Chargement…
Le guide complet 2026 - TJM, éditeurs (Okta, Entra ID, CyberArk, SailPoint), protocoles SAML/OIDC, Zero Trust, certifications. Page mise à jour le 21 juillet 2026 par l’équipe BinchamTalent.
L’identité numérique est devenue le périmètre de sécurité de l’entreprise moderne. Après le télétravail massif, l’explosion du SaaS, l’adoption des architectures Zero Trust, et l’entrée en vigueur de réglementations exigeantes (NIS2, DORA), les fonctions IAM (Identity & Access Management) et PAM (Privileged Access Management) sont passées d’un sujet « infra » à un sujet de direction. La conséquence sur le marché freelance est nette : une pénurie structurelle de profils certifiés Okta, Microsoft Entra ID, CyberArk, SailPoint, et capables de penser une architecture identitaire complète. Ce guide décrit le métier, les éditeurs, les protocoles, les TJM 2026, les certifications, et comment BinchamTalent permet de connecter votre dossier directement aux DSI et RSSI vérifiés - sans commission ni intermédiaire.
Un contact direct, sans intermédiaire. Votre dossier de compétences IAM/PAM visible directement par les DSI, RSSI et architectes vérifiés.
0 commission sur votre TJM
BinchamTalent ne prélève rien sur le tarif que vous facturez. Vous contractualisez en direct avec le client final.
Contrat direct avec l’entreprise
Vous signez votre mission directement avec la DSI, la RSSI ou l’équipe architecture sécurité. Tarif, durée, livrables : vous restez maître.
Recruteurs approuvés manuellement
Chaque entreprise est vérifiée par notre équipe (SIRET, site web, qualité du signataire). Pas de prises de contact bidons.
Vous restez maître de vos données
Vous choisissez librement le contenu de votre dossier de compétences. Vous le mettez en pause ou le supprimez à tout moment.
Le consultant IAM / PAM conçoit, déploie et opère les briques d’identité et d’accès d’une entreprise : qui peut se connecter à quoi, comment, avec quel niveau de garantie, et comment ces accès sont gouvernés tout au long du cycle de vie d’un collaborateur, d’un partenaire ou d’un client. Concrètement, ses livrables vont de la conception d’architecture (schéma de fédération, choix d’IdP, modèle de rôles) jusqu’à la configuration d’éditeurs (Okta, Microsoft Entra ID, CyberArk, SailPoint) et la mise en place de processus de gouvernance (revue d’accès trimestrielle, certification, attestation).
Selon le référentiel France Travail, ce métier s’inscrit principalement sous le code M1802 « Conseil et maîtrise d’ouvrage en SI », avec un fort recouvrement avec M1801 « Administration de systèmes d’information » pour les profils plus opérationnels. À la différence de l’ingénieur cybersécurité « tous risques », le consultant IAM/PAM opère sur un périmètre étroit mais ultra-profond : produits éditeurs, protocoles d’authentification, processus de provisioning, modèles de rôles. Ses interlocuteurs sont à la fois techniques (administrateurs système, équipes développement) et fonctionnels (RH, contrôle interne, audit).
En 2026, plus aucun grand compte ne pilote son IAM avec « le bon vieux AD et un peu de scripts PowerShell ». Tous ont basculé ou basculent vers une plateforme dédiée (Okta, Entra ID, Ping, ForgeRock) et un PAM spécialisé (CyberArk, BeyondTrust, Delinea). Cette transition crée des missions longues, structurantes, bien rémunérées - et un déficit structurel de profils certifiés.
Confondre ces cinq disciplines est l’erreur la plus fréquente du marché - y compris dans les fiches de poste. Pour le freelance, savoir les distinguer précisément et choisir sa spécialité est la décision la plus structurante de la carrière.
Gère l’identité des collaborateurs internes et leur accès aux applications de l’entreprise. Composants typiques : annuaire central (AD/Entra ID), Identity Provider (IdP) avec SSO et MFA, fédération applicative (SAML, OIDC), provisioning automatisé (SCIM, connecteurs natifs). Éditeurs : Okta Workforce Identity Cloud, Microsoft Entra ID, Ping Identity, OneLogin, IBM Verify. Sur ce périmètre, les missions courantes : migration AD ↔ Entra, déploiement SSO multi-tenants, mise en place MFA généralisée, intégration de 30 à 300 applications SaaS.
