في 2012 استقال الرجل الذي كان يحمل القلم في OAuth 2.0. وتقرأ أسبابه كأنها تنبؤ.

في يوليو 2012 استقال محرّر مواصفة OAuth 2.0. كان إيران هامر يحمل القلم منذ سنوات: في IETF، المحرّر هو من يكتب النص المعياري ويحسم قرارات التصميم بينما يتجادل فريق العمل، لا مجرد مدقّق لغوي. وكان قبل ذلك قد حرّر معيار OAuth 1.0 المنشور. سحب اسمه من الإصدار 2.0، ومضى، ونشر مقالًا واسع الانتشار بعنوان "OAuth 2.0 and the Road to Hell".

لم يكن اعتراضه أكاديميًا. كتب أن البروتوكول أُفرغ من مضمونه حتى صار "مخططًا" يفصّله كل مزوّد على هيئة منتج خاص به لا يتوافق مع غيره. سمّى ذلك "the enterprise way"، أي "طريقة WS-*". وحذّر بصريح العبارة من أن الإصدار 2.0 "يفتح جبهة جديدة تمامًا لبيع خدمات الاستشارات وحلول التكامل". وصدرت RFC 6749 بعد ثلاثة أشهر وعليها اسم ديك هاردت بدلًا منه.

بعد أربعة عشر عامًا، تشغيل الدخول المؤسسي الذي يطلبه أكبر عملائك يكلّف نحو 125 دولارًا لكل اتصال شهريًا، أو يقبع خلف باقة اسمها "Enterprise"، أو خلف زر "تواصل مع المبيعات" الذي يضيف ثلاثة أسابيع إلى موعد نهائي كنت متأخرًا عنه أصلًا. رأى هامر ملامح ذلك في 2012، من داخل الغرفة التي كان يُقرَّر فيها.

لذا يستحق الأمر أن نعيد تتبّع الحكاية من أولها: من كتب هذه المعايير، وما الذي ظنّوا أنهم يبنونه، وكيف انتهى الأمر ببند في فاتورة. الخندق الذي نشأ عن ذلك حقيقي. وهو أيضًا مصنوع من مادتين مختلفتين، ولم تعد تصمد منهما إلا واحدة.

البروتوكولات اكتملت قبل قوائم الأسعار

بحلول 2015 كان عمل التقييس قد اكتمل عمليًا. صدر SAML 2.0 معيارًا من OASIS في مارس 2005، أي أنه أقدم من الآيفون. ونُشر OAuth 2.0 بوصفه RFC 6749 في 2012. وبنى OpenID Connect طبقة الهوية فوقه في 2014. أما SCIM، البروتوكول الذي ينشئ المستخدمين ويحذفهم عبر الأنظمة، فبلغ مراجعته 2.0 (من RFC 7642 إلى 7644) في سبتمبر 2015. القطع الأربع التي تتكوّن منها "مصادقة المؤسسات" كانت موصّفة وقابلة للتشغيل البيني ومتاحة للتنفيذ مجانًا قبل أكثر من عقد.

ولم يتغيّر فيها شيء جوهري منذ ذلك الحين. تأكيد SAML موقّع اليوم يشبه تأكيدًا موقّعًا في 2008. وهذا يستبعد المبرر المعتاد للسعر المرتفع: الجدّة. الدخول الموحّد للمؤسسات ليس ميزة على حدود المعرفة يكلّف تطويرها المستمر ثروة، ولا يكلّف المزوّد قرشًا إضافيًا أن يخدم عملية دخول وصلت عبر SAML مقارنةً بأخرى وصلت بكلمة مرور. إنها بنية تحتية مستقرة. وهو ما يطرح السؤال: من أين جاء السعر إن لم يكن من الهندسة.

مجموعات العمل التي كتبت هذا لم تكن فرق مبيعات

ابدأ بمن كتب المواصفات، فذلك يفسّر الكثير. لم يخرج SAML من اجتماع تسعير. خرج من لجنة تقنية في OASIS، وكانت الرئيسة المؤسِّسة لتلك المجموعة إيف مالر، وكانت آنذاك مديرة التقنية في Sun Microsystems، وقد أمضت سنوات في معايير الترميز والاتحاد التي جعلت تسجيل الدخول بين الشركات ممكنًا أصلًا. وكانت النتيجة وثيقة عامة يستطيع أي أحد تنفيذها مجانًا.

