plus être pensé comme une simple session technique à ouvrir, mais comme un droit à justifier, une durée à contraindre et un contexte à évaluer.
Ce changement de paradigme fait basculer la sécurité d’un modèle statique — générateur de dette d’habilitation et de surface d’exposition — vers un modèle dynamique. C’est tout l’enjeu des stratégies Just-in-Time (JIT) et du Zero Standing Privilege (ZSP) : supprimer les droits permanents pour ne les activer que lorsque la situation business ou technique l’exige.
Cliquez sur l’image pour l’agrandir
L’interconnexion indispensable : IAG et Access Management
Pour opérer cette bascule, le PAM doit cesser de jouer en solo et s’orchestrer avec les deux autres piliers de l’IAM :
L’IAG (Identity Governance & Administration) : Elle apporte la couche de sens et de conformité. Qui est l’utilisateur ? Quel est son rôle réel ? Quelle logique métier justifie son élévation ? Sans l’IAG, le PAM contrôle, mais ne justifie rien.
L’Access Management : Il fournit l’intelligence contextuelle en temps réel. Depuis quel environnement la demande émane-t-elle ? Avec quel niveau de confiance et quels signaux de risque ?
Moderniser son bastion sans revoir son modèle d’accès global est un leurre fréquent. On se retrouve alors avec une technologie rutilante, mais des processus flous et des exceptions permanentes. La vraie maturité consiste à lier l’authentification, le contexte et le contrôle.
Vers une cyber-maturité transformante
En décloisonnant le PAM, l’entreprise bascule d’une posture défensive à une dynamique de transformation. Les privilèges dormants s’effacent, les revues d’accès gagnent en lisibilité et la trajectoire Zero Trust devient enfin une réalité opérationnelle.
Le futur du PAM n’est pas dans l’autonomie, mais dans l’interconnexion maîtrisée. Traiter le privilège pour ce qu’il est vraiment — un droit sensible, éphémère par nature et hautement contextuel —, c’est là que se situe la frontière de la maturité cyber.
Ariovis poursuit l’amélioration de son extranet et de son Académie afin de proposer une expérience toujours plus fiable, accessible et enrichissante à ses clients.
L’Académie Ariovis s’enrichit avec l’ajout de 14 nouvelles vidéos dédiées aux sujets IAM. Disponibles en français avec sous-titres anglais, ces contenus permettent aux clients d’accéder à davantage de ressources autour de l’identité numérique, de la gestion des accès et des enjeux associés.
Extranet : migration vers la version 19.0
L’extranet Ariovis a été migré vers la version 19.0. Cette évolution a fait l’objet d’une phase de tests approfondie avant sa mise en production, afin de vérifier les principaux parcours utilisateurs, d’identifier les points bloquants et d’assurer une transition fluide pour les clients.
Corrections
Tickets : correction de l’affichage lors des réponses
Un problème d’affichage gênait la rédaction d’une réponse à un ticket depuis l’interface client : la zone de saisie affichait le texte en blanc sur fond blanc. Ce bug a été corrigé afin de rétablir une saisie lisible et confortable pour l’ensemble des utilisateurs concernés.
L’extranet Ariovis évolue pour vous offrir encore de ressources découvrez les nouveautés de février 2026 !
Nouvelles fonctionnalités
Formation « Cybersécurité pour les développeurs » sur l’Académie Ariovis
Un parcours structuré en 2 sessions :
Session 1 : Fondamentaux de la cybersécurité, gestion des secrets, et protection des données (RGPD, chiffrement).
Session 2 : Vulnérabilités courantes (SQLi, XSS, CSRF), bonnes pratiques de développement sécurisé, et intégration de la sécurité dans votre cycle CI/CD.
Flexible et accessible :
Sessions en petits groupes (4 participants max) pour un apprentissage efficace.
Amélioration
Design responsive pour un accès fluide sur tous les appareils.
Corrections
Correction de l’affichage des onglets sur mobile (compatibilité renforcée)
On a parfois l’impression que les
grandes banques françaises évoluent chacune dans leur galaxie. Chacune son SI,
chacune son app, chacune sa stratégie.
