Client Access Licenses (CAL) : Les licences d’accès client indispensables pour vos serveurs dans le réseau

Dans n’importe quelle infrastructure réseau qui s’appuie sur Windows Server, les client access licenses finissent toujours par entrer en jeu. Ces fameuses CAL ne sont pas un logiciel que vous installez. C’est simplement le droit légal pour un utilisateur ou un appareil d’accéder aux services du serveur : partage de fichiers, impression, authentification via Active Directory, stratégies de groupe… Sans elles, tout fonctionne techniquement au début, mais vous marchez sur des œufs côté conformité.

Et honnêtement, c’est le genre de sujet que beaucoup d’administrateurs réseau repoussent jusqu’au jour où un audit Microsoft tombe ou qu’un nouveau projet de télétravail fait exploser le nombre de connexions.

Ce que signifie vraiment une licence d’accès client

Une Client Access License donne à un client (utilisateur ou machine) le droit de se connecter à un serveur Microsoft et d’utiliser ses fonctionnalités. Le serveur lui-même a sa propre licence d’installation, mais ça ne suffit pas. Chaque personne ou chaque poste qui veut exploiter les ressources doit avoir sa CAL correspondante.

Le truc, c’est que Microsoft ne surveille pas en temps réel la plupart des CAL de base. Vous conservez les certificats papier ou PDF, et en cas de contrôle, vous devez prouver que vous en avez assez. Ça change un peu pour les services Bureau à distance, où le système est plus strict.

Dans un réseau classique, dès qu’un utilisateur s’authentifie sur le domaine et accède à un partage de fichiers ou récupère des GPO, il consomme une CAL Windows Server. Même chose pour une imprimante réseau gérée par le serveur ou pour les services de fichiers avancés. Les accès web anonymes publics échappent souvent à la règle, mais dès qu’il y a authentification, la CAL devient obligatoire.

CAL par utilisateur ou par périphérique : comment choisir sans se tromper

C’est là que les choses se corsent un peu sur le terrain. Microsoft propose deux modèles.

La CAL utilisateur est attachée à une personne. Cette personne peut alors se connecter depuis n’importe quel appareil : son PC de bureau, son portable, sa tablette, même son téléphone via RDS. C’est souvent le choix le plus simple dans les environnements hybrides ou avec beaucoup de mobilité. Un commercial qui passe de son fixe à son laptop et qui se connecte parfois de chez lui, une seule CAL suffit.

La CAL périphérique, elle, est liée à une machine précise. Plusieurs personnes peuvent l’utiliser tour à tour sur ce poste. C’est intéressant dans les ateliers, les salles de formation ou les équipes en shifts qui partagent les mêmes ordinateurs. Moins cher si le taux d’utilisation par machine est élevé, mais moins flexible quand les gens bougent beaucoup.

Beaucoup d’entreprises mélangent les deux selon les populations. Le point clé reste le même : il faut compter correctement dès la conception du réseau, sinon on se retrouve à devoir racheter des licences en urgence quand l’effectif grossit ou que le télétravail s’installe durablement.

Les CAL RDS, une couche supplémentaire à ne pas oublier

Quand on parle d’accès distant aux bureaux ou aux applications via les Services Bureau à distance, il faut ajouter les CAL RDS par-dessus les CAL Windows Server classiques. Chaque utilisateur ou appareil qui ouvre une session RDP a besoin des deux.

Le serveur de licences RDS gère l’émission et le suivi. À l’installation du rôle, Windows accorde une période de grâce de 120 jours pendant laquelle les connexions passent sans serveur de licences configuré. C’est pratique pour tester, mais passé ce délai, plus de licence valide = plus de connexion possible pour les nouveaux arrivants.

Et attention aux versions : une CAL RDS 2025 fonctionne sur les hôtes récents, mais il faut respecter la compatibilité ascendante et descendante selon les cas. Mieux vaut vérifier avant de déployer massivement du remote desktop dans le réseau.

Comment ça se passe concrètement sur le réseau

Dans la vraie vie, la majorité des CAL Windows Server de base ne s’activent pas sur le serveur. Vous achetez le pack, vous gardez les justificatifs, et c’est tout. Le serveur n’ira pas bloquer les connexions s’il manque trois CAL. C’est un système déclaratif… jusqu’à l’audit.

Pour les RDS par contre, tout est plus encadré. Le serveur de licences émet les CAL temporaires puis permanentes, suit les attributions, permet même de révoquer jusqu’à 20 % des licences périphériques si besoin. Ça demande un minimum de gouvernance : qui gère le serveur de licences, comment on réaffecte les CAL quand quelqu’un quitte l’entreprise, comment on prouve la conformité.

Dans un réseau en workgroup sans domaine, les CAL restent nécessaires dès qu’il y a partage de fichiers ou d’imprimantes avec authentification. L’absence d’Active Directory ne dispense pas de la règle.

Les pièges classiques qu’on voit souvent

Le plus fréquent : sous-estimer le nombre réel d’utilisateurs ou d’appareils qui accèdent au serveur. On compte les postes fixes et on oublie les portables des nomades, les prestataires occasionnels, ou les machines de production qui synchronisent des données.

Autre erreur classique : croire qu’une CAL achetée pour Windows Server 2019 suffit indéfiniment pour un nouveau serveur 2025. Les CAL suivent globalement une logique de version, même si certaines formules subscription offrent plus de souplesse vers l’arrière.

Et puis il y a le cas des utilisateurs externes (partenaires, clients, prestataires). Là, on peut soit acheter des CAL individuelles, soit opter pour une External Connector sur le serveur concerné. Le calcul dépend du volume et de la fréquence d’accès. Dans un réseau qui s’ouvre un peu vers l’extérieur, mieux vaut y réfléchir tôt.

Ce que je recommande en pratique pour garder le réseau propre

Commencez toujours par cartographier qui accède vraiment à quoi. Listez les populations : sédentaires, hybrides, shifts partagés, externes. Ça oriente tout de suite vers le modèle utilisateur ou périphérique le plus économique et le plus simple à gérer.

Pour les projets RDS, prévoyez le serveur de licences dès le début et testez la distribution des CAL avant la mise en production. 120 jours, ça passe vite quand on a d’autres priorités réseau.

Enfin, gardez une trace claire de tout : factures, certificats, attributions. Pas seulement pour Microsoft. Ça vous sert aussi quand vous devez justifier les coûts d’infrastructure auprès de la direction ou quand vous faites évoluer l’architecture du réseau.

Au bout du compte, bien gérer ses client access licenses, c’est un peu comme bien dimensionner ses switchs ou ses liens WAN : ça ne se voit pas quand tout va bien, mais ça évite les mauvaises surprises qui coûtent cher et qui perturbent la continuité du service. Et dans un métier où la fiabilité du réseau est reine, ce genre de détail fait vraiment la différence sur la durée.