كان مزاج تلك الحقبة انفتاحًا لا تسييجًا. في أغسطس 2005، وفي مؤتمر OSCON التابع لأورايلي، ألقى ديك هاردت من Sxip Identity كلمة رئيسية سريعة الإيقاع بعنوان "Identity 2.0" ما زالت تُشاهد وتُعاد مشاهدتها منذ ذلك الحين. كانت الفكرة وِيبًا تكون فيه هويتك ملكك ومحمولة معك، تنتقل بين المواقع بدل أن تُحبس في دليل كل موقع. وبعد عام بدأ OAuth بالطريقة نفسها. أراد بلين كوك، وهو يبني واجهة تويتر البرمجية، وسيلة تتيح لتطبيق أن يتصرف نيابةً عنك لدى تطبيق آخر دون أن يسلّم المستخدمون كلمات مرورهم، فلم يجد أي معيار مفتوح لذلك، فجلس في أوائل 2007 مع كريس ميسينا وديفيد ريكوردون وحفنة آخرين ليكتبوا واحدًا. وصدرت أول مواصفة لـ OAuth في العام نفسه. لم يكن أحد في تلك المجموعة يحاول بناء بوابة رسوم. كانوا يحاولون أن يكفّ الوِيب عن سؤال الناس كلمات مرورهم.

ممّ كان هامر يحذّر فعلًا

ثم كبر المعيار، وتغيّرت الغرفة. سعى OAuth 2.0 إلى تعميم النسخة الأولى، وامتلأ فريق العمل بمصالح أكبر. كتب هامر وهو يغادر أن النتيجة، مقارنةً بـ 1.0، صارت "أكثر تعقيدًا، وأقل قابلية للتشغيل البيني، وأقل نفعًا، وأكثر نقصًا، والأهم من ذلك كله، أقل أمانًا". والمقارنة التي لجأ إليها، أي حزمة WS-* في العقد السابق، كانت أوضح مثال في هذه الصناعة على مواصفة مفتوحة تتحوّل إلى سوق لأعمال التكامل.

اقرأ ذلك بعد عقد من الزمن وستجده تنبؤًا. فالشيء الذي سيُحاسَب لاحقًا على كل اتصال كان في 2012 يُصاغ بالفعل على أيدي من سيتولّون المحاسبة عليه. أعاد OpenID Connect وضع الهوية على أساس نظيف فوق OAuth 2.0 في 2014، وصاغه نات ساكيمورا في معهد نومورا للأبحاث مع جون برادلي ومايك جونز، وهو عمل جيد بحق ما زالت الصناعة كلها تدور عليه. لكن انظر أين كان مؤلفوه يجلسون: برادلي في Ping Identity، وجونز في مايكروسوفت. ظلت المواصفات مفتوحة ومتاحة للتنفيذ مجانًا. أما كاتبوها فصاروا يعملون أكثر فأكثر لدى الشركات التي ستبيع الناتج.

الأشخاص أنفسهم الذين كتبوا المعيار ذهبوا ليبيعوه

لم تأتِ الطبقة التجارية من خارج عالم المعايير. بل نمت منه مباشرة، وغالبًا عبر الأيدي نفسها. إيف مالر، التي ترأست في Sun المجموعة التي أنتجت SAML، انضمت إلى ForgeRock في 2014 نائبةً للرئيس للابتكار ثم صارت رئيسة التقنية فيها. وكانت ForgeRock نفسها مبنية على حزمة الهوية التي فتحت Sun مصدرها باسم OpenSSO، وفي 2023 اندمجت داخل Ping Identity. وPing قائمة منذ 2002، أي مبكرًا بما يكفي للمساهمة في كتابة دليل الاتحاد الذي باعته بعد ذلك عشرين عامًا. لا شيء في هذا كان ملتويًا. النقطة أضيق وأغرب: المواصفة المفتوحة والمنتج المسعَّر لم يكونا يومًا عالمين منفصلين. الخبرة نفسها كتبت الاثنين.