Alors, quand cinq d’entre elles BNP Paribas, Crédit Agricole, BPCE, Crédit
Mutuel, Société Générale, réussissent à créer un produit commun, il
faut commencer par saluer la performance.
Parce qu’avant même de parler d’authentification, d’expérience utilisateur ou
de souveraineté numérique… le premier exploit est managérial.
1. Une alliance bancaire aussi improbable que remarquable
Il faut imaginer l’effort : mettre autour de la table
plusieurs mastodontes, chacun avec son organisation, ses contraintes
réglementaires, ses priorités internes et son propre historique technique.
Et malgré cela, accoucher d’un service commun, porté par une gouvernance
unifiée et une vision partagée.
b.connect, c’est d’abord un tour de force de coordination
:
Un
modèle économique partagé
Une
architecture commune
Une
marque unique
Une
stratégie d’adoption nationale
On peut ironiser sur beaucoup de choses dans le numérique
français, mais réussir à aligner cinq banques sur un produit destiné au
marché est suffisamment rare pour être souligné.
Chapeau aux technocrates qui ont tenu le projet. Sincèrement.
Car sur le papier, l’idée est brillante : transformer
l’infrastructure d’authentification bancaire, déjà utilisée par des millions
de Français au quotidien — en un bouton de connexion universel, souverain,
sécurisé et simple.
Bref : un « Login with Google »… mais français, fiable, et
avec authentification forte.
2. Un service pensé pour le grand public
Pour l’utilisateur, l’objectif est limpide :
arrêter de créer des mots de passe partout, arrêter de les oublier,
arrêter de cliquer sur « mot de passe oublié », et s’appuyer sur
l’authentification la plus solide qu’ils utilisent déjà chaque semaine : celle
de leur banque.
Avec b.connect, le parcours idéal ressemble à ça :
Vous
cliquez sur « Se connecter avec b.connect »
Votre
application bancaire s’ouvre
Vous
validez avec Face ID / empreinte / code SCA
Vous
êtes connecté
Un geste que tout le monde connaît, compris par les moins
techniques, et extrêmement difficile à usurper.
Pour les sites marchands, l’avantage est évident :
moins
de friction,
plus
de conversions,
moins
de support,
des
données clients vérifiées.
Sur le papier, encore une fois : c’est du gagnant-gagnant.
3. Mais… un lancement raté cet été
Et c’est là que le rêveur se réveille.
Parce que si l’initiative est excellente, son exécution l’est un peu moins.
Le service devait être lancé cet été. Les annonces étaient
prêtes, la communication aussi. Ariovis en avait déjà parlé, avec passion, à
l’ensemble de ses clients cIAM.
Mais l’été est passé, et rien n’a été mis en production.
Raison officielle : prudence, robustesse, phases de test,
industrialisation.
Raison officieuse : quand cinq banques doivent synchroniser leurs
environnements, leurs équipes et leurs jalons, la réalité reprend vite ses
droits.
Résultat : b.connect existe, mais n’est pas encore réellement là.
Et pendant que la France finalise les tableaux Excel
d’organisation du lancement… d’autres pays en Europe utilisent déjà un
équivalent depuis presque 20 ans.
4. Pendant ce temps, la Norvège vit dans le futur depuis
2004
La comparaison fait un peu mal, mais elle est instructive.
La Norvège dispose depuis 2004 de BankID, son
système national d’identité numérique.
Dès le départ, il combine :
authentification
forte,
signature
électronique,
identification
pour services privés et publics.
Le modèle moderne d’authentification pour le grand public,
celui comparable à b.connect, a été déployé à grande échelle en 2014.
Aujourd’hui :
Plus
de 4,3 millions de Norvégiens l’utilisent
Soit 98 % de la population adulte
Pour
accéder à leurs services publics, leurs banques, leurs assurances, leurs
e-commerces
Et
même pour signer des contrats locatifs
Et ce n’est pas qu’en Norvège :
MitID
(Danemark) : déployé depuis 2021 (remplaçant NemID existant depuis
2010)
Finnish
Trust Network (Finlande) : opérationnel depuis 2019
L’Europe du Nord a des années d’avance.
Pendant que la France avance… mais doucement.