Protège spécifiquement les comptes administrateurs, les comptes de service, les comptes techniques (DBA, comptes root, comptes domaine). Composants : coffre-fort de mots de passe avec rotation automatique, session manager avec enregistrement audit, accès Just-In-Time (JIT) avec workflow d’approbation, élévation de privilèges contrôlée (JEA, Just Enough Administration), discovery des comptes orphelins. Éditeurs : CyberArk Privileged Access Manager (leader mondial), BeyondTrust, Delinea (ex Thycotic), HashiCorp Vault, Wallix Bastion (français), ARCON. Missions PAM typiques : déploiement initial sur 1 000 à 10 000 comptes privilégiés, intégration aux outils CI/CD, conformité à un audit DORA ou ISO 27001.
Gère les identités des clients ou utilisateurs externes (e-commerce, banque en ligne, télémédecine, plateformes B2B). Composants spécifiques : inscription (registration) avec parcours UX optimisé, gestion du consentement RGPD, fédération sociale (Google, Apple, France Connect, plateformes pro), authentification adaptative selon le risque, intégration avec un CRM. Éditeurs : Okta Customer Identity Cloud (ex Auth0), ForgeRock Identity Cloud, Ping Customer Identity, Frontegg. Volumétrie : souvent des millions d’utilisateurs, donc une attention particulière à la performance, la haute disponibilité et le coût par MAU. TJM premium sur les profils CIAM e-commerce et banque.
Couche de gouvernance au-dessus de l’IAM : qui a accès à quoi, qui a validé l’accès, est-ce toujours justifié ? Composants : modèle de rôles (RBAC), attestations et campagnes de revue d’accès (trimestrielles ou annuelles), gestion des arrivées/mouvements/départs (JML, Joiner-Mover-Leaver), ségrégation des devoirs (SoD), workflows d’habilitation. Éditeurs : SailPoint IdentityIQ et IdentityNow (leaders), Saviynt, Omada, OneIdentity, Microsoft Entra ID Governance. Souvent vendue séparément, l’IGA est un marché distinct, très lié à l’audit interne, au contrôle interne et à la conformité Sarbanes-Oxley pour les entités cotées US.
Discipline émergente. Couvre l’identité et les secrets des charges de travail (services Kubernetes, microservices, scripts CI/CD, agents d’IA, bots RPA). Composants : gestion des certificats (Venafi, AppViewX), gestion des secrets (HashiCorp Vault, AWS Secrets Manager, Azure Key Vault), workload identity (SPIFFE/SPIRE), rotation automatique des credentials, observabilité des accès machine. En 2026, c’est un sujet de TJM premium car peu de profils savent traiter les deux dimensions (identité humaine + identité machine).
Sur le marché freelance français, la répartition typique est la suivante : IAM workforce = 50 % des missions, PAM = 25 %, IGA = 15 %, CIAM = 7 %, NHI/Machine Identity = 3 % (en forte croissance). Les profils hybrides IAM + PAM ou IAM + IGA sont les plus recherchés et tarifent au-dessus de la médiane.
La maîtrise des protocoles distingue un consultant IAM crédible d’un simple administrateur d’outil. Un profil senior doit savoir non seulement « cliquer dans Okta » mais expliquer pourquoi un assertion SAML est signé, à quoi sert le claim aud dans un JWT OIDC, et comment détecter un token replay.
NameID, AttributeStatement, et déboguer une erreur signature ou audience est un prérequis.sub, iss, aud, exp, iat. C’est aujourd’hui le standard de fait pour toute nouvelle intégration applicative. Maîtriser OIDC est non négociable pour un consultant IAM moderne.Le marché IAM/PAM est dominé par une dizaine d’éditeurs majeurs. Le choix de l’éditeur principal sur lequel se positionner conditionne fortement les opportunités. Voici la cartographie 2026 par usage, avec les forces et faiblesses observées sur le terrain.
Microsoft Entra ID (ex Azure AD)
Quasi-incontournable côté grand compte français car embarqué dans Microsoft 365. Force : intégration native avec Conditional Access, intune, Defender. Faiblesse : courbe d’apprentissage des licences (P1, P2, Governance, External ID) et limitations sur certains scénarios B2B avancés. Marché en très forte demande de profils SC-300 / SC-100.
