B2B : Business-to-Business
Sécurité
B2B : Business-to-Business. « D'entreprise à entreprise » : les échanges, services et accès entre organisations, par analogie avec le badge visiteur remis à un prestataire, qui n'ouvre que certaines portes et doit être rendu à la sortie.
En sécurité : Le terme désigne les flux où l'interlocuteur est une autre organisation : API partenaires, échanges EDI, comptes invités dans un annuaire, portails fournisseurs ou fédération d'identité. L'identité de l'autre côté ne relève pas de votre annuaire et ne suit pas vos arrivées et départs.
Authentifier : Les mécanismes usuels sont la fédération SAML ou OIDC pour les personnes, OAuth avec des jetons courts et mTLS pour les systèmes, et, en dernier recours, des clés d'API statiques. Chacun répond différemment à la question : que se passe-t-il quand le partenaire perd un secret ou licencie quelqu'un ?
Révoquer : La fin d'un contrat ne désactive rien toute seule. Un registre des accès partenaires, avec propriétaire interne, périmètre et date d'échéance, permet de couper au bon moment plutôt qu'à la découverte d'un incident.
B2C : Le pendant, Business-to-Consumer, vise les particuliers : volumes énormes, identités peu vérifiées. En B2B, le volume est plus faible mais chaque compte pèse lourd, et la confiance repose souvent sur un contrat que personne ne relit avant l'incident.
Ce qui arrive si on s'en passe
Sans cadre pour les accès entre organisations, les partenaires reçoivent des comptes créés à la main dans l'annuaire interne, des clés d'API partagées par courriel ou des accès VPN génériques. Ces identités échappent au cycle des départs : quand un employé du partenaire s'en va, rien ne le signale, et son accès reste actif. Une clé d'API statique copiée dans le code ou la configuration du partenaire fuit avec lui, et sa révocation casse d'un coup tous les usages légitimes, ce qui pousse à ne jamais la renouveler. Un fournisseur compromis devient alors un chemin direct vers vos systèmes, avec des droits que personne n'a revus depuis la signature du contrat. Une fédération ou des jetons courts, un périmètre limité par partenaire et un registre avec date d'échéance réduisent cette exposition.
Explication de la marmotte
Une entreprise ne travaille jamais seule : elle a des fournisseurs, des transporteurs, des sous-traitants. Pour travailler ensemble, leurs ordinateurs doivent s'échanger des informations, et parfois les employés de l'une doivent entrer dans les outils de l'autre. C'est un peu comme prêter une clé de chez soi à un voisin qui arrose les plantes : il faut savoir à qui on l'a donnée, ce qu'elle ouvre, et penser à la récupérer quand on n'en a plus besoin. En informatique, on oublie souvent l'étape de la récupération.
Où ce terme est utilisé
- Authentifier une API B2B hors annuaire interne (6 occurrences)
- Gérer les accès externes des prestataires (2 occurrences)