El impuesto SCIM: el aprovisionamiento es fontanería, no un servicio premium
SCIM es el protocolo menos glamuroso del mundo de la identidad. Es una API REST para registros de usuario: crear, actualizar, desactivar, estandarizada como RFC 7644 para que directorios y aplicaciones solo tengan que implementarla una vez. Cuando el equipo de TI de tu cliente conecta su directorio de Entra u Okta a tu producto, SCIM es lo que hace que los recién contratados aparezcan en tu aplicación desde el primer día y que quienes se van desaparezcan el mismo día en que se marchan. Es fontanería en el sentido más literal: desatendida, invisible, y solo se nota cuando falta.
La tarifa vigente por esta fontanería es notable. WorkOS cobra $125 al mes por cada conexión de Directory Sync, además de los $125 al mes que cobra por cada conexión SSO. Un SaaS con diez clientes enterprise que quieren cada uno el par estándar, login más aprovisionamiento, está pagando $2,500 al mes antes de que un solo usuario suyo inicie sesión. Auth0 juega la otra carta clásica: el nivel gratuito técnicamente incluye una conexión enterprise, pero los niveles de pago para consumo eliminan las funciones enterprise, empujando a quien realmente las necesita hacia planes B2B donde las conexiones son complementos a unos $100 cada una. Tome la forma que tome, el mensaje es el mismo: el aprovisionamiento vive detrás de la puerta enterprise, junto a SAML, con precio por conexión.
Así que vale la pena preguntarse cuánto le cuesta al proveedor servir una conexión SCIM. Del lado del proveedor, una conexión es un token bearer y una URL base. El tráfico es un goteo: una petición HTTP cuando alguien entra, una cuando cambia de equipo o de nombre, una cuando se va. Sin fan-out, sin cómputo digno de mención, sin problema de almacenamiento. La especificación existe precisamente para que la implementación sea un coste único: una vez que has construido /Users y /Groups con semántica PATCH, la conexión número doscientos cuesta exactamente lo que costó la número dos, que es una fila en una tabla. $125 al mes por conexión no es recuperación de costes. Es una valla de segmentación, colocada donde están los compradores enterprise porque los compradores enterprise pueden pagar. Ya pusimos esa factura en dólares para el SSO; SCIM es el mismo impuesto cobrado en un segundo peaje.
Pero SCIM no es SSO, y la diferencia está en lo que pasa cuando no pagas. Rechaza la tarifa de SSO y los inicios de sesión empeoran: más contraseñas, más superficie de phishing, un departamento de TI molesto. Incómodo, pero sobrevivible. Rechaza la tarifa de SCIM y el offboarding se rompe. El mensaje más importante que SCIM llega a transportar es el que dice: esta persona ha dejado la empresa, desactívala en todas partes, ahora. Sin él, el desaprovisionamiento es un humano acordándose de pasar por la consola de administración de cada producto SaaS que usa la empresa, el día en que alguien sale por la puerta, sin saltarse ni un paso. En la práctica eso significa que los exempleados conservan cuentas activas durante días, a veces meses. Los auditores preguntan por el desaprovisionamiento oportuno en cada revisión de SOC 2 e ISO 27001 por una razón: la cuenta inactiva de un empleado que se fue, con la contraseña sin cambiar, es uno de los puntos de entrada de brechas más antiguos que existen.
Lo que significa que el desaprovisionamiento no es una función de conveniencia. Es un control de seguridad, y una tarifa por conexión sobre SCIM es una etiqueta de precio sobre ese control. Fíjate a dónde va el riesgo cuando un comprador rechaza la tarifa: a ninguna parte del lado del proveedor. El proveedor sirve exactamente el mismo producto. La brecha se abre del lado del cliente, en la lista de offboarding que ahora depende de la memoria en vez de la automatización. Cobrar por SCIM es cobrar por la cerradura de una puerta que ya vendiste.
Hay una forma sencilla de leer la lista de precios de cualquier proveedor: lo que cuesta dinero real de servir se cobra por uso, y lo que no cuesta nada se cobra según lo que puedas permitirte rechazar. El precio por usuario y por MAU sigue el coste real. Una tarifa por conexión sobre un protocolo estandarizado sigue la palanca de negociación, y SCIM es la mayor palanca de todas, porque los cuestionarios de seguridad enterprise lo exigen. El comprador no puede decir que no, y el precio se fija en consecuencia. Ese es el impuesto SCIM: no una tarifa por un servicio, sino un peaje sobre un requisito de cumplimiento.
Nosotros creemos que el negocio del peaje es el negocio equivocado. Authagonal incluye SCIM en todos los planes, nivel gratuito incluido, con conexiones ilimitadas, igual que el SSO. El aprovisionamiento es fontanería. Cobramos por lo que de verdad nos cuesta algo, que son los usuarios activos, y el interruptor que apaga en todas partes la cuenta de quien se va no es un extra premium. Es el trabajo.