Okta Workforce Identity Cloud
Leader du quadrant Gartner Access Management. Force : large catalogue d’intégrations applicatives (8 000+), excellente UX, écosystème partenaires mature en France (Devoteam, Capgemini, Wavestone). Faiblesse : tarif élevé. Marché : les profils certifiés Okta (Admin/Pro/Consultant) sont parmi les plus recherchés en 2026.
Ping Identity
Très ancré dans les grandes banques et assurances françaises (BNP, Crédit Agricole, BPCE, AXA), souvent par héritage historique. Force : flexibilité et performance, support enterprise solide. Faiblesse : écosystème de profils certifiés plus restreint qu’Okta.
ForgeRock (Ping Identity Platform depuis 2023)
Racheté par Ping en 2023. Forte présence en CIAM banque et telcos. Maîtriser ForgeRock IDM, AM et DS reste un atout différenciant - moins de candidats que sur Okta.
OneLogin, JumpCloud, IBM Verify, Cymmetri
Niches ou alternatives. Pertinents à connaître si la mission cible spécifiquement ces outils.
CyberArk Privileged Access Manager (PAM)
Leader mondial historique. Suite complète : Vault, PSM (Privileged Session Manager), CPM (Central Policy Manager), EPM (Endpoint Privilege Manager), Conjur (secrets DevOps). Très demandé en France, particulièrement en banque, énergie, défense. Profils certifiés CyberArk Defender/Sentry/Trustee = TJM 900-1 300 €/j.
BeyondTrust
Concurrent direct de CyberArk. Suite Password Safe + Privileged Remote Access. Bonne traction dans l’industrie et le secteur public. Marché de profils plus étroit.
Delinea (ex Thycotic + Centrify, fusion 2021)
Approche orientée productivité et déploiement rapide. Plus simple à intégrer que CyberArk sur les ETI. En croissance.
HashiCorp Vault
Plus orienté secrets management que PAM classique. Standard de fait en environnement DevOps / Kubernetes. Maîtriser Vault est un atout sur les missions modernes (CI/CD, plateformes data, microservices).
Wallix Bastion (français)
Acteur français, qualifié ANSSI niveau Élémentaire et Standard. Présent dans le secteur public, l’industrie et la défense. Avantage souveraineté. Marché de profils plus restreint mais bien valorisé sur les missions OIV/OSE.
ARCON, Saviynt PAM, Microsoft PIM
Acteurs complémentaires selon les contextes. À connaître. Microsoft PIM (Privileged Identity Management dans Entra) suffit pour les cas simples - pas pour un déploiement PAM d’entreprise.
SailPoint IdentityIQ (on-prem) et IdentityNow (SaaS)
Leader mondial du quadrant Gartner IGA. Très présent dans les groupes du CAC 40. Profils certifiés SailPoint = TJM 1 000-1 400 €/j. Courbe d’apprentissage élevée.
Saviynt Identity Cloud
Challenger en forte croissance. Approche cloud-native. Plus rapide à déployer que SailPoint. De plus en plus présent en France.
Omada Identity
Acteur européen. Solide en gouvernance des accès et conformité. Présent dans la finance et l’industrie européenne.
OneIdentity (Quest)
Suite IGA complète, historiquement présente sur Active Directory legacy. Marché plus restreint.
Microsoft Entra ID Governance
Brique IGA de Microsoft, intégrée à Entra. Couvre les besoins basiques (access reviews, lifecycle workflows). Pas encore au niveau de SailPoint sur les cas complexes mais en progression rapide.
Au-delà des éditeurs, voici ce sur quoi un consultant IAM/PAM est concrètement sollicité en mission. Cette grille permet à un freelance de positionner précisément son offre face à un prospect.
Mise en place SSO et MFA sur 50 à 300 applications SaaS
Mission courante en ETI ou filiale d’un grand groupe. Durée 4 à 9 mois. Stack typique : IdP central (Okta ou Entra), intégration SAML/OIDC application par application, déploiement progressif du MFA (TOTP puis FIDO2), formation des équipes IT.
