Em 2012, quem segurava a caneta do OAuth 2.0 renunciou. As razões dele se leem como uma previsão.

Em julho de 2012, o editor da especificação do OAuth 2.0 renunciou. Eran Hammer segurava a caneta havia anos: na IETF, o editor é quem escreve o texto normativo e arbitra o desenho enquanto o grupo de trabalho discute, não um revisor. Antes disso ele havia editado o padrão publicado do OAuth 1.0. Tirou o nome da versão 2.0, foi embora e publicou um texto muito lido chamado "OAuth 2.0 and the Road to Hell".

A queixa dele não era acadêmica. O protocolo, escreveu, tinha sido esvaziado até virar "uma planta baixa" que cada fornecedor moldaria no seu próprio produto incompatível. Ele chamou isso de "the enterprise way", o "jeito WS-*". E avisou, com todas as letras, que a 2.0 "abre uma fronteira inteiramente nova para vender serviços de consultoria e soluções de integração". A RFC 6749 saiu três meses depois, com o nome de Dick Hardt no lugar do dele.

Catorze anos depois, ligar o login corporativo que seu maior cliente exige custa cerca de 125 dólares por conexão por mês, ou fica atrás de um plano chamado "Enterprise", ou atrás de um botão de "falar com vendas" que acrescenta três semanas a um prazo que você já estava atrasado. Hammer viu o formato disso em 2012, de dentro da sala onde a coisa estava sendo decidida.

Vale, então, refazer o caminho inteiro: quem escreveu esses padrões, o que essa gente achava que estava construindo, e como aquilo virou um item de fatura. O fosso que saiu daí é real. Ele também é feito de dois materiais diferentes, e só um deles ainda está de pé.

Os protocolos ficaram prontos antes dos preços

Em 2015 o trabalho de padronização estava essencialmente concluído. O SAML 2.0 virou padrão OASIS em março de 2005, ou seja, é anterior ao iPhone. O OAuth 2.0 foi publicado como RFC 6749 em 2012. O OpenID Connect construiu identidade em cima dele em 2014. O SCIM, o protocolo que cria e remove usuários entre sistemas, chegou à revisão 2.0 (RFC 7642 a 7644) em setembro de 2015. As quatro peças que formam a "autenticação corporativa" já estavam especificadas, interoperáveis e livres para implementar há mais de uma década.

Nada nelas mudou de forma relevante desde então. Uma asserção SAML assinada hoje é igual a uma assinada em 2008. Isso elimina a justificativa habitual para um prêmio: novidade. SSO corporativo não é um recurso de fronteira cujo desenvolvimento custa uma fortuna, e não custa nada a mais para um provedor atender um login que chegou por SAML do que um que chegou com senha. É infraestrutura assentada. O que levanta a questão de onde veio o preço, se não veio da engenharia.

Os grupos de trabalho que escreveram isso não eram times de vendas

Comece por quem escreveu as especificações, porque explica muita coisa. O SAML não nasceu numa reunião de precificação. Saiu de um comitê técnico da OASIS, e a presidente fundadora desse grupo foi Eve Maler, então diretora de tecnologia na Sun Microsystems, que passara anos nos padrões de marcação e federação que tornaram possível o login entre empresas. O resultado foi um documento público que qualquer um podia implementar, de graça.

O clima daquela época era abertura, não cercamento. Em agosto de 2005, no OSCON da O'Reilly, Dick Hardt, da Sxip Identity, fez uma keynote acelerada chamada "Identity 2.0" que é assistida e reassistida desde então. A proposta era uma web em que sua identidade fosse sua e portátil, levada de site em site em vez de trancada no diretório de cada um. Um ano depois, o OAuth começou do mesmo jeito. Blaine Cook, que construía a API do Twitter, queria um jeito de deixar um aplicativo agir em seu nome em outro sem que as pessoas entregassem a senha, não achou nenhum padrão aberto para isso e sentou no início de 2007 com Chris Messina, David Recordon e mais alguns para escrever um. A primeira especificação do OAuth saiu naquele mesmo ano. Ninguém naquele grupo estava tentando construir um pedágio. Estavam tentando fazer a web parar de pedir a senha das pessoas.

