ضريبة SCIM: تزويد الحسابات بنية تحتية، لا ميزة فاخرة

SCIM هو أقل بروتوكولات الهوية بريقًا. إنه واجهة REST لسجلات المستخدمين: إنشاء وتحديث وتعطيل، موحّدة قياسيًا في RFC 7644 بحيث لا تحتاج الأدلة والتطبيقات إلى بنائها إلا مرة واحدة. عندما يربط فريق تقنية المعلومات لدى عميلك دليل Entra أو Okta بمنتجك، فإن SCIM هو ما يجعل الموظفين الجدد يظهرون في تطبيقك من اليوم الأول، والمغادرين يختفون يوم مغادرتهم. إنه أشبه بشبكة السباكة بالمعنى الحرفي: يعمل دون إشراف، غير مرئي، ولا يلحظه أحد إلا حين يغيب.

السعر السائد لهذه البنية الأساسية لافت للنظر. تتقاضى WorkOS مبلغ 125 دولارًا شهريًا عن كل اتصال Directory Sync، فوق الـ 125 دولارًا شهريًا التي تتقاضاها عن كل اتصال SSO. شركة SaaS لديها عشرة عملاء مؤسسيين يريد كل منهم الثنائي المعتاد، تسجيل الدخول مع التزويد، تدفع 2,500 دولار شهريًا قبل أن يسجّل مستخدم واحد من مستخدميهم دخوله. أما Auth0 فتلعب اللعبة الكلاسيكية الأخرى: الباقة المجانية تتضمن نظريًا اتصالًا مؤسسيًا واحدًا، لكن الباقات الاستهلاكية المدفوعة تجرّد الميزات المؤسسية، فتدفع كل من يحتاجها فعلًا نحو خطط B2B حيث تُباع الاتصالات كإضافات بنحو 100 دولار لكل منها. وأيًا كان الشكل، فالرسالة واحدة: التزويد يقبع خلف البوابة المؤسسية، إلى جانب SAML، ويُسعَّر لكل اتصال.

لذا يجدر أن نسأل: كم يكلّف اتصال SCIM المورّدَ لتقديمه؟ على جانب المزوّد، الاتصال هو رمز مصادقة وعنوان URL أساسي. وحركة البيانات مجرد رذاذ: طلب HTTP واحد عند انضمام شخص، وآخر عند تغيير فريقه أو اسمه، وآخر عند مغادرته. لا توزيع واسع، ولا حوسبة تستحق الذكر، ولا قصة تخزين. وُجدت المواصفة تحديدًا لكي يكون التنفيذ كلفةً لمرة واحدة: متى بنيت /Users و/Groups بدلالات PATCH، فإن الاتصال رقم مئتين يكلّف تمامًا ما كلّفه الاتصال رقم اثنين، أي صفًا في جدول. إن 125 دولارًا شهريًا لكل اتصال ليست استرداد تكلفة. إنها سياج لتقسيم السوق، وُضع حيث يقف المشترون المؤسسيون لأن المشترين المؤسسيين قادرون على الدفع. لقد حسبنا تلك الفاتورة بالدولار في حالة SSO من قبل؛ وSCIM هي الضريبة نفسها تُحصَّل عند بوابة رسوم ثانية.

لكن SCIM ليست SSO، والفرق هو ما يحدث حين لا تدفع. ارفض رسوم SSO فتسوء تجربة تسجيل الدخول: كلمات مرور أكثر، وسطح تصيّد أوسع، وقسم تقنية معلومات متذمر. أمر مزعج، لكنه محتمل. ارفض رسوم SCIM فينكسر إنهاء الحسابات. أهم رسالة يحملها SCIM على الإطلاق هي التي تقول: هذا الشخص غادر الشركة، عطّلوا حسابه في كل مكان، الآن. من دونها، يصبح إلغاء التزويد إنسانًا عليه أن يتذكر المرور على لوحة إدارة كل منتج SaaS تستخدمه الشركة، في اليوم الذي يُرافَق فيه الموظف إلى الباب، من غير أن تفوته خطوة واحدة. عمليًا يعني ذلك أن الموظفين السابقين يحتفظون بحسابات فعّالة لأيام، وأحيانًا لأشهر. لا يسأل المدققون عن إلغاء التزويد في وقته في كل مراجعة SOC 2 وISO 27001 عبثًا: فالحساب الخامل لموظف غادر، بكلمة مرور لم تتغير، هو من أقدم مداخل الاختراق المعروفة.

وهذا يعني أن إلغاء التزويد ليس ميزة رفاهية. إنه ضابط أمني، والرسوم المفروضة على SCIM لكل اتصال هي بطاقة سعر معلّقة على ذلك الضابط. لاحظ إلى أين يذهب الخطر حين يرفض المشتري الدفع: لا إلى أي مكان على جانب المورّد. فالمورّد يقدّم المنتج نفسه تمامًا. الفجوة تنفتح على جانب العميل، في قائمة إنهاء الحسابات التي باتت تعتمد على الذاكرة بدل الأتمتة. إن فرض رسوم على SCIM هو فرض رسوم على قفل بابٍ سبق أن بعته.

ثمة طريقة بسيطة لقراءة قائمة أسعار أي مورّد: الأشياء التي يكلّف تقديمها مالًا حقيقيًا تُسعَّر بحسب الاستخدام، والأشياء التي لا تكلّف شيئًا تُسعَّر بحسب قدرتك على رفضها. التسعير لكل مستخدم أو لكل MAU يتتبع التكلفة الفعلية. أما الرسوم لكل اتصال على بروتوكول موحّد فتتتبع النفوذ، وSCIM يحمل أكبر نفوذ على الإطلاق، لأن استبيانات الأمان المؤسسية تشترطه. لا يستطيع المشتري أن يقول لا، والسعر يُحدَّد على هذا الأساس. تلك هي ضريبة SCIM: ليست رسمًا مقابل خدمة، بل إتاوة على متطلب امتثال.

نحن نرى أن جباية الإتاوات ليست العمل الصحيح. Authagonal تُضمِّن SCIM في كل باقة، بما فيها الباقة المجانية، باتصالات غير محدودة، تمامًا مثل SSO. التزويد بنية أساسية. نحن نتقاضى مقابل ما يكلّفنا فعلًا، وهو المستخدمون النشطون، أما المفتاح الذي يطفئ حساب المغادر في كل مكان فليس ميزة فاخرة. إنه صميم المهمة.