Migration / consolidation d’un legacy Active Directory
Très demandé dans les grands groupes qui ont accumulé 10 à 30 forêts AD au fil des fusions-acquisitions. Migration vers Entra ID, nettoyage des comptes orphelins, ré-architecture des trusts, sécurisation des comptes admin (Tier 0/1/2). Mission lourde, souvent 12 à 18 mois.
Déploiement initial d’un PAM (CyberArk ou Delinea)
Mission typique de 6 à 12 mois pour atteindre la maturité de Phase 1 : coffre-fort opérationnel, 1 000-2 000 comptes intégrés, session management actif sur les comptes les plus sensibles. Phase 2 (DevOps secrets, JIT, intégration CI/CD) souvent dans une seconde tranche.
Build CIAM pour un site e-commerce ou une banque en ligne
Mission technique, souvent en équipe agile mixte client / freelance. Conception du parcours d’inscription, fédération sociale, MFA adaptatif, intégration au CRM, conformité RGPD et PSD2. Technologies : Okta CIC (Auth0), ForgeRock, Frontegg.
Mise en place d’un programme IGA et de campagnes de revue d’accès
Souvent demandée à la suite d’un audit ISO 27001, SOC 2 ou Sarbanes-Oxley. Modélisation des rôles métier, automatisation du JML, campagnes de revue trimestrielles, certification managériale. Stack typique : SailPoint, Saviynt ou Omada.
Déploiement Zero Trust progressif
Mission stratégique, souvent multi-année. Cartographie de la maturité Zero Trust, plan en 7 piliers (CISA), suppression progressive du VPN au profit d’un ZTNA (Zscaler, Cloudflare Access, Netskope), conditional access, micro-segmentation.
Mise en conformité PAM avec NIS2 ou DORA
Demande très forte depuis 2024-2025. Inventaire des comptes à privilèges, couverture coffre-fort, traçabilité auditable, séparation des rôles, séparation des environnements, plan de reprise. Mission courte (2-4 mois) à forte valeur ajoutée.
IAM OT/IT (environnements industriels)
Déploiement de bastions entre réseau IT et réseau OT (ICS/SCADA), gestion des accès aux automates industriels et SCADA, session recording pour les maintenances à distance sur les équipements critiques, conformité NIS2 pour les OIV.
Le consultant IAM/PAM senior cumule trois types de compétences : produit (l’éditeur principal qu’il maîtrise), protocole (la grammaire technique commune), et processus (le « comment ça se passe » dans une entreprise). Les soft skills déterminent souvent la réussite face aux équipes business et la sécurité.
Contrairement à la GRC où les certifications généralistes (ISO 27001 LA, CISA, CISM) sont reines, le marché IAM/PAM valorise d’abord les certifications éditeurs. Voici le parcours de référence par éditeur, avec le retour sur investissement réel observé sur le marché français.
Conseil concret : sur un dossier de freelance, deux certifications éditeurs bien choisies (par exemple Okta Pro + CyberArk Sentry, ou SC-300 + Vault Associate) pèsent plus que cinq certifications généralistes. Le marché demande de la preuve d’expertise produit, pas de la connaissance théorique.
Les fourchettes ci-dessous sont compilées à partir de baromètres publics et des observations terrain BinchamTalent sur le marché français 2025-2026. Elles sont indicatives. Le TJM réel dépend fortement du contexte (Paris vs régions, urgence, durée, secteur, compétences combinées).
| Profil | Junior 2-4 ans | Confirmé 4-8 ans | Sénior 8-15 ans | Architecte 15+ ans |
|---|---|---|---|---|
| IAM Workforce (Okta / Entra) | 450-600 | 650-850 | 850-1 100 | 1 100-1 400 |
| PAM (CyberArk / Delinea / Wallix) | 500-650 | 700-900 | 900-1 200 | 1 200-1 500 |
| IGA (SailPoint / Saviynt) | 500-650 | 750-1 000 | 1 000-1 300 | 1 300-1 500 |
| CIAM (Okta CIC / ForgeRock) | 500-700 | 750-950 | 950-1 250 | 1 250-1 500 |
| Architecte multi-éditeurs | - | 900-1 100 | 1 100-1 350 | 1 350-1 700 |
| Machine Identity / NHI | - | 800-1 000 | 1 000-1 300 | 1 300-1 600 |
TJM en euros HT par jour. Sources : Free-Work, Malt, Apec Cadres, observations BinchamTalent 2025-2026.
