La taxe SCIM : le provisionnement, c'est de la plomberie, pas du premium
SCIM est le protocole le moins glamour de l'identité. C'est une API REST pour les fiches utilisateurs : créer, mettre à jour, désactiver, standardisée sous le nom de RFC 7644 pour que les annuaires et les applications n'aient à la construire qu'une seule fois. Quand l'équipe IT de votre client connecte son annuaire Entra ou Okta à votre produit, c'est SCIM qui fait apparaître les nouvelles recrues dans votre application dès le premier jour et disparaître les partants le jour de leur départ. C'est de la plomberie au sens le plus littéral : sans surveillance, invisible, et remarquée seulement quand elle manque.
Le tarif en vigueur pour cette plomberie est remarquable. WorkOS facture 125 \(par mois et par connexion Directory Sync, en plus des 125\) par mois facturés par connexion SSO. Un SaaS avec dix clients entreprise qui veulent chacun la paire standard, connexion plus provisionnement, paie 2 500 \(par mois avant même qu'un seul de leurs utilisateurs ne se connecte. Auth0 joue l'autre grand classique : l'offre gratuite inclut techniquement une connexion entreprise, mais les offres grand public payantes retirent les fonctionnalités entreprise, poussant quiconque en a réellement besoin vers des plans B2B où les connexions sont des options à environ 100\) pièce. Quelle que soit la forme, le message est le même : le provisionnement vit derrière la barrière entreprise, à côté de SAML, facturé à la connexion.
Il vaut donc la peine de se demander ce qu'une connexion SCIM coûte au fournisseur. Côté fournisseur, une connexion, c'est un jeton bearer et une URL de base. Le trafic est un filet d'eau : une requête HTTP quand quelqu'un arrive, une quand il change d'équipe ou de nom, une quand il part. Pas de fan-out, pas de calcul digne d'être mentionné, pas d'enjeu de stockage. La spécification existe précisément pour que l'implémentation soit un coût unique : une fois que vous avez construit /Users et /Groups avec la sémantique PATCH, la connexion numéro deux cents coûte exactement ce qu'a coûté la connexion numéro deux, c'est-à-dire une ligne dans une table. 125 $ par mois et par connexion, ce n'est pas de la couverture de coûts. C'est une clôture de segmentation, placée là où se tiennent les acheteurs entreprise parce que les acheteurs entreprise peuvent payer. Nous avons déjà chiffré cette facture en dollars pour le SSO ; SCIM est la même taxe, collectée à un deuxième péage.
Mais SCIM n'est pas SSO, et la différence, c'est ce qui se passe quand vous ne payez pas. Refusez les frais SSO et les connexions se dégradent : plus de mots de passe, plus de surface de phishing, un service informatique agacé. Gênant, mais survivable. Refusez les frais SCIM et l'offboarding casse. Le message le plus important que SCIM transporte est celui qui dit : cette personne a quitté l'entreprise, désactivez-la partout, maintenant. Sans lui, le déprovisionnement, c'est un humain qui doit penser à cliquer dans la console d'administration de chaque produit SaaS utilisé par l'entreprise, le jour où quelqu'un est raccompagné à la porte, sans oublier une seule étape. En pratique, cela veut dire que des ex-salariés gardent des comptes actifs pendant des jours, parfois des mois. Si les auditeurs posent la question du déprovisionnement rapide dans chaque revue SOC 2 et ISO 27001, ce n'est pas pour rien : le compte dormant d'un salarié parti, mot de passe inchangé, est l'un des plus vieux points d'entrée de compromission qui soient.
Ce qui veut dire que le déprovisionnement n'est pas une fonctionnalité de confort. C'est un contrôle de sécurité, et des frais par connexion sur SCIM, c'est une étiquette de prix sur ce contrôle. Regardez où va le risque quand un acheteur refuse de payer : nulle part côté fournisseur. Le fournisseur sert exactement le même produit. Le trou s'ouvre côté client, dans la checklist d'offboarding qui dépend désormais de la mémoire au lieu de l'automatisation. Faire payer SCIM, c'est faire payer le verrou d'une porte que vous avez déjà vendue.
Il existe une façon simple de lire la grille tarifaire de n'importe quel fournisseur : ce qui coûte vraiment de l'argent à servir est facturé à l'usage, et ce qui ne coûte rien est facturé selon ce que vous pouvez refuser. La tarification par utilisateur ou par MAU suit le coût réel. Des frais par connexion sur un protocole standardisé suivent le rapport de force, et SCIM porte le plus grand rapport de force de tous, parce que les questionnaires de sécurité des entreprises l'exigent. L'acheteur ne peut pas dire non, et le prix est fixé en conséquence. C'est ça, la taxe SCIM : pas le prix d'un service, mais un péage sur une exigence de conformité.
Nous pensons que le péage n'est pas le bon métier. Authagonal inclut SCIM dans chaque offre, y compris l'offre gratuite, avec des connexions illimitées, comme pour le SSO. Le provisionnement, c'est de la plomberie. Nous facturons ce qui nous coûte réellement quelque chose, à savoir les utilisateurs actifs, et l'interrupteur qui désactive partout le compte d'un partant n'est pas du premium. C'est le travail.