O imposto do SCIM: provisionamento é encanamento, não item premium

O SCIM é o protocolo menos glamoroso do mundo da identidade. É uma API REST para registros de usuários: criar, atualizar, desativar, padronizada como RFC 7644 para que diretórios e aplicações só precisem implementá-la uma vez. Quando a equipe de TI do seu cliente conecta o diretório Entra ou Okta ao seu produto, é o SCIM que faz os recém-contratados aparecerem no seu app no primeiro dia e os desligados sumirem no dia em que saem. É encanamento no sentido mais literal: funciona sozinho, invisível, e só é notado quando falta.

O preço de tabela desse encanamento é notável. A WorkOS cobra $125 por mês por conexão de Directory Sync, além dos $125 por mês que cobra por conexão de SSO. Um SaaS com dez clientes enterprise que querem o par padrão, login mais provisionamento, paga $2.500 por mês antes de um único usuário deles fazer login. A Auth0 executa a outra jogada clássica: o plano gratuito tecnicamente inclui uma conexão enterprise, mas os planos pagos de consumo removem os recursos enterprise, empurrando quem realmente precisa deles para planos B2B onde conexões são add-ons de cerca de $100 cada. Seja qual for o formato, a mensagem é a mesma: provisionamento fica atrás da cancela enterprise, ao lado do SAML, precificado por conexão.

Vale então perguntar quanto uma conexão SCIM custa ao fornecedor para operar. Do lado do provedor, uma conexão é um bearer token e uma URL base. O tráfego é um fio de água: uma requisição HTTP quando alguém entra, uma quando muda de equipe ou de nome, uma quando sai. Sem fan-out, sem computação digna de menção, sem custo de armazenamento. A especificação existe justamente para que a implementação seja um custo único: depois de construir /Users e /Groups com semântica PATCH, a conexão número duzentos custa exatamente o que custou a conexão número dois, ou seja, uma linha numa tabela. $125 por mês por conexão não é recuperação de custo. É uma cerca de segmentação, colocada onde estão os compradores enterprise porque compradores enterprise podem pagar. Nós já fizemos essa conta em dólares para o SSO; o SCIM é o mesmo imposto cobrado num segundo pedágio.

Mas SCIM não é SSO, e a diferença está no que acontece quando você não paga. Recuse a taxa de SSO e os logins pioram: mais senhas, mais superfície de phishing, um departamento de TI irritado. Inconveniente, mas dá para sobreviver. Recuse a taxa de SCIM e o offboarding quebra. A mensagem mais importante que o SCIM carrega é a que diz: esta pessoa saiu da empresa, desative-a em todo lugar, agora. Sem ele, o desprovisionamento vira um humano tendo que lembrar de clicar no console administrativo de cada produto SaaS que a empresa usa, no dia em que alguém é desligado, sem pular nenhum passo. Na prática, isso significa ex-funcionários com contas funcionando por dias, às vezes meses. Auditores perguntam sobre desprovisionamento tempestivo em toda revisão de SOC 2 e ISO 27001 por um motivo: a conta adormecida de um funcionário que saiu, com a senha inalterada, é uma das portas de entrada de violações mais antigas que existem.

Ou seja, desprovisionamento não é um recurso de conveniência. É um controle de segurança, e uma taxa por conexão sobre o SCIM é uma etiqueta de preço nesse controle. Repare para onde vai o risco quando o comprador recusa a taxa: para lugar nenhum do lado do fornecedor. O fornecedor entrega exatamente o mesmo produto. A brecha se abre do lado do cliente, no checklist de offboarding que agora depende de memória em vez de automação. Cobrar pelo SCIM é cobrar pela fechadura de uma porta que você já vendeu.

Há um jeito simples de ler a tabela de preços de qualquer fornecedor: o que custa dinheiro de verdade para operar é precificado por uso, e o que não custa nada é precificado pelo quanto você consegue recusar. Preço por usuário e por MAU acompanha o custo real. Uma taxa por conexão sobre um protocolo padronizado acompanha o poder de barganha, e o SCIM carrega o maior poder de todos, porque os questionários de segurança enterprise o exigem. O comprador não pode dizer não, e o preço é definido de acordo. Esse é o imposto do SCIM: não uma taxa por um serviço, mas um pedágio sobre um requisito de conformidade.

Nós achamos que pedágio é o negócio errado. O Authagonal inclui SCIM em todos os planos, inclusive o gratuito, com conexões ilimitadas, igual ao SSO. Provisionamento é encanamento. Cobramos pelo que de fato nos custa algo, que são usuários ativos, e o interruptor que desativa em todo lugar a conta de quem saiu não é um item premium. É o trabalho.