Do que Hammer estava realmente avisando

Aí o padrão cresceu, e a sala mudou. O OAuth 2.0 se propôs a generalizar a primeira versão, e o grupo de trabalho encheu de interesses maiores. Comparado com a 1.0, escreveu Hammer ao sair, o resultado tinha ficado "mais complexo, menos interoperável, menos útil, mais incompleto e, o mais importante, menos seguro". A comparação que ele escolheu, a pilha WS-* da década anterior, era o exemplo mais claro do setor de uma especificação aberta virando um mercado de trabalho de integração.

Releia isso com uma década de distância e cai como uma previsão. A coisa que acabaria sendo cobrada por conexão já estava, em 2012, sendo moldada pelas pessoas que iriam cobrar. O OpenID Connect recolocou identidade sobre uma base limpa em cima do OAuth 2.0 em 2014, redigido por Nat Sakimura no Nomura Research Institute com John Bradley e Mike Jones, e é um trabalho genuinamente bom sobre o qual o setor inteiro ainda roda. Mas veja onde os autores estavam sentados: Bradley na Ping Identity, Jones na Microsoft. As especificações continuaram abertas e livres para implementar. Quem as escrevia trabalhava cada vez mais para as empresas que venderiam o resultado.

As mesmas pessoas que escreveram o padrão foram vendê-lo

A camada comercial não veio de fora do mundo dos padrões. Cresceu direto dele, muitas vezes pelas mesmas mãos. Eve Maler, que presidiu na Sun o grupo que produziu o SAML, entrou na ForgeRock em 2014 como VP de inovação e depois virou diretora de tecnologia. A própria ForgeRock foi construída sobre a pilha de identidade que a Sun abrira como OpenSSO, e em 2023 foi incorporada à Ping Identity. A Ping existe desde 2002, cedo o bastante para ajudar a escrever o manual de federação que depois vendeu por duas décadas. Nada disso foi desonesto. O ponto é mais estreito e mais estranho: a especificação aberta e o produto precificado nunca foram dois mundos separados. A mesma competência escreveu os dois.

A geração da nuvem herdou o padrão, e o instinto de precificar veio junto. A Okta foi fundada em 2009 por Todd McKinnon, que tinha comandado engenharia na Salesforce, e Frederic Kerrest; abriu capital em 2017 e, em 2021, pagou 6,5 bilhões de dólares em ações pela Auth0. A Auth0 era a opção amigável ao desenvolvedor, criada em 2013 por dois engenheiros argentinos, Eugenio Pace e Matías Woloski, que tinham se conhecido em trabalhos de consultoria e queriam reduzir o login de um aplicativo a algumas chamadas de API. Que uma empresa cujo discurso inteiro era conveniência para desenvolvedores ainda assim valesse seis bilhões e meio é o sinal: quem é dono da caixa de login é dono de uma estrada por onde todo o resto do produto precisa passar. A onda mais recente diz isso abertamente no marketing. A WorkOS, fundada em 2019 por Michael Grinich, vende o que ele chama de atravessar o "enterprise chasm": deixar um produto "enterprise-ready" fornecendo exatamente as peças que são cobradas, ou seja, SSO, sincronização de diretório e logs de auditoria. O SSO é a peça corporativa. É no SSO que está o dinheiro. Então é no SSO que vai a etiqueta de preço.

Por que o preço acompanha seu prazo, não o código

Rob Chahin percebeu o padrão e, em 2019, começou uma lista pública em sso.tax, o "SSO Wall of Shame", catalogando quanto as empresas de software cobram para ligar o SAML. Alguns acréscimos são absurdos à primeira vista: um plano base que se multiplica várias vezes no instante em que SSO aparece nele. A lista é longa porque a estratégia funciona.

Ela funciona por causa de quando o comprador precisa do recurso. Ninguém pesquisa SSO numa tarde tranquila. Você precisa dele no momento em que o time de segurança de um cliente grande faz disso condição para assinar, ou na semana em que seu próprio auditor de SOC 2 pergunta como você controla acesso. Você precisa dele contra um prazo, com um contrato ou um certificado em jogo, e precisa agora. Esse é o momento menos sensível a preço que um comprador tem na vida, e a precificação foi construída em cima dele. O prêmio nunca foi calibrado pelo custo marginal de implementar SAML, que arredonda para zero. Foi calibrado por quanta pouca margem de negociação você tem no dia em que finalmente precisa.