5. Espérons que b.connect n’aura pas le destin de “CB”
Le risque, il est simple :
que b.connect devienne un projet magnifique, très bien conçu, très bien
communiqué… puis progressivement abandonné faute d’adoption ou de gouvernance
solide.
Un peu comme la marque CB, qui a longtemps été un
fleuron français avant d’être progressivement effacée derrière Visa — au point
que BPCE ne brand plus CB, mais uniquement Visa.
On connaît le scénario :
Un
lancement ambitieux
Quelques
intégrations pilotes
Puis
un ralentissement
Puis
des arbitrages internes
Puis
l’oubli
Et pourtant, b.connect pourrait être un outil souverain
majeur, un vrai contrepoids aux GAFAM, une brique structurante du numérique
français.
À condition… de ne pas en faire un projet politique de plus, mais une
infrastructure durable.
Cela nécessitera :
une
communication massive,
une
roadmap assumée,
des
intégrations CIAM faciles,
un
soutien métier fort,
et
des décisions rapides.
Bref : l’antithèse de la lenteur administrative.
Conclusion
b.connect coche toutes les cases :
initiative
souveraine,
alliance
rare,
service
utile,
expérience
simple,
sécurité
élevée.
Sur le papier, c’est un produit qui peut réellement changer
la manière dont les Français se connectent.
Mais à côté, la Norvège fait cela depuis dix ans.
Et le lancement retardé n’a rien de rassurant.
Alors oui :
on peut espérer que b.connect sera un succès, un vrai, durable et
structurant.
Mais il faudra que l’exécution soit bien plus rapide que le démarrage.
Parce que les très bonnes idées, en France, meurent souvent… de leur lenteur.
Vous souhaitez garder un pas d’avance et un œil critique sur
les évolutions et orienter votre stratégie cIAM ?
Ariovis continue d’améliorer votre expérience sur l’Académie :
plus de cohérence côté contenus, de meilleures performances vidéo, et la résolution de blocages de lecture liés à l’Extranet !🥳
Amélioration
Uniformisation de tous les cours de l’Académie pour une expérience plus cohérente et plus lisible.
Optimisation du chargement des vidéos sur tous les cours, avec des temps de démarrage réduits.
Corrections
Correction d’un problème de lecture vidéo sur l’Académie : certains contenus étaient bloqués. Le code d’intégration a été sécurisé pour éviter ces blocages.
Chez Ariovis, il existe une question récurrente posée à
chaque candidat ayant « Linux » dans son CV :
« Peux-tu m’expliquer ce qu’on met dans ~/.ssh/authorized_keys ? »
Nous la posons systématiquement. Pas pour piéger. Pas pour
faire du tri élitiste.
Nous la posons parce que cette seule question révèle si un candidat maîtrise ou
non le principe fondamental de toute authentification moderne : le
chiffrement asymétrique.
Et, étonnamment, 95 % des candidats se trompent :
confusion entre clés privées et publiques, mélange chiffrement et signature, ou
impossibilité d’expliquer le rôle du fichier.
Or comprendre ce mécanisme, ce n’est pas un point de détail.
C’est la base de ce qui gouverne aujourd’hui l’authentification :
les
certificats,
la
PKI,
les
passkeys,
l’authentification
machine-à-machine,
le
Wi-Fi d’entreprise,
les
jonctions sécurisées entre services,
et
demain, toutes les authentifications sans mot de passe.
Ariovis en est convaincu : tout ingénieur identité doit
maîtriser Alice, Bob, leur clé publique, leur clé privée, et ce qui se passe
dans authorized_keys.
authorized_keys
: la porte d’entrée de l’authentification asymétrique
Le fichier ~/.ssh/authorized_keys, côté serveur, contient des
clés publiques.
Rien d’autre.
Lorsqu’un utilisateur se connecte en SSH, le serveur
consulte ce fichier pour vérifier :
« Est-ce que la clé publique correspondant à ce que tente de
prouver le client figure ici ? »
Si oui, le serveur défie le client en lui envoyant
une donnée à signer.
Seul celui qui possède la clé privée pourra produire une signature
valide.
