Năm 2012, người chấp bút cho OAuth 2.0 từ chức. Lý do ông đưa ra đọc như một lời tiên đoán.

Tháng 7 năm 2012, người biên tập đặc tả OAuth 2.0 từ chức. Eran Hammer đã chấp bút nhiều năm: ở IETF, biên tập viên là người viết phần văn bản có tính quy phạm và phân xử các lựa chọn thiết kế trong lúc nhóm làm việc còn tranh cãi, không phải người soát lỗi. Trước đó ông đã biên tập chuẩn OAuth 1.0 đã công bố. Ông rút tên khỏi bản 2.0, bỏ đi, rồi đăng một bài được đọc rất nhiều mang tên "OAuth 2.0 and the Road to Hell".

Lời phàn nàn của ông không hề mang tính hàn lâm. Ông viết rằng giao thức đã bị rút ruột thành "một bản vẽ" mà mỗi nhà cung cấp sẽ cắt gọt thành sản phẩm riêng, không tương thích với nhau. Ông gọi đó là "the enterprise way", là "kiểu WS-*". Và ông cảnh báo thẳng thừng rằng bản 2.0 "mở ra cả một biên giới mới để bán dịch vụ tư vấn và giải pháp tích hợp". Ba tháng sau, RFC 6749 ra đời, mang tên Dick Hardt thay cho tên ông.

Mười bốn năm sau, bật tính năng đăng nhập doanh nghiệp mà khách hàng lớn nhất của bạn đòi hỏi tốn khoảng 125 đô la mỗi kết nối mỗi tháng, hoặc nằm sau một gói tên là "Enterprise", hoặc sau một nút "liên hệ bộ phận bán hàng" cộng thêm ba tuần vào một hạn chót mà bạn vốn đã trễ. Hammer đã nhìn ra hình hài của điều đó từ năm 2012, từ ngay bên trong căn phòng nơi mọi thứ đang được quyết định.

Vậy nên đáng để lần lại từ đầu: ai đã viết các chuẩn này, họ nghĩ mình đang xây gì, và bằng cách nào nó trở thành một dòng trên hóa đơn. Con hào sinh ra từ đó là có thật. Nó cũng được làm từ hai loại vật liệu khác nhau, và chỉ một trong hai còn trụ được.

Các giao thức xong xuôi trước cả bảng giá

Đến năm 2015, phần việc tiêu chuẩn hóa về cơ bản đã hoàn tất. SAML 2.0 trở thành chuẩn OASIS vào tháng 3 năm 2005, nghĩa là nó có trước iPhone. OAuth 2.0 được công bố dưới dạng RFC 6749 năm 2012. OpenID Connect dựng lớp danh tính lên trên nó năm 2014. SCIM, giao thức cấp và thu hồi tài khoản giữa các hệ thống, đạt bản sửa đổi 2.0 (RFC 7642 đến 7644) vào tháng 9 năm 2015. Bốn mảnh ghép tạo nên "xác thực doanh nghiệp" đã được đặc tả, tương thích lẫn nhau và tự do triển khai từ hơn một thập kỷ trước.

Từ đó đến nay chúng không thay đổi gì đáng kể. Một assertion SAML ký hôm nay trông y hệt một assertion SAML ký năm 2008. Điều đó loại bỏ lý do biện minh quen thuộc cho mức giá cao: tính mới. SSO doanh nghiệp không phải tính năng tiên phong mà việc tiếp tục xây dựng ngốn cả gia tài, và với nhà cung cấp thì phục vụ một lượt đăng nhập đến qua SAML chẳng tốn hơn một lượt đăng nhập bằng mật khẩu đồng nào. Đó là hạ tầng đã yên vị. Vậy thì câu hỏi là mức giá đến từ đâu, nếu không phải từ công sức kỹ thuật.

Những nhóm làm việc viết ra nó không phải đội bán hàng

Hãy bắt đầu từ chuyện ai viết các đặc tả, vì nó giải thích được nhiều điều. SAML không ra đời trong một cuộc họp định giá. Nó ra đời từ một ủy ban kỹ thuật của OASIS, và người sáng lập kiêm chủ tọa nhóm đó là Eve Maler, khi ấy là giám đốc công nghệ tại Sun Microsystems, người đã dành nhiều năm cho các chuẩn markup và liên kết danh tính vốn là thứ khiến đăng nhập xuyên tổ chức trở nên khả thi. Kết quả là một tài liệu công khai mà ai cũng có thể triển khai, miễn phí.

