La connexion pour votre application.
Sur votre matériel.

La même version certifiée, sur votre matériel, sous licence annuelle.

Parlons de vos propres serveurs

Les connexions d'authentification unique (SSO) ne sont ni comptées ni facturées.

Scale · sur vos serveurs
La même version, sur votre matériel.
15 000 $ USpar an
utilisateurs illimités
SSO illimité
facturé annuellement

15 000 $ US par an par déploiement de production selon les conditions standard. Enterprise fait l'objet d'un devis par déploiement quand le contrat exige une livraison en environnement isolé, un dépôt du code source sous séquestre ou un soutien attitré avec un SLA. Ce que couvre la licence.

Instance hébergée, puis vos propres serveurs sous licence d'entreprise, puis environnement scellé ou isolé : votre PostgreSQL à chaque étape, et une sortie indiquant partir sans nous. HÉBERGÉ instance gérée · commencez ici le protocole ne change pas VOS SERVEURS même version · licence d'entreprise vos données ont toujours été à vous SCELLÉ / ISOLÉ nul besoin d'Internet public partez sans nous pg_dump · pg_restore · démarrage · aucune coopération requise
La même version à chaque étape. Vos utilisateurs, sessions et secrets dans votre propre PostgreSQL tout au long du parcours.

La licenceTests d'authentification des agentsAgents gérésMise en placeLa preuve

Ce qui se vend ici : la licence, sur devis par déploiement de production, et le mandat de mise en place qui la déploie. La plupart des premiers déploiements achètent les deux. Les tests d'authentification des agents font l'objet d'un devis séparé par contrat. Le dossier fournisseur est ce que la personne chargée de l'examen joint au sien.

La licence ne compte pas les connexions SSO. Team hébergé est à 299 $ US/mois à prix fixe avec utilisateurs illimités et connexions d'authentification unique (SSO) illimitées. Pourquoi nous fixons les prix ainsi est une note datée.

La même version, sur votre matériel.

L'artefact que vous exécutez est celui que nous exécutons : votre code client ne change donc pas quand le moteur se déplace.

L'artefact que vous exécutez est celui que nous exécutons. Partir ne dépend de personne.
même versionCe que nous hébergeons et ce que vous obtenez sous licence est la même version certifiée. Le code client ne change pas. Les requêtes sont identiques.aucune réécriture
filigraneChaque version d'entreprise porte un filigrane individuel : une copie divulguée peut donc être attribuée au client à qui elle a été remise.attribuable
licence hors ligneLa validité et l'expiration sont contrôlées sans appel réseau, avec blocage en cas d'échec : un jeton altéré empêche le démarrage plutôt que de dégrader silencieusement le fonctionnement.adapté aux réseaux isolés
aucun décompte de siègesLa licence ne compte ni utilisateurs, ni sessions, ni connexions SSO. Aucun compteur à rapporter, aucune régularisation au renouvellement, et rien à communiquer à nos serveurs.aucune mesure d'usage
votre PostgreSQLLes utilisateurs, les sessions et les secrets restent dans votre propre base de données, derrière une API /admin dont votre équipe détient la clé.source de vérité
Comment le prix est fixé. Deux niveaux. Scale à 15 000 $ US par an par déploiement de production, selon les conditions standard : clé de licence, accord accepté en ligne, soutien par courriel. Enterprise · sur devis, pour ce que les conditions standard ne couvrent pas : livraison en environnement isolé, dépôt du code source sous séquestre, attestation de filigrane, aide au questionnaire de sécurité, soutien attitré avec un SLA. Sur vos propres serveurs, c'est une licence, jamais un téléchargement gratuit : il n'y a pas d'édition communautaire.

Démontrez que votre intégration d'agents fonctionne avec le vrai fournisseur d'identité de votre client.

Vous connaissez le contrat qui bloque à l'examen de sécurité. On vous demande si votre SSO fonctionne avec leur fournisseur d'identité. Maintenant, une deuxième question s'ajoute : votre point de terminaison MCP fonctionne-t-il avec celui qu'ils utilisent, et l'agent obtient-il moins d'accès que la personne qui l'a envoyé?

