Vercel купила open-source библиотеку авторизации, созданную взамен своей же

Библиотека, созданная чтобы свергнуть NextAuth, теперь принадлежит владельцу NextAuth

Better Auth — open-source библиотека авторизации для TypeScript, не привязанная к фреймворку, и многие разработчики выбирали именно её, потому что искали альтернативу собственному NextAuth/Auth.js от Vercel. Основатель Берекет Энгида выпустил первый релиз 28 сентября 2024 года, провёл проект через Y Combinator и раунд с участием Peak XV и более 50 бизнес-ангелов, а меньше чем через два года написал пост о том, что проект переходит в Vercel.

Его подача — облегчение, а не продажа. Переход в Vercel, пишет он, позволяет команде перестать «выстраивать стратегию вокруг монетизации» и вернуться к исходной миссии: помогать разработчикам владеть собственной авторизацией. Ключевое обещание: «Vercel разделяет нашу приверженность тому, чтобы авторизация оставалась открытой, независимой от фреймворка и платформы». В дорожную карту добавляется «Agent Auth Protocol» для агентных сценариев безопасности, построенный на инфраструктуре Vercel.

Одну деталь пост обходит стороной: Vercel уже владеет NextAuth (теперь Auth.js). После этой сделки одна компания контролирует обе самые популярные open-source библиотеки авторизации в экосистеме JavaScript.

Тред прочитал «переход в Vercel» как обратный отсчёт

Первый содержательный ответ сразу пошёл к теме вендорского замка. Full-stack веб-разработчик задал вопрос, которого избегал сам анонс:

«может ли Vercel дать какие-то гарантии, что не привяжет пакет к своему закрытому облачному сервису? тем более учитывая, что они уже владеют next-auth»

Он же назвал и лазейку для отступления: адаптеры баз данных Better Auth делают «переход на другого провайдера относительно простым». Именно это несколько человек тут же начали прикидывать.

Настроение треда затвердело в приговор всему жанру таких сделок. Разработчик, по его словам отказавшийся от Better Auth в своём последнем продукте, сформулировал это без обиняков:

«Открытый код больше не по-настоящему открыт. Это просто стадия перед поглощением»

Не все горевали. whalesalad, основатель проекта с поддержкой YC, отмахнулся от всей категории: «Авторизацию несложно сделать самому. Криптографию: не лезьте. Авторизация? Легче лёгкого». Несколько комментаторов указали на Keycloak, переданный CNCF в 2023 году, как на вендор-нейтральный запасной вариант, который никто не сможет купить из-под них.

Острее всего переживали те, кто уже в продакшне. Разработчик, только что встроивший Better Auth в новый продукт, написал, что «пора искать запасные варианты», добавив, что «всё, что [Vercel] сделала за последние несколько лет, превращается в запутанный беспорядок». Претензии касались не только сделки: разработчик, использовавший библиотеку для бэкенда мобильного приложения заметил, что спецификации OpenAPI «уделяют мало внимания, потому что упор делается на JS-фронтенд, а breaking changes в патч-версиях случаются чаще, чем у большинства пакетов».

Энгида ответил в треде, что Vercel была «моим главным источником вдохновения» и что сделка позволяет ему «снова полностью сосредоточиться на разработке». Всё напряжение — на одной странице: основатель видит команду, освобождённую для работы, а часть его пользователей видит обратный отсчёт до момента, когда «независимость от фреймворка и платформы» станет обещанием от той самой платформы, от которой они пытались остаться независимыми, а не гарантией против неё.