Không khí thời đó là mở, chứ không phải rào giậu. Tháng 8 năm 2005, tại OSCON của O'Reilly, Dick Hardt của Sxip Identity trình bày một bài keynote dồn dập mang tên "Identity 2.0", đến giờ vẫn được xem đi xem lại. Ý tưởng là một web nơi danh tính là của bạn và mang theo được, đi cùng bạn giữa các trang thay vì bị nhốt trong thư mục người dùng của từng nơi. Một năm sau, OAuth bắt đầu y như vậy. Blaine Cook, khi đang xây API của Twitter, muốn có cách để một ứng dụng hành động thay mặt bạn ở một ứng dụng khác mà người dùng không phải giao mật khẩu, không tìm thấy chuẩn mở nào cho việc đó, nên đầu năm 2007 đã ngồi lại với Chris Messina, David Recordon và vài người nữa để tự viết một cái. Đặc tả OAuth đầu tiên ra mắt ngay trong năm đó. Không ai trong nhóm ấy định dựng một trạm thu phí. Họ chỉ muốn web thôi hỏi mật khẩu của người dùng.

Điều Hammer thực sự cảnh báo

Rồi chuẩn ấy trưởng thành, và căn phòng đổi khác. OAuth 2.0 đặt mục tiêu tổng quát hóa phiên bản đầu, và nhóm làm việc dần đầy những lợi ích lớn hơn. So với 1.0, Hammer viết khi bỏ đi, kết quả đã trở nên "phức tạp hơn, kém tương thích hơn, kém hữu dụng hơn, dở dang hơn, và quan trọng nhất là kém an toàn hơn". Phép so sánh ông chọn, chồng WS-* của thập kỷ trước đó, chính là ví dụ rõ ràng nhất mà ngành này có về việc một đặc tả mở biến thành thị trường bán công việc tích hợp.

Đọc lại sau một thập kỷ, nó hiện ra như một lời tiên đoán. Thứ về sau bị tính tiền theo từng kết nối thì ngay từ 2012 đã được định hình bởi chính những người sau này đi tính tiền. OpenID Connect đưa danh tính trở lại một nền móng sạch sẽ trên nền OAuth 2.0 vào năm 2014, do Nat Sakimura tại Nomura Research Institute soạn cùng John Bradley và Mike Jones, và đó thực sự là công trình tốt mà cả ngành vẫn đang chạy trên đó. Nhưng hãy nhìn xem các tác giả ngồi ở đâu: Bradley ở Ping Identity, Jones ở Microsoft. Các đặc tả vẫn mở và tự do triển khai. Còn những người viết ra chúng thì ngày càng làm việc cho các công ty sẽ bán chính kết quả đó.

Chính những người viết chuẩn rồi đi bán nó

Lớp thương mại không đến từ bên ngoài thế giới tiêu chuẩn. Nó mọc thẳng ra từ đó, thường qua chính những bàn tay ấy. Eve Maler, người chủ tọa nhóm làm ra SAML tại Sun, gia nhập ForgeRock năm 2014 với vai trò phó chủ tịch phụ trách đổi mới và sau đó trở thành giám đốc công nghệ. Bản thân ForgeRock được dựng trên chồng danh tính mà Sun đã mở mã nguồn dưới tên OpenSSO, và năm 2023 thì được sáp nhập vào Ping Identity. Ping có từ năm 2002, đủ sớm để góp phần viết ra cẩm nang liên kết danh tính mà sau đó họ bán suốt hai thập kỷ. Chẳng có gì trong chuyện này là mờ ám. Điểm đáng nói hẹp hơn và lạ hơn: đặc tả mở và sản phẩm có giá chưa bao giờ là hai thế giới tách rời. Cùng một khối chuyên môn đã viết ra cả hai.

