Thuế SCIM: cấp phát tài khoản là chuyện ống nước, không phải món hàng cao cấp
SCIM là giao thức kém hào nhoáng nhất trong lĩnh vực định danh. Nó là một REST API cho hồ sơ người dùng: tạo, cập nhật, vô hiệu hóa, được chuẩn hóa thành RFC 7644 để các directory và ứng dụng chỉ phải xây dựng nó đúng một lần. Khi đội IT của khách hàng kết nối directory Entra hay Okta của họ vào sản phẩm của bạn, SCIM chính là thứ khiến nhân viên mới xuất hiện trong ứng dụng của bạn ngay ngày đầu tiên và người nghỉ việc biến mất đúng ngày họ rời đi. Nó là đường ống nước theo nghĩa đen nhất: không ai trông coi, không ai nhìn thấy, và chỉ được chú ý khi nó vắng mặt.
Giá thị trường cho thứ ống nước này thật đáng kinh ngạc. WorkOS thu $125 mỗi tháng cho mỗi kết nối Directory Sync, cộng thêm $125 mỗi tháng cho mỗi kết nối SSO. Một SaaS có mười khách hàng enterprise, mỗi khách muốn bộ đôi tiêu chuẩn gồm đăng nhập cộng cấp phát tài khoản, sẽ phải trả $2,500 mỗi tháng trước khi một người dùng nào của họ kịp đăng nhập. Auth0 chơi chiêu kinh điển còn lại: gói miễn phí về lý thuyết có kèm một kết nối enterprise, nhưng các gói trả phí dành cho người dùng cuối lại tước hết các tính năng enterprise, đẩy bất kỳ ai thực sự cần chúng sang các gói B2B nơi kết nối là tiện ích mua thêm với giá khoảng $100 mỗi kết nối. Dù mang hình thù nào, thông điệp vẫn là một: cấp phát tài khoản nằm sau cánh cổng enterprise, cạnh SAML, và được tính tiền theo từng kết nối.
Vậy nên đáng để hỏi một kết nối SCIM tốn của nhà cung cấp bao nhiêu để vận hành. Về phía nhà cung cấp, một kết nối là một bearer token và một base URL. Lưu lượng chỉ là dòng chảy nhỏ giọt: một HTTP request khi ai đó gia nhập, một khi họ đổi nhóm hay đổi tên, một khi họ rời đi. Không fan-out, không đáng kể gì về compute, không có gì để kể về lưu trữ. Bản spec tồn tại chính xác là để việc triển khai chỉ tốn công một lần: một khi bạn đã xây /Users và /Groups với ngữ nghĩa PATCH, kết nối thứ hai trăm tốn đúng bằng kết nối thứ hai, tức là một dòng trong một bảng. $125 mỗi tháng cho mỗi kết nối không phải là bù đắp chi phí. Nó là một hàng rào phân khúc, dựng đúng chỗ khách hàng enterprise đang đứng, bởi vì khách hàng enterprise trả được. Chúng tôi đã tính hóa đơn đó ra tiền cho SSO rồi; SCIM là cùng một thứ thuế, thu ở trạm thu phí thứ hai.
Nhưng SCIM không phải SSO, và khác biệt nằm ở điều xảy ra khi bạn không trả tiền. Từ chối phí SSO thì việc đăng nhập tệ đi: nhiều mật khẩu hơn, bề mặt phishing rộng hơn, một phòng IT bực bội. Bất tiện, nhưng sống được. Từ chối phí SCIM thì quy trình offboarding gãy. Thông điệp quan trọng nhất mà SCIM từng chuyên chở là thông điệp nói rằng người này đã rời công ty, hãy vô hiệu hóa họ ở mọi nơi, ngay bây giờ. Không có nó, việc thu hồi tài khoản là một con người phải nhớ bấm qua trang quản trị của từng sản phẩm SaaS mà công ty dùng, đúng cái ngày ai đó bị đưa ra khỏi cửa, không được sót bước nào. Trên thực tế điều đó nghĩa là nhân viên cũ giữ tài khoản còn hoạt động trong nhiều ngày, đôi khi nhiều tháng. Kiểm toán viên hỏi về việc thu hồi tài khoản kịp thời trong mọi cuộc đánh giá SOC 2 và ISO 27001 là có lý do: tài khoản ngủ đông của một nhân viên đã rời đi, mật khẩu chưa đổi, là một trong những cửa ngõ xâm nhập lâu đời nhất.
Nghĩa là thu hồi tài khoản không phải một tính năng tiện lợi. Nó là một biện pháp kiểm soát bảo mật, và phí theo kết nối trên SCIM là tấm bảng giá gắn lên biện pháp đó. Hãy để ý rủi ro chạy về đâu khi người mua từ chối trả phí: chẳng về đâu ở phía nhà cung cấp cả. Nhà cung cấp vẫn vận hành đúng cùng một sản phẩm. Lỗ hổng mở ra ở phía khách hàng, trong cái checklist offboarding giờ đây phụ thuộc vào trí nhớ thay vì tự động hóa. Thu tiền cho SCIM là thu tiền cho ổ khóa của cánh cửa bạn đã bán.
Có một cách đơn giản để đọc bảng giá của bất kỳ nhà cung cấp nào: những thứ tốn tiền thật để vận hành thì được định giá theo mức sử dụng, còn những thứ chẳng tốn gì thì được định giá theo mức bạn có thể từ chối. Định giá theo người dùng hay theo MAU bám theo chi phí thực. Phí theo kết nối trên một giao thức chuẩn hóa bám theo đòn bẩy, và SCIM mang đòn bẩy lớn nhất, bởi các bảng câu hỏi bảo mật enterprise bắt buộc phải có nó. Người mua không thể nói không, và giá được đặt tương ứng. Đó là thuế SCIM: không phải phí cho một dịch vụ, mà là trạm thu phí đặt trên một yêu cầu tuân thủ.
Chúng tôi cho rằng dựng trạm thu phí là làm sai nghề. Authagonal bao gồm SCIM trong mọi gói, kể cả gói miễn phí, với số kết nối không giới hạn, y như SSO. Cấp phát tài khoản là chuyện ống nước. Chúng tôi thu tiền cho thứ thực sự khiến chúng tôi tốn kém, đó là người dùng hoạt động, còn cái công tắc tắt tài khoản của một người đã nghỉ việc trên mọi hệ thống thì không phải món hàng cao cấp. Đó là bổn phận.