Trois facteurs font basculer le TJM dans le haut de la fourchette : (1) certification éditeur à jour, (2) référence concrète sur un projet de transformation à fort volume (10 000+ utilisateurs ou 1 000+ comptes privilégiés), (3) capacité à parler en direct à un RSSI ou un COMEX sans intermédiation d’un manager.
Aucun cursus universitaire ne forme directement au métier IAM/PAM. Les profils arrivent par trois voies : ingénierie / informatique généraliste, cybersécurité (mastères spécialisés), bootcamps éditeurs. Voici les formations les plus reconnues en France.
Le choix du statut juridique est moins discriminant en IAM/PAM qu’en GRC car les missions sont presque toujours en régie, sur des durées moyennes-longues (4 à 18 mois). Voici la grille pratique.
Micro-entreprise (auto-entrepreneur)
Plafond CA HT 77 700 € (services en 2026). Inadapté dès qu’on facture plus de 350 €/j sur l’année. Pertinent uniquement pour un démarrage très progressif ou une activité accessoire.
EURL (Entreprise Unipersonnelle à Responsabilité Limitée)
Statut TNS (Travailleur Non Salarié). Charges sociales plus faibles (~45 %) mais protection sociale moindre. Bonne option pour un freelance qui priorise la rentabilité immédiate. IS ou IR sur option.
SASU (Société par Actions Simplifiée Unipersonnelle)
Statut assimilé salarié. Charges sociales élevées (~65-75 %) mais protection sociale complète (chômage non, mais retraite et maladie au régime général). Très répandu en IAM/PAM. Avantage : capacité à se verser des dividendes après IS pour optimiser la fiscalité globale.
Portage salarial
La société de portage encaisse la facture et reverse un salaire (60-75 % du montant HT après charges). Aucune gestion administrative. Frais 5-12 %. Utile pour démarrer ou pour les missions urgentes / hors zone confort. À comparer avec une SASU sur le long terme.
SCOP / coopérative d’activité (CAE)
Statut plus rare. Peut intéresser un freelance qui veut mutualiser des compétences avec d’autres consultants IAM/PAM (par exemple pour faire des appels d’offres collectifs sur des programmes Zero Trust).
Notre recommandation par défaut pour un consultant IAM/PAM senior (TJM 700 €/j et plus) : SASU avec rémunération mixte salaire + dividendes, accompagnée par un expert-comptable spécialisé freelance. Le coût annuel de l’expert-comptable est largement amorti par l’optimisation fiscale et sociale.
Quatre voies coexistent sur le marché IAM/PAM. Chacune a sa logique, ses avantages et ses contraintes. Comprendre ces différences est essentiel pour se positionner.
| Critère | Freelance | Intégrateur (ESN) | Éditeur PS | CDI client final |
|---|---|---|---|---|
| Rémunération nette | ★★★★★ | ★★★ | ★★★★ | ★★★ |
| Stabilité | ★★ | ★★★★ | ★★★★ | ★★★★★ |
| Liberté de mission | ★★★★★ | ★★ | ★★★ | ★ |
| Profondeur produit | ★★★ | ★★★★ | ★★★★★ | ★★★★ |
| Diversité d’environnements | ★★★★★ | ★★★★ | ★★★★ | ★ |
| Formation continue financée | ★★ | ★★★★ | ★★★★★ | ★★★ |
| Avantages sociaux | ★ | ★★★★ | ★★★★ | ★★★★★ |
| Capacité à dire non | ★★★★★ | ★★ | ★★★ | ★★ |
La carrière IAM/PAM s’organise classiquement en quatre paliers de compétences, qu’on parcourt en 10 à 15 ans.
Trois sorties classiques au bout de 12-15 ans : (1) devenir RSSI dans une ETI avec une coloration identité forte, (2) basculer côté éditeur en pré-vente ou Customer Success, (3) lancer son propre cabinet IAM avec 2-3 associés.
Cinq facteurs structurels poussent le marché IAM/PAM français à des niveaux jamais atteints en 2026.