En résumé :
clé
publique → publiée, distribuée, placée dans authorized_keys
clé
privée → secrète, jamais transmise, jamais copiée, jamais diffusée
Le serveur ne voit jamais la clé privée.
Il reçoit une preuve mathématique que le client la détient.
C’est tout.
Mais tout repose là-dessus.
Pourquoi
cette question dit tout du niveau d’un ingénieur IAM
Si un candidat ne sait pas répondre clairement, cela signale
immédiatement :
Une
incompréhension sur la séparation public/privé
→ Confusion classique : “on met la clé privée sur le serveur” (50% de nos
entretiens).
Une
méconnaissance du rôle du défi-réponse cryptographique
→ Le mécanisme derrière SSH, mais aussi derrière TLS ou WebAuthn.
Un
manque de maturité sur les concepts de base de la PKI
→ Or la PKI est le squelette de la cybersécurité moderne.
Une
incapacité à visualiser la chaîne de confiance
→ Indispensable pour juger de la qualité d’une architecture IAM.
Cette question simple permet à Ariovis de détecter non
seulement des compétences techniques, mais aussi la capacité à raisonner
dans un modèle de sécurité asymétrique — une qualité essentielle dans l’IAM
contemporain.
Ces
concepts gouvernent tout ce qui compte aujourd’hui dans l’IAM
✔ Passkeys / FIDO2
Le client stocke une clé privée dans le Secure Enclave.
Le serveur stocke une clé publique et vérifie une signature.
C’est le même modèle que SSH.
✔ Authentification machine à
machine
API, micro-services, containers : échanges de certificats,
vérification de signatures.
Le même mécanisme, simplement encapsulé dans TLS.
✔ PKI interne d’entreprise
Certificats utilisateurs, machines, serveurs : rien d’autre
que des paires public/privé correctement distribuées et validées.
Il est paradoxal de voir que la PKI reste un “gros mot”
dans certaines équipes infrastructure, alors qu’elle est littéralement au cœur
de tout ce qu’elles manipulent.
À Ariovis, nous voulons contribuer à lever ce malentendu.
Pourquoi
les ingénieurs IAM ne peuvent plus ignorer Alice et Bob
Depuis vingt ans, les écoles d’ingénieurs enseignent Alice,
Bob, clé publique, clé privée.
Mais dans la pratique, trop de jeunes (et moins jeunes) ingénieurs n’ont jamais
appliqué réellement ce modèle.
Pour un ingénieur IAM, c’est impossible aujourd’hui :
Impossible
de concevoir une architecture sans comprendre les échanges de certificats.
Impossible
d’évaluer la sécurité d’un protocole sans saisir le modèle défi-réponse.
Impossible
de parler de Zero Trust sans maîtriser la signature cryptographique.
Impossible
de travailler sur les passkeys, le phishing-resistant MFA ou les tokens
OAuth signés sans comprendre ce qui se joue derrière.
authorized_keys est un prétexte.
Mais c’est le bon : simple, concret, immédiat.
Si vous comprenez authorized_keys, vous êtes capable de
comprendre FIDO2, JWT, TLS, S/MIME, SSH, SCIM signé, OAuth token binding…
Bref : tout ce que l’IAM moderne exige, la base même du passwordless.
Ce que Ariovis attend comme réponse en entretien
Une réponse claire ressemble à ceci :
« Dans ~/.ssh/authorized_keys, on place la clé publique
autorisée à se connecter.
Le serveur utilise cette clé publique pour vérifier que le client possède bien
la clé privée correspondante, via un mécanisme de signature.
C’est de l’authentification asymétrique : la clé privée reste toujours côté
client. »
L’entretien peut alors aller plus loin :
Pourquoi
n’envoie-t-on jamais une clé privée ?
Comment
marche le défi-réponse ?
Qu’est-ce
qui empêche un acteur malveillant d’intercepter la session ?
Comment
protège-t-on la clé privée sur un laptop ?
Ces questions ne sont pas là pour “faire briller”.
Elles sont là pour valider que la personne comprend la colonne vertébrale de
l’identité numérique.
Conclusion : maîtriser la base pour comprendre l’avenir
Chez Ariovis, la conviction est simple :
sans compréhension solide du chiffrement asymétrique, impossible de
comprendre l’IAM moderne. Impossible de parler passwordless.