ورث جيل السحابة النمط، وركبت غريزة التسعير معه. أُسِّست Okta في 2009 على يد تود ماكينون، الذي كان يقود الهندسة في Salesforce، وفريدريك كيريست؛ وطُرحت للاكتتاب في 2017، ودفعت في 2021 مبلغ 6.5 مليار دولار أسهمًا لشراء Auth0. وكانت Auth0 هي الودودة مع المطورين، انطلقت في 2013 على يد مهندسين أرجنتينيين، أوخينيو بيسي ومَتّياس ولوسكي، تعارفا في أعمال استشارية وأرادا اختصار إضافة تسجيل الدخول إلى تطبيق في بضعة نداءات API. أن تظل شركة كل عرضها هو راحة المطوّر تساوي ستة مليارات ونصف دولار هو الدليل: من يملك صندوق تسجيل الدخول يملك طريقًا يجب أن تمرّ عليه كل ميزة أخرى. أما الموجة الأحدث فتقول ما يُخفى صراحةً في تسويقها. تبيع WorkOS، التي أسسها مايكل غرينيتش في 2019، ما يسميه عبور "enterprise chasm": جعل المنتج "enterprise-ready" بتوفير القطع التي تُحاسَب بالضبط، أي الدخول الموحّد ومزامنة الدليل وسجلات التدقيق. الدخول الموحّد هو القطعة المؤسسية. والمال في الدخول الموحّد. ولذلك يُوضع عليه سعر.

لماذا يتبع السعر موعدك النهائي لا الشيفرة

لاحظ روب تشاهين النمط، وأطلق في 2019 قائمة عامة على sso.tax باسم "SSO Wall of Shame"، توثّق كم تتقاضى شركات البرمجيات لتشغيل SAML. بعض الزيادات عبثية من أول نظرة: باقة أساسية تتضاعف عدة مرات لحظة ظهور الدخول الموحّد عليها. القائمة طويلة لأن الاستراتيجية ناجحة.

وهي ناجحة بسبب توقيت حاجة المشتري إلى الميزة. لا أحد يتسوّق للدخول الموحّد في عصر يوم هادئ. أنت تحتاجه في اللحظة التي يجعله فيها فريق الأمن لدى عميل كبير شرطًا للتوقيع، أو في الأسبوع الذي يسألك فيه مدقّق SOC 2 الخاص بك كيف تفرض ضوابط الوصول. تحتاجه أمام موعد نهائي، وصفقة أو شهادة على المحك، وتحتاجه الآن. تلك أقل لحظة يكون فيها المشتري حساسًا للسعر على الإطلاق، والتسعير مبني حولها. لم تُضبط العلاوة يومًا على الكلفة الحدّية لتنفيذ SAML، وهي تقارب الصفر. ضُبطت على مقدار ما تبقّى لك من قوة تفاوض في اليوم الذي تحتاجه فيه أخيرًا.

هذا هو الشكل الحقيقي لما يسميه الناس ضريبة الدخول الموحّد. ليست سعرًا على ميزة. بل سعرًا على موعد نهائي.

مِمَّ يتكوّن الخندق فعلًا

إذن، ما مدى مناعة ذلك الموقع؟ الخندق الذي يملكه اللاعبون الراسخون حقيقي، لكنه مصنوع من مادتين منفصلتين، وهما ليستا بالصلابة نفسها.

الأولى هي التعقيد. SAML قديم، لكن تنفيذه على نحو جيد ليس بسيطًا. التحقق من التواقيع، وتقييس XML، والتأكيدات المشفّرة، وبيانات وصفية تدور، والذيل الطويل من الخصوصيات التي يشحنها كل مزوّد هوية بطريقته: ضبط ذلك كله بشكل صحيح وآمن كان تاريخيًا أسابيع من عمل متخصص، ومصدرًا غزيرًا للثغرات الأمنية حين يُنفَّذ خطأً. ويضيف SCIM سطحه الخاص. بناء هذا مرة واحدة كان استثمارًا حقيقيًا. أما بناؤه في مواجهة كل مزوّد هوية قد يحضره عملاؤك وتشغيله بثبات، فكان خندقًا يمكن أن تركن خلفه شركة بأكملها.

المادة الثانية هي الثقة. على فريق الأمن في المؤسسة أن يقبل طبقة الهوية لديك، وهذا يعني SOC 2، واختبارات اختراق، وسجلًا سابقًا، وشركة ستظل موجودة بعد خمس سنوات، وشخصًا تتصل به في الثانية فجرًا حين يتعطل الاتحاد. لا شيفرة ذكية تختصر ذلك. تُكتسب ببطء، وهي النصف الأصعب من الخندق بفارق واسع.