Thế hệ đám mây thừa hưởng khuôn mẫu đó, và bản năng định giá đi theo luôn. Okta được Todd McKinnon, người từng phụ trách kỹ thuật ở Salesforce, cùng Frederic Kerrest sáng lập năm 2009; công ty lên sàn năm 2017 và năm 2021 trả 6,5 tỷ đô la bằng cổ phiếu để mua Auth0. Auth0 là bên thân thiện với lập trình viên, khởi động năm 2013 bởi hai kỹ sư người Argentina, Eugenio Pace và Matías Woloski, gặp nhau khi đi làm tư vấn và muốn rút việc thêm đăng nhập vào một ứng dụng xuống còn vài lời gọi API. Việc một công ty mà toàn bộ lời hứa là sự tiện lợi cho lập trình viên vẫn đáng giá sáu tỷ rưỡi đô la chính là dấu hiệu: ai sở hữu ô đăng nhập thì sở hữu con đường mà mọi tính năng khác đều phải đi qua. Làn sóng gần nhất nói thẳng điều đó ngay trong marketing. WorkOS, do Michael Grinich sáng lập năm 2019, bán cái mà ông gọi là vượt qua "enterprise chasm": làm cho một sản phẩm "enterprise-ready" bằng cách cung cấp đúng những mảnh bị tính tiền, tức SSO, đồng bộ thư mục người dùng và nhật ký kiểm toán. SSO là mảnh doanh nghiệp. Tiền nằm ở SSO. Nên SSO là thứ được gắn bảng giá.

Vì sao giá bám theo hạn chót của bạn, không bám theo mã nguồn

Rob Chahin nhận ra khuôn mẫu này và năm 2019 lập một danh sách công khai tại sso.tax, gọi là "SSO Wall of Shame", ghi lại các công ty phần mềm thu bao nhiêu để bật SAML. Có những mức chênh vô lý ngay từ cái nhìn đầu tiên: một gói cơ bản đội lên gấp nhiều lần ngay khi SSO xuất hiện trên đó. Danh sách dài vì chiến lược đó có hiệu quả.

Nó hiệu quả nhờ thời điểm người mua cần tính năng. Chẳng ai đi khảo giá SSO vào một buổi chiều thảnh thơi. Bạn cần nó đúng lúc đội bảo mật của một khách hàng lớn đặt nó thành điều kiện ký hợp đồng, hoặc đúng tuần kiểm toán viên SOC 2 của chính bạn hỏi bạn kiểm soát truy cập thế nào. Bạn cần nó khi đang chạy đua với hạn chót, với một hợp đồng hoặc một chứng chỉ đang treo lơ lửng, và bạn cần nó ngay. Đó là thời điểm người mua ít nhạy cảm về giá nhất, và bảng giá được dựng lên quanh đúng thời điểm ấy. Mức phụ trội chưa bao giờ được tính theo chi phí biên của việc triển khai SAML, vốn gần bằng không. Nó được tính theo mức độ ít ỏi của thế thương lượng mà bạn còn lại vào ngày rốt cuộc bạn cần đến nó.

Đó mới là hình hài thật của cái người ta gọi là thuế SSO. Không phải giá đặt lên một tính năng. Là giá đặt lên một hạn chót.

Con hào thực sự được làm bằng gì

Vậy vị thế đó phòng thủ tốt đến đâu? Con hào mà những tên tuổi lâu năm nắm giữ là có thật, nhưng nó được làm từ hai vật liệu riêng biệt, và chúng không chắc chắn như nhau.

Thứ nhất là độ phức tạp. SAML cũ, nhưng không hề dễ triển khai cho tử tế. Kiểm chứng chữ ký, chuẩn hóa XML, assertion mã hóa, metadata xoay vòng, cùng cái đuôi dài những điểm dị biệt mà mỗi nhà cung cấp danh tính lại làm một kiểu: làm cho tất cả những thứ đó đúng và an toàn xưa nay tốn hàng tuần công sức của chuyên gia, và là mảnh đất màu mỡ sinh lỗi bảo mật khi làm sai. SCIM còn thêm bề mặt của riêng nó. Xây một lần đã là khoản đầu tư thật sự. Xây để chạy với mọi IdP mà khách hàng của bạn có thể mang tới, rồi vận hành ổn định, là con hào đủ rộng để đỗ hẳn một công ty phía sau.

Vật liệu thứ hai là niềm tin. Đội bảo mật của doanh nghiệp phải chấp nhận lớp danh tính của bạn, và điều đó nghĩa là SOC 2, kiểm thử xâm nhập, bề dày hoạt động, một công ty năm năm nữa vẫn còn tồn tại, và một người để gọi lúc hai giờ sáng khi liên kết danh tính hỏng. Không đoạn mã thông minh nào đi tắt được chỗ này. Nó được xây bằng thời gian, và là nửa khó hơn hẳn của con hào.