Ariovis poursuit l’amélioration de son extranet pour offrir une expérience toujours plus fluide et utile à chacun de ses utilisateurs.
Ce mois d’octobre, Ariovis met l’accent sur la clarté et la transmission : un parcours candidat repensé pour plus de lisibilité, une base de connaissance réorganisée pour un accès simplifié aux articles, et une refonte complète de la formation ACIA, pensée pour accompagner les premiers pas dans l’IAM.
Amélioration
Recrutement : Le process de recrutement a été retravaillé pour rendre la candidature plus fluide et la communication plus claire à chaque étape avec le candidat
Académie : Refonte de la formation ACIA
La formation débutante IAM fait peau neuve : contenus repensés, progression simplifiée, et une meilleure introduction aux fondamentaux de l’IAM.
Base de connaissance : La base de connaissance Ariovis évolue ! L’accès aux articles a été repensé pour plus de clarté et d’efficacité. Une organisation par thématiques, des interfaces allégées et une meilleure lisibilité vous permettent désormais de trouver la bonne information en un coup d’œil.
Le phishing (ou hameçonnage) est l’une des cyberattaques les plus répandues. Et aussi l’une des plus efficaces : chaque jour, des milliers de personnes cliquent sur un faux lien, communiquent leurs identifiants, ou téléchargent une pièce jointe piégée… sans s’en rendre compte.
Mais la bonne nouvelle, c’est qu’il est tout à fait possible de se protéger efficacement du phishing, sans dépenser un centime. Il suffit de connaître les bonnes pratiques, et de les appliquer au quotidien.
1. Apprendre à reconnaître les tentatives de phishing
Le premier rempart contre le phishing, c’est vous. Et ça commence par un peu d’observation.
Voici quelques signes typiques d’un message frauduleux :
Une adresse mail étrange ou mal orthographiée
Un ton urgent : “Votre compte sera suspendu”, “Action immédiate requise”
Un lien à cliquer qui mène vers un site suspect
Une pièce jointe inattendue
Des fautes d’orthographe ou de mise en page
Astuce : passez votre souris au-dessus du lien sans cliquer. Vous verrez l’URL réelle. Si elle ne correspond pas au site officiel, fuyez.
2. Toujours vérifier l’expéditeur… et le contexte
Recevoir un e-mail d’un service que vous n’utilisez pas ? Une facture d’une entreprise que vous ne connaissez pas ? Un message d’un “ami” avec un ton étrange ?
Dans 90 % des cas, c’est du phishing.
Posez-vous ces questions simples :
Est-ce que je m’attendais à ce message ?
Est-ce que l’adresse de l’expéditeur est légitime ?
Est-ce que le ton du message est cohérent avec l’entreprise ou la personne ?
En cas de doute, ne cliquez sur rien. Allez directement sur le site officiel concerné, ou contactez l’émetteur par un autre canal.
3. Activer la double authentification (MFA)
Même si vous tombez dans le piège d’un faux site, il n’est pas trop tard. La meilleure défense pour éviter que vos comptes soient compromis, c’est la double authentification.
Elle ajoute une vérification supplémentaire : un code par SMS ou via une app comme Google Authenticator.
Un hacker n’ayant que votre mot de passe ne pourra pas aller plus loin.
4. Mettre à jour vos appareils
Un système à jour = moins de failles exploitables.
Que ce soit votre ordinateur, votre téléphone, ou même votre navigateur, pensez à :
Installer les mises à jour dès qu’elles sont disponibles
Utiliser un antivirus (même gratuit)
Supprimer les applications que vous n’utilisez plus
Les mises à jour incluent souvent des correctifs de sécurité invisibles mais essentiels.
5. Utiliser des DNS filtrants contre les sites piégés
Une astuce moins connue, mais très efficace : changer les DNS de votre box Internet pour utiliser un service qui bloque automatiquement les sites de phishing.
Par exemple, DNS4EU est une solution gratuite et européenne, que vous pouvez configurer facilement chez vous.
Ariovis a rédigé des guides clairs, adaptés à chaque opérateur :