طوال عشرين عامًا عزّز هذان النصفان أحدهما الآخر، وتعامل التسعير معهما كأنهما شيء واحد لا يتجزأ. وهما ليسا شيئًا واحدًا.

نصف الخندق الذي يستنزفه الذكاء الاصطناعي

هنا ما تغيّر. كان نصف التعقيد في ذلك الخندق، في جوهره، مشكلة معرفة وساعات عمل: البروتوكولات موصّفة جيدًا وموثّقة بغزارة، لكن توصيلها بشكل صحيح كان يتطلب خبرة نادرة وغالية وكثيرًا من الساعات. وهذا بالضبط نوع المسائل التي يجيدها مساعدو البرمجة بالذكاء الاصطناعي. معيار مستقر عمره عشرون عامًا وله تطبيقات مرجعية عامة وفيرة هو تقريبًا أفضل حالة ممكنة لها. والعمل الذي كان يحتاج متخصص هوية لشهر كامل صار يحتاج أكثر فأكثر مهندسًا كفؤًا ومساعدًا جيدًا لأسبوع.

لكن انتبه لما يآكله هذا وما لا يآكله. إنه لا يمسّ نصف الثقة. لا يمنحك الذكاء الاصطناعي شهادة SOC 2، ولا سمعة أمنية، ولا مناوبة طوارئ؛ وإن كان له أثر، فطوفان شيفرات المصادقة المولَّدة آليًا يجعل مزوّدًا مدقّقًا ومجرَّبًا في الميدان أثمن لا أرخص. أما نصف التعقيد فيسلّط عليه المنشار. وهذا مهم، لأن التسعير كان يتكئ بهدوء على النصفين معًا. وحين يتوقف تنفيذ SAML عن كونه خندقًا ويصير شغل عطلة نهاية أسبوع، لا تعود عبارة "للمؤسسات فقط" قولًا عمّا يصعب بناؤه. تصير قولًا عمّا اختار المزوّد أن يتقاضى عليه. الفجوة في القدرات تضيق أسرع مما تعترف به قائمة الأسعار.

فريق صغير يهدي الميزات المفروض عليها ضريبة

نحن نقطة بيانات واحدة في هذا النقاش. Authagonal فريق صغير، والدخول الموحّد وSAML وSCIM ليست ترقيتنا المدفوعة؛ إنها في الباقة المجانية، باتصالات غير محدودة، وحتى 250 مستخدمًا نشطًا شهريًا، وبلا بطاقة. تبدأ الباقات المدفوعة من 29 دولارًا شهريًا وتحمل مجموعة الميزات نفسها في كل مستوى. قارن ذلك بسعر السوق الجاري للقدرة ذاتها: تحاسب WorkOS على الدخول الموحّد بنحو 125 دولارًا لكل اتصال شهريًا وعلى SCIM بـ 125 دولارًا أخرى؛ وClerk تمنحك اتصالًا واحدًا ثم نحو 75 دولارًا لكل اتصال بعده؛ وAuth0 تضمّ اتصالًا واحدًا مجانًا حتى 25,000 مستخدم، ثم تحوّل الدخول الموحّد في الإنتاج إلى خطها التجاري الأغلى. نحن لسنا أرخص لأننا وجدنا حيلة ما. نحن أرخص لأن كلفة توفير الميزة تقارب الصفر، ولأننا رفضنا تسعيرها كأنها نادرة.

لا يعني أي من هذا أن اللاعبين الراسخين على وشك الانهيار. فنصف الثقة من خندقهم حقيقي، وقد أمضوا عقدين في بنائه. لكن الحكاية القائلة إن مصادقة المؤسسات باهظة لأنها صعبة صارت أصعب في روايتها بوجه جاد، في اللحظة نفسها التي تصل فيها الأدوات التي تجعلها سهلة إلى الجميع. ولترى ما تكلّفه هذه الميزات حين تتوقف عن دفع الضريبة، تضع تسعيرتنا كل واحدة منها في الباقة نفسها، كما أن حاسبة ضريبة الدخول الموحّد ستحسب سعر إعدادك الفعلي مقارنةً بالمزوّدين الذين ما زالوا يحاسبون عليه.