O imposto de SSO, em dólares: quanto SAML custa de verdade na Auth0, WorkOS e Clerk
Escrevemos uma vez sobre o imposto de funcionalidade: o truque de cobrar de você para acionar um booleano que já está escrito, sobre uma infraestrutura que já está rodando. Aquele texto era o argumento. Este é o recibo.
Porque "SSO custa a mais" é fácil de concordar com um aceno de cabeça e fácil de esquecer. Um número numa fatura é mais difícil de esquecer. Então vamos colocar a fatura inteira sobre a mesa, para três momentos pelos quais todo produto B2B passa: a base da plataforma (cobrada por usuários ativos mensais, o que todos cobram e que é justo: mais usuários custam de fato mais para atender), além das duas linhas que realmente medem SAML, a conexão SSO e o provisionamento SCIM que vem junto. Três colunas ao vivo, um total geral. Incluímos a base de propósito. O imposto de SSO não é o único lugar onde o dinheiro vaza; só a diferença no próprio preço da plataforma chega a milhares por ano, e omiti-la subestimaria o que o modelo de imposto de funcionalidade realmente custa a você. Todas as tarifas são os preços publicados por cada fornecedor em junho de 2026.
SSO nem é o único medidor, só o mais barulhento. Há um mais silencioso: o limite de clientes OAuth, os apps e serviços que você registra do seu lado. Ele nunca morde durante a avaliação; morde no meio da integração, na tarde em que você vai conectar mais uma ferramenta e descobre que acabou a cota, restando ou reutilizar um cliente que não deveria (sua mesa de suporte emitindo tokens para sua API principal não é uma frase que você queira ler para um auditor de SOC 2) ou pular de plano para adicionar uma única linha a uma tabela. Um cliente é uma linha e um segredo; não custa nada ao fornecedor, então não o medimos. Mas SSO é o imposto que vira manchete, então é ele que as tabelas abaixo precificam.
Cenário 1: seu primeiro contrato enterprise
~1.000 MAU. Seu primeiro logo de verdade acabou de assinar, com a condição de fazer login pelo próprio provedor de identidade, com os usuários provisionados automaticamente. Uma conexão SAML, com SCIM:
| Fornecedor | Plano /mês | SSO /mês | SCIM /mês | Total /mês | Total /ano |
|---|---|---|---|---|---|
| Authagonal | $29 | $0 | $0 | $29 | $319 |
| Clerk | $25 | $0 (a primeira grátis) | $0 | $25 | $300 |
| WorkOS | $0 | $125 | $125 | $250 | $3.000 |
| Auth0 | $0 | incl. | incl. | $0 | $0 |
Nesse tamanho, três dos quatro ficam perto de zero. A primeira conexão da Clerk é grátis (seu plano é $25). O nível Free da Auth0 agora inclui uma conexão enterprise, SSO autosserviço e SCIM por $0, até 25.000 MAU. Genuinamente grátis, e mérito por isso (a pegadinha vem mais abaixo). Nós, $29, tudo incluído. Só a WorkOS quebra a fila: já $3.000/ano, tudo isso o imposto de SSO-e-SCIM por conexão. Até aqui o imposto está em grande parte escondido: adicione um segundo cliente enterprise e veja-o vir à tona.
Cenário 2: um punhado de clientes enterprise
~10.000 MAU, o SSO agora faz parte do processo de vendas. Três conexões SAML, com SCIM:
| Fornecedor | Plano /mês | SSO /mês | SCIM /mês | Total /mês | Total /ano |
|---|---|---|---|---|---|
| Authagonal | $149 | $0 | $0 | $149 | $1.639 |
| Clerk | $25 | $150 (1 grátis + 2×$75) | $0 | $175 | $2.100 |
| WorkOS | $0 | $375 | $375 | $750 | $9.000 |
| Auth0 | orçamento | orçamento | orçamento | orçamento | orçamento |
Agora somos a linha mais barata da tabela, não por cortar funcionalidades, mas porque a base é tudo o que você paga. Cada uma dessas três conexões é um cliente que paga, então o medidor por conexão acelera exatamente quando o SSO começa a fazer o seu trabalho. A linha SCIM separada da WorkOS já o dobrou para $9.000/ano; a nossa ainda é $1.639, SAML e SCIM incluídos.
Cenário 3: SSO agora é requisito básico
~50.000 MAU. Dez clientes enterprise, dez conexões SAML, com SCIM. Ninguém mais avalia você sem isso:
| Fornecedor | Plano /mês | SSO /mês | SCIM /mês | Total /mês | Total /ano |
|---|---|---|---|---|---|
| Authagonal | $339 | $0 | $0 | $339 | $3.729 |
| Clerk | $25 | $675 (1 grátis + 9×$75) | $0 | $700 | $8.400 |
| WorkOS | $0 | $1.250 | $1.250 | $2.500 | $30.000 |
| Auth0 | orçamento | orçamento | orçamento | orçamento | orçamento |
Leia a linha de cima frente à de baixo. A fatura anual inteira da Authagonal (plataforma, SAML ilimitado, SCIM, MFA, auditoria, marca, tudo) é de $3.729. O imposto de SSO-e-SCIM da WorkOS sozinho é de $30.000: mais de oito vezes a nossa fatura inteira, antes de a WorkOS ter cobrado um único centavo pela plataforma em si, e nem precisa, porque o imposto é a plataforma. Essa diferença de ~$26.000 por ano é exatamente o que ficava sem menção quando mostrávamos só a linha do SSO. Os bytes são idênticos a um login por senha; o código foi escrito uma vez e entregue a todos. Você estaria pagando, todo ano, por vinte caixas de seleção e uma plataforma que poderia ter tido por cerca de um oitavo do preço.