Géographiquement, Paris concentre 50 à 60 % des missions, suivi par Lyon, Lille, Toulouse, Bordeaux. Les missions full remote représentent désormais 40 % du marché, particulièrement en IAM workforce et CIAM. Le présentiel reste majoritaire en PAM (notamment OIV, banque, défense).
Dix étapes pratiques, dans l’ordre, pour lancer une activité de consultant IAM/PAM freelance senior :
Le marché IAM/PAM 2026 est extrêmement tendu côté offre. Pour augmenter vos chances de trouver le bon profil rapidement, voici les meilleures pratiques côté entreprise.
BinchamTalent permet aux recruteurs approuvés de publier leurs offres gratuitement et de contacter sans frais les Talents qui y postulent. Un abonnement ouvre en plus le sourcing de l’ensemble des dossiers de compétences publiés. Voir l’espace recruteur.
Les missions freelance consultant IAM PAM se concentrent dans les grandes métropoles mais chaque région a ses donneurs d'ordre spécifiques. Voici un panorama des 13 bassins les plus actifs pour votre profil.
Île-de-France
Banque, assurance et grands comptes multi-filiales - migrations d'annuaires à l'échelle de dizaines de milliers de comptes, coffres-forts de secrets d'administration et revues d'habilitations périodiques : le seul marché français où la gestion des identités et celle des accès à privilèges forment deux équipes distinctes.
Voir les missions
Auvergne-Rhône-Alpes
Pharmacie, diagnostic et santé hospitalière (bioMérieux à Marcy-l'Étoile, Sanofi Winthrop Industrie à Lyon, Hospices Civils de Lyon) - habilitations sur des systèmes qualifiés où toute modification de droits est un acte documenté, et accès de populations hospitalières dont les affectations changent chaque semestre.
Voir les missions
Occitanie
Aéronautique et spatial (Airbus Operations, CNES, Latécoère à Toulouse) - identités de machines et de calculateurs autant que de personnes, et gestion des accès d'une chaîne de sous-traitance de plusieurs centaines d'entreprises : un croisement identités humaines / identités techniques rare ailleurs.
Voir les missions
Nouvelle-Aquitaine
Défense et propulsion (Dassault Aviation à Mérignac, ArianeGroup à Saint-Médard-en-Jalles, CEA au Barp), collectivités et hôpitaux de Nouvelle-Aquitaine - cloisonnement des accès par niveau d'habilitation et traçabilité nominative des sessions d'administration.
Voir les missions
Pays de la Loire
Naval et aéronautique (Naval Group à Indret, Chantiers de l'Atlantique à Saint-Nazaire, Airbus Atlantic à Bouguenais) - gestion des identités de partenaires : des centaines de sous-traitants interviennent simultanément sur un même navire ou une même aérostructure, chacun avec un périmètre d'accès distinct et daté.
Voir les missions
Hauts-de-France
Distribution et commerce en ligne (Decathlon à Villeneuve-d'Ascq, Adeo à Ronchin, Auchan Retail France à Villeneuve-d'Ascq) - gestion des identités clients à l'échelle de dizaines de pays et fédération des comptes de magasins : la spécialité locale est l'identité client, quand la plupart des bassins ne pratiquent que l'identité collaborateur.
Voir les missions
Grand Est
Banque coopérative et pharmacie (Caisse Fédérale de Crédit Mutuel à Strasbourg et Schiltigheim, Lilly France à Fegersheim), institutions européennes - gouvernance des habilitations sur de très grandes populations d'agents et de sociétaires, avec des référentiels lus en français et en allemand.
Voir les missions
Provence-Alpes-Côte d'Azur
Transport maritime et logistique portuaire (CMA CGM), énergie (TotalEnergies Raffinage à Châteauneuf-les-Martigues) - identités réparties sur des agences et des navires connectés dans des dizaines de pays, et comptes d'administration de systèmes de conduite industrielle.
Voir les missions
Occitanie
Santé publique et privée (CHU de Montpellier, Horiba Medical, recherche Sanofi), services informatiques (Dell, IBM) - accès des soignants aux dossiers patients, droits d'internes qui changent à chaque semestre de stage et accès dérogatoires en urgence : des cas d'usage propres à l'hôpital.