Nous le testons et vous remettons la liste de ce qui échoue. Par contrat, par fournisseur d'identité. Nous dirigeons le banc d'essai vers deux éléments : votre serveur MCP et le serveur d'autorisation qu'utilise réellement votre client.

liaison au destinataireUn jeton créé pour le calendrier doit échouer au CRM.doit refuser
réduction de portéeL'agent devrait obtenir moins d'accès que la personne, pas le même accès.doit réduire
révocationVous révoquez. L'agent s'arrête-t-il?doit s'arrêter
enregistrement du clientVotre client peut encore enregistrer les clients d'une façon alors que votre pile en attend une autre.doit correspondre
l'échec discretLe jeton est émis, la connexion semble correcte, puis l'appel d'outil répond 401.ne doit pas arriver
De nouvelles exécutions, car la spécification évolueMCP a changé de version deux fois en un an, et le profil d'entreprise est arrivé le mois dernier. Chaque changement exige un nouveau test pour votre client. C'est ce pour quoi vous nous payez, pas une charge que vous devriez absorber.
Neutre par conceptionNous testons avec le fournisseur d'identité qu'utilise votre client, peu importe qui le vend. Nous conservons les particularités que nous trouvons chez chacun.
Ce que ce n'est pasNous ne vendons ni badge, ni certificat, ni note. Vous recevez un rapport à remettre à la personne qui fait l'examen de sécurité, et une nouvelle exécution quand la spécification évolue.
Comment le prix est fixé. Par contrat et par fournisseur d'identité, sur devis une fois la paire connue. Ce n'est pas un forfait choisi dans un tableau, et ce n'est pas inclus dans la licence. Dites-nous quel fournisseur d'identité bloque le contrat →

Le propre fournisseur d'identité de votre client décide quels agents accèdent à quoi.

Le profil MCP d'autorisation gérée par l'entreprise a été finalisé le 28 juillet 2026. Selon ce profil, le propre fournisseur d'identité de l'entreprise signe une autorisation qui dit : cet agent, au nom de cette personne, pour cette API. L'agent remet cette autorisation à Signet. Signet lit la décision et crée un jeton correspondant. Personne ne fait circuler de secret par locataire par courriel.

le fournisseur d'identité est enregistréIl doit déjà être enregistré ici pour l'organisation de ce client. Signet n'apprend jamais à qui faire confiance à partir de l'autorisation elle-même, et ne récupère jamais une clé vers laquelle elle pointe.configuré
la personne détient un siège actifElle doit exister ici et détenir un siège actif dans cette organisation. Retirez-la de l'organisation et ses agents perdent l'accès dans la même minute.appliqué
l'autorisation nomme l'APIUn champ de formulaire ne peut ni l'élargir, ni la restreindre, ni en inventer une.requis
la portée vient de l'autorisationRéduite à ce que le client a enregistré. Une autorisation sans attribut de portée n'obtient rien, jamais les valeurs par défaut du client.intersection
le jeton ne survit jamais à l'autorisationL'identifiant qui l'a autorisé fixe le plafond.borné
aucun jeton de renouvellement, jamaisPour continuer de fonctionner, l'agent présente de nouveau l'autorisation.aucun émis
Où en sont les preuves. Nous avons réalisé ceci selon la spécification finalisée. Nous testons chaque fournisseur d'identité à mesure qu'il active la fonctionnalité. Le premier fournisseur à livrer le profil d'entreprise ne l'a pas encore ouvert à tous les locataires : une capture d'un locataire commercial en service reste donc un travail à faire, pas une revendication. Lisez les preuves d'aujourd'hui pour ce qu'elles sont exactement : notre lecteur est correct face à un fournisseur d'identité signataire que nous exploitons nous-mêmes.
Une autre précision honnête. Deux des trois façons dont un client agent peut s'authentifier fonctionnent de bout en bout : un secret client partagé et un client dont l'identifiant est une clé de signature sans aucun secret partagé. La troisième figure dans ce que nous refusons de faire.

Des mandats définis. Des prix fixes.

Nous ne vendons pas des heures. Chaque mandat ci-dessous a un périmètre fixe et un prix fixe : le risque lié au calendrier nous revient, précisément le risque qu'un premier déploiement sur vos propres serveurs ne devrait pas porter.