Sobre os números. Plano é o preço da plataforma escalonado por MAU: a única coisa pela qual nós, e a maioria dos fornecedores, cobramos legitimamente mais à medida que você cresce. A WorkOS inclui gestão de usuários grátis até 1M de MAU, então toda a fatura dela é o imposto por conexão. O Clerk Pro é $25/mês com os MAU em grande parte incluídos nesses volumes (possível um excedente modesto a 50k); a primeira conexão SSO é grátis, depois cerca de $75 cada, e o SCIM vem grátis com uma conexão. A Auth0 mudou o modelo recentemente o bastante para merecer o próprio parágrafo, logo abaixo. Os valores anuais da Authagonal são o que de fato é cobrado: 11× o preço mensal, porque os planos anuais ganham um mês grátis (então $29/mês são $319/ano, não $348). Os anuais dos concorrentes são mensal × 12; se algum fornecedor der desconto na cobrança anual, não verificamos, então os totais reais deles podem cair um pouco, nem de longe o bastante para fechar a diferença.
Mais uma sobre a Auth0, porque o modelo dela é o mais sutil. A Auth0 agora inclui uma conexão enterprise, SSO e SCIM no plano Free, grátis até 25.000 MAU. Com uma única conexão isso de fato não custa nada, e mérito por isso. Mas os níveis consumer pagos os retiram de novo; a nota de rodapé manda você "migrar para B2B" para manter o SSO. E o B2B custa várias vezes o preço consumer pelos mesmos usuários (o Essentials começa perto de $150/mês contra ~$35), então o verdadeiro imposto de SSO da Auth0 não é por conexão, é o prêmio B2B: um múltiplo do preço base pelo privilégio de vender para empresas. Essa base é precificada por controle deslizante de MAU e passa a personalizada acima de ~20k usuários, e é por isso que a Auth0 mostra quote nas nossas linhas de 10k e 50k em vez de um palpite interpolado.
(Mais dois fornecedores medem por um eixo diferente, então não estão nas tabelas: o mesmo imposto, outro chapéu. A Okta licencia o SSO por usuário, ~$2/usuário à la carte, escalando com as pessoas por trás de cada conexão em vez do número de conexões. O Duende IdentityServer vende SAML como um complemento fixo, ~$1.500/ano somados a uma licença de ~$5.750/ano, e aí você mesmo hospeda, aplica patches, escala e constrói a interface de admin, o MFA e a trilha de auditoria. Uma linha de aparência barata, uma fatura real enorme.)
Perguntas frequentes
Por que tenho que pagar a mais por SSO? Na maioria dos fornecedores, você não paga a mais porque o SSO custa mais a eles. Não custa. Você paga a mais porque os recursos de segurança e conformidade são os que você menos consegue recusar, então são os mais lucrativos para colocar atrás de um muro. SAML é um padrão consolidado, de vinte anos; o custo marginal de habilitá-lo para mais um inquilino arredonda para zero.
O que é o "imposto de SSO"? A prática de cobrar um prêmio (normalmente por conexão, muitas vezes $75–$125/mês cada, ou forçando um upgrade para um nível Enterprise) para ligar o single sign-on. Há uma lista pública de infratores em sso.tax. É um imposto sobre fazer a coisa responsável, cobrado no momento em que você tem o menor poder de barganha para dizer não.
Quanto custa o SSO na Auth0, WorkOS e Clerk? Pelas tarifas publicadas em junho de 2026: a WorkOS cobra cerca de $125/mês por conexão SSO (mais outros ~$125 por SCIM); a Clerk dá uma conexão grátis, depois cerca de $75/mês cada. A Auth0 é a exceção: inclui uma conexão enterprise e SCIM grátis até 25k MAU, depois remove o SSO dos planos pagos de autosserviço e encaminha o uso em produção ou multiconexão para uma trilha B2B apenas sob orçamento. Com dez clientes enterprise, WorkOS e Clerk somam cerca de $15k e $8,1k por ano só pelo SAML; a Auth0 não publica um número para isso. Os valores mudam, então confira a página de preços atual de cada fornecedor.
Existe um nível gratuito? Sim. Grátis até 250 usuários ativos mensais, com todos os recursos incluídos, e (ao contrário de qualquer outro nível gratuito) conexões SSO/SAML ilimitadas, não só uma. O limite é apenas de escala: passe de 250 MAU e você migra para um plano pago. Sem cartão de crédito, sem SLA, suporte da comunidade.
Preciso fazer upgrade do meu plano para adicionar outro cliente OAuth ou aplicação? Conosco não. Aplicações não são um eixo pago, então você registra uma por app ou serviço sem mudar de nível. Vários fornecedores limitam ou medem clientes (sobretudo os de máquina para máquina), o que é exatamente o que força a escolha entre reutilizar um cliente que não deveria e pagar pelo próximo nível.
Dá para saber muito sobre uma empresa pelo que ela cobra de você. A maioria dos fornecedores de autenticação cobra por coisas que não lhes custam nada: um flag SAML, um flag SCIM, uma linha para mais um cliente. O nosso se resume a uma única frase: pague pelo tamanho que você atinge, não pelos interruptores que você tem permissão de acionar.
Aqui está exatamente quem cobra pelo quê, fornecedor por fornecedor. O SSO está do nosso lado da mesa, sem custo adicional, e o mesmo vale para o décimo primeiro cliente que você não sabia que ia precisar. Veja o preço para os seus números.