Voir les missions
Bretagne
Télécoms et électronique de défense (Orange à Rennes, Thales Services Numériques à Saint-Jacques-de-la-Lande, Thales DMS à Étrelles) - authentification des équipements de réseau, qui repose sur des protocoles étrangers au monde de la bureautique, et cloisonnement des accès sur des programmes sensibles.
Voir les missions
Côte d'Azur
Collectivité et transport aérien (Métropole Nice Côte d'Azur, Aéroports de la Côte d'Azur), distribution de voyage (Amadeus à Biot) - comptes d'agents territoriaux, portails citoyens et accès à des plateformes de réservation mondiales, dans des équipes qui travaillent souvent en anglais.
Voir les missions
Auvergne-Rhône-Alpes
Recherche publique et micro-électronique (CEA à Grenoble, STMicroelectronics à Crolles, Soitec à Bernin, Schneider Electric à Grenoble) - fédération d'identités entre laboratoires et universités, et protection des accès aux référentiels de conception de circuits, où le vol de propriété intellectuelle est le risque directeur.
Voir les missions
Provence-Alpes-Côte d'Azur
Éditeurs de logiciels et centres de recherche d'entreprise (Amadeus à Biot, SAP Labs France et Hewlett-Packard France à Mougins) - gestion des identités intégrée au produit vendu plutôt qu'au système d'information interne, et accès d'équipes réparties sur plusieurs continents.
Voir les missions
BinchamTalent connecte les consultant IAM PAMs freelance avec des recruteurs approuvés dans toute la France - contrat en direct, sans commission, sans intermédiaire.
Le TJM dépend fortement de l'éditeur maîtrisé et du périmètre (build vs run, IAM vs PAM, workforce vs CIAM). En 2026, les baromètres marché (Free-Work, Malt, Apec) situent le TJM entre 500 €/j (junior IAM 2-4 ans, profil intégrateur Okta ou Entra de base) et 1 500 €/j (architecte IAM senior multi-éditeurs, expert Zero Trust et IGA). Les profils PAM CyberArk senior - rares - facturent typiquement 900 à 1 300 €/j. La spécialisation CIAM (Customer IAM) avec ForgeRock ou Okta CIC peut grimper à 1 400 €/j pour les transformations e-commerce ou banque.
Cinq disciplines complémentaires. IAM (Identity & Access Management) couvre la gestion d'identité des employés et l'authentification applicative (SSO, MFA, fédération). PAM (Privileged Access Management) protège spécifiquement les comptes à privilèges (administrateurs, comptes de service, comptes techniques) via coffres-forts, sessions enregistrées, JIT access. CIAM (Customer IAM) gère les identités des clients ou utilisateurs externes (registration, parcours connexion, fédération sociale, KYC). IGA (Identity Governance & Administration) couvre la gouvernance : campagnes de revue d'accès, certification, ségrégation des devoirs (SoD), provisioning automatisé. Machine Identity ou NHI (Non-Human Identity) couvre les certificats, secrets, clés API, identités des charges de travail (Kubernetes, microservices). Beaucoup de missions freelance se concentrent sur un seul de ces axes ; les profils hybrides IAM+PAM+IGA, plus rares, sont les mieux payés.
Quatre familles. (1) Authentification fédérée web : SAML 2.0 (encore très présent en grand compte legacy), OAuth 2.0 et son extension OpenID Connect (OIDC) - standard moderne incontournable. (2) Provisioning : SCIM 2.0 (System for Cross-domain Identity Management) pour automatiser la création/suppression de comptes entre IdP et applications SaaS. (3) Annuaires et protocoles historiques : LDAP/LDAPS, Kerberos, RADIUS - toujours nécessaires en environnement on-premise et hybride. (4) Authentification forte moderne : FIDO2/WebAuthn (passkeys), TOTP, push notification. Un consultant IAM crédible doit savoir lire un assertion SAML, déboguer un flow OIDC avec Postman ou Burp, configurer un connecteur SCIM, et comprendre les implications sécurité (replay, signature, audience, scope, claims).