Esse é o formato real do que as pessoas chamam de imposto do SSO. Não é um preço sobre um recurso. É um preço sobre um prazo.

Do que o fosso é realmente feito

Então, quão defensável é essa posição? O fosso que os grandes seguram é real, mas é feito de dois materiais separados, e eles não são igualmente sólidos.

O primeiro é complexidade. O SAML é antigo, mas não é simples de implementar bem. Validação de assinatura, canonicalização de XML, asserções cifradas, metadados que giram e a longa cauda de peculiaridades que cada provedor de identidade entrega de um jeito diferente: acertar tudo isso, e com segurança, historicamente eram semanas de trabalho especializado e uma fonte farta de falhas quando feito errado. O SCIM acrescenta a superfície dele. Construir isso uma vez era um investimento de verdade. Construir contra cada IdP que seus clientes possam trazer, e operar de forma confiável, era um fosso atrás do qual dava para estacionar uma empresa.

O segundo material é confiança. Um time de segurança corporativo precisa aceitar sua camada de identidade, e isso significa SOC 2, testes de intrusão, histórico, uma empresa que ainda vá existir daqui a cinco anos e alguém para ligar às duas da manhã quando a federação quebrar. Nenhum código esperto encurta esse caminho. Isso se conquista devagar, e é de longe a metade mais difícil do fosso.

Por vinte anos essas duas metades se reforçaram, e a precificação tratou as duas como uma coisa só, indivisível. Não são uma coisa só.

A metade do fosso que a IA está drenando

Foi aqui que mudou. A metade de complexidade daquele fosso era, no fundo, um problema de conhecimento e de mão de obra: os protocolos são bem especificados e fartamente documentados, mas ligar tudo corretamente exigia experiência escassa e cara, além de muitas horas. É exatamente o tipo de problema em que assistentes de código com IA são bons. Um padrão assentado, de vinte anos, com implementações de referência públicas em abundância, é quase o melhor caso possível para eles. O trabalho que antes exigia um especialista em identidade por um mês cada vez mais exige um engenheiro competente e um bom assistente por uma semana.

Tenha cuidado com o que isso corrói e o que não corrói. Não encosta na metade da confiança. IA não te entrega SOC 2, nem reputação de segurança, nem plantão, e se muda alguma coisa, a enxurrada de código de autenticação gerado por máquina torna um provedor auditado e testado em campo mais valioso, não menos. Mas na metade da complexidade ela usa motosserra. Isso importa, porque a precificação vinha se apoiando discretamente nas duas metades ao mesmo tempo. Quando implementar SAML deixa de ser um fosso e vira um fim de semana, "só no Enterprise" para de ser uma afirmação sobre o que é difícil de construir. Vira uma afirmação sobre o que o fornecedor escolheu cobrar. A distância de capacidade está se fechando mais rápido do que a tabela de preços admite.

Um time pequeno dando de graça os recursos taxados

Nós somos um dado nessa discussão. A Authagonal é um time pequeno, e SSO, SAML e SCIM não são nosso upsell; estão no plano gratuito, com conexões ilimitadas, até 250 usuários ativos por mês e sem cartão. Os planos pagos começam em 29 dólares por mês e levam o mesmo conjunto de recursos em todos os níveis. Compare com o preço de mercado da capacidade idêntica: a WorkOS cobra SSO a cerca de 125 dólares por conexão por mês e SCIM a mais 125; a Clerk dá uma conexão e depois cerca de 75 por cada seguinte; a Auth0 inclui uma conexão grátis até 25 mil usuários e depois joga o SSO de produção para a linha de negócios mais cara. Não somos mais baratos porque achamos um truque. Somos mais baratos porque o recurso custa quase nada para fornecer, e nos recusamos a precificá-lo como se fosse escasso.

Nada disso significa que os incumbentes estejam prestes a cair. A metade de confiança do fosso deles é real, e eles passaram duas décadas construindo. Mas a história de que autenticação corporativa é cara porque é difícil está cada vez mais difícil de contar com cara séria, justamente quando as ferramentas que tornam isso fácil chegam a todo mundo. Para ver quanto esses recursos custam depois que você para de pagar o imposto, nossa página de preços coloca todos eles no mesmo plano, e a calculadora do imposto do SSO vai precificar a sua configuração exata contra os fornecedores que ainda cobram por ela.