Sprint de migration · deux semaines

15 000 $ US

  • Déployer Signet sur votre infrastructure
  • Migrer vos utilisateurs depuis le fournisseur actuel
  • Basculer une application
  • Remettre un guide d'exploitation qui appartient à votre équipe
Commencer ce mandat

Déploiement en entreprise · six semaines

45 000 $ US

  • Tout ce que comprend le sprint de migration
  • Connexions d'authentification unique (SSO) pour vos fournisseurs d'identité
  • Déploiement de la console d'administration pour vos exploitants
  • Transfert de la garde et aide au questionnaire de sécurité
Commencer ce mandat

Mandat de conseil · au mois

4 000 $ US/mois

  • Une personne-ressource attitrée qui connaît votre déploiement
  • Examen de l'architecture avant de développer dessus
  • Planification des mises à niveau avant chaque version
  • Résiliation à la fin de n'importe quel mois
Commencer ce mandat

Les prix couvrent le mandat, ce ne sont pas des estimations. Les déplacements et les licences de tiers que vous détenez déjà sont les seuls éléments faisant l'objet d'un devis séparé.

Il n'y a pas d'installateur. Le premier déploiement sur votre matériel se fait avec nous, et le sprint de migration correspond à ce travail, avec son prix. À mesure que les outils arrivent, cela devient un choix plutôt que la seule façon de commencer.

La preuve qu'une licence apporte.

La preuve est une habitude plutôt qu'un badge. Chaque version est mesurée avec une suite publique, la mesure est publiée avec elle et, quand Signet diffère volontairement, l'écart est nommé avec sa raison plutôt qu'exclu en silence. C'est ce qu'une licence apporte, et cela se vérifie sur l'instance devant vous plutôt que sur cette page.

L'attestation de compatibilité est l'une de ces mesures publiées. Le moteur est certifié par rapport à better-auth 1.6.23 : une série de tests de conformité différentielle de 280 / 280 avec un écart de compatibilité de 0, et séparément une exécution d'acceptation de bout en bout de 14 / 14, toutes deux consignées le 2026-07-22. Cette attestation couvre exactement 1.6.23 : les versions publiées après n'ont pas été rejouées, et nous ne sous-entendons pas une couverture que nous n'avons pas exécutée. Votre instance affiche sa propre attestation à /certification, depuis la même source que sa copie lisible par machine et en énonçant ce périmètre en entier : l'auditeur lit donc la version devant lui plutôt qu'une revendication sur cette page.

Périmètre. Le profil de compatibilité est un ensemble public de vérifications rejouables; les mêmes vérifications s'exécutent sur l'implémentation de référence better-auth et sur Signet, et l'écart est le nombre de vérifications que la référence réussit et auxquelles Signet échoue. Un écart de 0 signifie que, pour chaque vérification du profil, un client ne peut pas distinguer les deux. Cela ne signifie pas que toutes les routes de better-auth sont implémentées : le profil se limite à ce que ces vérifications exercent, et tout ce qu'elles n'exercent pas en est exclu. Posez-nous une question sur une route précise et nous vous dirons clairement si elle fait partie du profil.

Soyez votre propre émetteur.

Une instance sous licence est aussi un fournisseur OAuth 2.0 / OpenID Connect : d'autres applications peuvent connecter des utilisateurs avec votre instance, par le flux de code d'autorisation avec PKCE, et votre instance crée le id_token. Les jetons d'identité sont signés en EdDSA ou en RS256, selon le choix du client. Cela ne constitue pas une conformité complète à OIDC Core.

Aucun SLA hors contratLes forfaits Business et les accords d'entreprise précisent les objectifs de réponse par écrit. En dehors d'un contrat signé, aucun n'est offert ni sous-entendu.
Aucune certification par un tiers n'est revendiquéeNous ne détenons aucune attestation d'audit par un tiers et n'en sous-entendons aucune. Sur votre propre matériel, l'environnement de contrôle vous appartient. Notre part est documentée et, avec Enterprise, les ingénieurs qui développent Signet répondent directement à votre questionnaire de sécurité.
Limites d'exploitation non publiéesLe nombre maximal d'utilisateurs, le débit soutenu de requêtes et l'utilisation des ressources sous charge n'ont pas été mesurés : aucun chiffre de capacité n'est donc revendiqué ici. Quand ces limites comptent pour vous, elles ont leur place dans le contrat, mesurées avec votre charge de travail.

Commençons l'échange.

Dites-nous ce qui doit fonctionner sur vos propres serveurs et pour quand. Un ingénieur qui développe Signet le lit et y répond, et avec Enterprise, l'objectif de réponse est inscrit par écrit.

Parlons de vos propres serveurs Voir les tarifs du service hébergé