Le marché récompense les deux profils mais à des positions différentes. Le profil mono-éditeur très deep (par exemple « expert Okta » certifié toutes briques, 6+ ans d'expérience) sera recherché par les intégrateurs partenaires et les clients en plein chantier Okta. Tarification souvent 800-1 100 €/j. Le profil multi-éditeurs senior (5+ éditeurs maîtrisés, capable de comparer et conseiller) sera recherché pour les missions d'architecture, de RFP, de roadmap IAM. Tarification souvent 1 100-1 500 €/j. Notre recommandation : ancrer 1 éditeur principal (le plus demandé dans votre cible : Okta ou Entra ID), une expertise PAM (CyberArk ou Delinea), et garder une veille active sur 2-3 autres éditeurs pour rester crédible en architecture.
Zero Trust est une démarche stratégique d'architecture, pas un produit. Le principe : « never trust, always verify » - chaque accès est vérifié en continu sur la base de l'identité, du device, du contexte (heure, géo, comportement) et de la sensibilité de la ressource, sans présumer de la confiance liée au réseau interne. Plusieurs frameworks structurent cette démarche : NIST SP 800-207 (référence académique), Forrester ZTX, Microsoft Zero Trust Maturity Model, Cybersecurity & Infrastructure Security Agency (CISA) Zero Trust Maturity Model 2.0. Pour un freelance IAM/PAM, se positionner « Zero Trust » sans expérience concrète est contre-productif. La bonne approche : démontrer 2 à 3 chantiers concrets - micro-segmentation, conditional access (Entra), accès JIT (PAM), suppression des VPN au profit du ZTNA (Zscaler, Cloudflare, Netskope) - et savoir cartographier la maturité Zero Trust d'un client.
Les certifications éditeurs pèsent plus que les certifications généralistes sur ce marché. Côté IAM : Okta Certified Administrator → Professional → Consultant (parcours le plus reconnu en France), Microsoft SC-300 (Identity and Access Administrator) et SC-100 (Cybersecurity Architect), Ping Identity Certified Professional, SailPoint Certified IdentityNow Professional. Côté PAM : CyberArk Defender (CDE), Sentry, Trustee (parcours certifiant officiel), BeyondTrust Certified Engineer, Delinea Certified Engineer, HashiCorp Vault Associate puis Operations Professional. En complément architecture/sécurité : CISSP (très valorisé en France), CCSP pour le cloud sec. Les certifications généralistes (CISM, CISA) sont moins déterminantes ici qu'en GRC.
Les deux profils trouvent leur place mais pas sur les mêmes missions. Les profils issus du réseau/infrastructure (ex-architectes AD, équipes annuaire, équipes Microsoft Identity) sont à l'aise sur Entra ID, Active Directory legacy, hybrid identity, PAM Windows, sont demandés sur les chantiers de modernisation IAM en grand compte. Les profils issus du développement (ex-développeurs web ou mobile) sont plus à l'aise sur OAuth/OIDC, CIAM, intégrations applicatives modernes, identités machine, sont demandés par les éditeurs SaaS et les fintech. Un troisième profil émerge depuis 2-3 ans : les profils issus du conseil cyber qui se spécialisent en IAM/PAM par les certifications éditeurs - leur force est la capacité à dialoguer avec la direction et à structurer un programme d'entreprise.
BinchamTalent vous met en contact direct avec les DSI et RSSI d'entreprises vérifiées : 0 commission, 0 marge sur votre TJM - vous en gardez 100 %. Vous créez votre dossier de compétences (éditeurs maîtrisés, protocoles, certifications, disponibilité, TJM cible) qui devient visible directement par les décideurs. Vous négociez et signez votre contrat directement avec l'entreprise cliente.
Si vous explorez d’autres spécialisations proches de l’IAM/PAM :
Toutes les références sont des organismes officiels (IETF, OASIS, FIDO Alliance, NIST, CISA), des éditeurs, ou des cabinets d’analystes reconnus du marché identité. Les fourchettes de TJM citées sont indicatives.
Standards & protocoles
Éditeurs IAM
Éditeurs PAM
Cette page a une vocation informative. Les fourchettes de TJM et les listes de certifications, écoles et frameworks citées sont compilées à partir de sources publiques 2024-2026 et peuvent évoluer. Pour des données officielles et à jour, consultez directement les publications des éditeurs (Okta, Microsoft, CyberArk, SailPoint), les baromètres Free-Work / Malt / Apec, et les analyses Gartner / KuppingerCole / Forrester.