Suốt hai mươi năm, hai nửa đó củng cố lẫn nhau, và bảng giá đối xử với chúng như một khối không thể tách rời. Chúng không phải một khối.

Nửa con hào đang bị AI rút cạn

Đây là chỗ đã thay đổi. Nửa phức tạp của con hào ấy, xét cho cùng, là bài toán kiến thức và nhân công: các giao thức được đặc tả kỹ và tài liệu dồi dào, nhưng đấu nối chúng cho đúng thì cần chuyên môn hiếm, đắt, và rất nhiều giờ công. Đó đúng là loại bài toán mà trợ lý lập trình AI làm tốt. Một chuẩn đã ổn định, hai mươi năm tuổi, có sẵn nhiều bản triển khai tham chiếu công khai, gần như là trường hợp lý tưởng nhất cho chúng. Công việc trước đây cần một chuyên gia danh tính làm cả tháng nay ngày càng chỉ cần một kỹ sư đủ giỏi cộng một trợ lý tốt trong một tuần.

Hãy cẩn thận với chuyện điều đó bào mòn cái gì và không bào mòn cái gì. Nó không chạm được vào nửa niềm tin. AI không đưa cho bạn chứng nhận SOC 2, không đưa cho bạn uy tín về bảo mật hay một ca trực đêm, và nếu có tác động gì thì cơn lũ mã xác thực do máy sinh ra chỉ làm cho một nhà cung cấp đã được kiểm định và tôi luyện thực chiến thêm giá trị, chứ không kém đi. Nhưng với nửa phức tạp thì nó vung cả cưa máy. Điều đó quan trọng, vì bảng giá vốn lặng lẽ tựa vào cả hai nửa cùng lúc. Khi triển khai SAML thôi là một con hào và trở thành việc của một cuối tuần, "chỉ có ở gói Enterprise" không còn là phát biểu về thứ khó xây nữa. Nó là phát biểu về thứ nhà cung cấp chọn để thu tiền. Khoảng cách năng lực đang thu hẹp nhanh hơn mức bảng giá chịu thừa nhận.

Một đội nhỏ đem cho không những tính năng bị đánh thuế

Chúng tôi là một điểm dữ liệu trong lập luận đó. Authagonal là một đội nhỏ, và SSO, SAML, SCIM không phải món bán thêm của chúng tôi; chúng nằm ở gói miễn phí, không giới hạn số kết nối, tối đa 250 người dùng hoạt động mỗi tháng, không cần thẻ. Các gói trả phí bắt đầu từ 29 đô la một tháng và mọi bậc đều mang đúng bộ tính năng ấy. Hãy đặt nó cạnh giá thị trường cho đúng năng lực đó: WorkOS tính SSO khoảng 125 đô la mỗi kết nối mỗi tháng và SCIM thêm 125 nữa; Clerk cho bạn một kết nối, sau đó khoảng 75 đô la cho mỗi kết nối tiếp theo; Auth0 tặng kèm một kết nối miễn phí tới 25.000 người dùng, rồi đẩy SSO chạy thật sang dòng sản phẩm doanh nghiệp đắt hơn. Chúng tôi rẻ hơn không phải vì tìm ra mẹo gì. Chúng tôi rẻ hơn vì tính năng ấy gần như không tốn gì để cung cấp, và chúng tôi từ chối định giá nó như thể nó khan hiếm.

Chẳng điều nào ở trên có nghĩa là các ông lớn sắp sụp. Nửa niềm tin trong con hào của họ là thật, và họ đã bỏ ra hai thập kỷ để dựng nó. Nhưng câu chuyện rằng xác thực doanh nghiệp đắt vì nó khó ngày càng khó kể mà giữ được vẻ mặt nghiêm túc, đúng vào lúc những công cụ khiến nó dễ đang đến tay tất cả mọi người. Để thấy các tính năng này đáng giá bao nhiêu khi bạn thôi trả thuế, bảng giá của chúng tôi đặt từng tính năng một vào cùng một gói, còn công cụ tính thuế SSO sẽ tính đúng cấu hình của bạn và so với các nhà cung cấp vẫn còn thu tiền cho nó.