"OccupySaaS": Kỹ sư bị sa thải dùng AI viết lại các nền tảng SaaS đắt đỏ

Một phong trào có tên OccupySaaS vừa xuất hiện, quy tụ các kỹ sư bị sa thải trong các đợt cắt giảm nhân sự công nghệ, cùng nhau xây dựng phiên bản mã nguồn mở thay thế cho những nền tảng SaaS mà doanh nghiệp phải trả tiền theo từng người dùng. Hai dự án đầu tiên nhắm vào Auth0 và Salesforce, công bố theo giấy phép Apache-2.0 và có thể tự lưu trữ.

Điểm đáng chú ý là toàn bộ quá trình được thực hiện theo phương pháp clean room (phòng sạch): không rò rỉ, không dịch ngược, không sao chép mã nguồn của bất kỳ ai, mà chỉ dựa trên tài liệu API công khai và các chuẩn mở để tái tạo.

Khi hóa đơn SaaS trở thành "trạm thu phí"

Thông điệp trung tâm của OccupySaaS khá rõ ràng: phần mềm được xây bởi số đông phải thuộc về số đông.

"Năm 2011, Occupy Wall Street đặt câu hỏi nền kinh tế thực sự phục vụ ai. Năm 2026, chúng tôi đặt câu hỏi tương tự với điện toán đám mây."

Phong trào nêu ba bất mãn chính:

• Giá theo đầu người là một thứ thuế lên tăng trưởng: mỗi nhân viên mới, mỗi thực tập sinh, mỗi cộng tác viên đều là một dòng chi phí mới.
• Khóa nhà cung cấp không phải là tính năng: API độc quyền, rào cản xuất dữ liệu và các đợt tăng giá bất ngờ khiến khách hàng khó rời bỏ.
• Hàng triệu kỹ sư bị sa thải trong khi các nền tảng vẫn tăng trưởng: nhóm này vẫn biết cách làm sản phẩm, và nay họ làm công khai.

Phương pháp: phòng sạch, AI, tương thích thay thế

Quy trình của OccupySaaS gồm bốn bước được công bố minh bạch:

1. Viết đặc tả từ tài liệu công khai — tham chiếu API công khai, các chuẩn mở như OAuth 2.0, OIDC, REST và hành vi của SDK đã phát hành được chuyển thành đặc tả có thể kiểm thử.
2. Dựng "bức tường lửa" giữa người viết đặc tả và người viết mã — mỗi kho mã đều có tệp CLEAN_ROOM.md quy định, kèm ghi nhận nguồn gốc cho từng tài liệu tham chiếu.
3. Dùng AI agent hiện thực hóa — hợp đồng API (openapi.yaml) trước, rồi đến mã, rồi đến kiểm thử, với con người duyệt ở mọi lần hợp nhất mã nguồn.
4. Chứng minh tương thích — phòng thí nghiệm chạy chính SDK công khai của nhà cung cấp gốc đối chiếu với máy chủ mới. Nếu mã hiện có của khách hàng không chạy được mà không sửa gì, dự án chưa hoàn thành.

Danh sách những gì được phép và không được phép đưa vào khá nghiêm ngặt. Được phép dùng tài liệu API công khai, chuẩn mở, hành vi SDK công khai và kết quả kiểm thử hộp đen. Không được dùng mã nguồn rò rỉ hoặc độc quyền, tệp nhị phân đã dịch ngược, thông tin mật từ công ty cũ hay tài sản giao diện và nhãn hiệu được sao chép.

Hai dự án đầu tiên: ZeroAuthy và SalesCompel

ZeroAuthy nhắm thay thế Auth0. Đây là máy chủ định danh tự lưu trữ, nói cùng giao thức của Auth0 Authentication API. Chỉ cần trỏ SDK Auth0 hiện có sang tên miền tenant của ZeroAuthy là chạy được mà không cần sửa mã.

• Hỗ trợ OIDC discovery, JWKS và tên miền đa tenant
• Trang đăng nhập có sẵn, luồng authorization code + PKCE
• client_credentials, refresh token xoay vòng, thu hồi token và đăng xuất
• Đã kiểm chứng với auth0-spa-js, auth0-react và nextjs-auth0
• Hỗ trợ SQLite, PostgreSQL, MySQL; plugin gRPC

SalesCompel nhắm thay thế Salesforce, với lõi Go/PostgreSQL cô lập theo tenant và trình soạn bản ghi viết bằng Vue. Dự án cung cấp CRUD cơ bản cho Account và Contact, mô tả đối tượng, truy vấn giới hạn, upsert theo External ID, xác thực bearer, cùng hợp đồng REST OpenAPI 3.2 và phòng thí nghiệm kiểm thử offline.

Cả hai đều ở giai đoạn đầu và công khai mời cộng đồng đóng góp. Trang chủ còn liệt kê các mục tiêu tiếp theo đang được đề xuất: tài liệu và wiki nội bộ, quản lý issue, cờ tính năng, quan sát hệ thống (observability) và help desk chăm sóc khách hàng.

Vì sao chọn Go?

Nhóm phát triển giải thích lựa chọn Go bằng tính di động: dự án Go biên dịch thành một tệp nhị phân độc lập, nên tự lưu trữ chỉ là việc thả một tệp lên máy chủ hoặc vào container Docker/Podman — không cần bộ cài, không cần môi trường chạy, không phải đồng bộ thư viện chia sẻ. Cùng một công cụ biên dịch chéo được cho Linux, macOS, Windows, x86 và ARM.

Họ cũng để ngỏ khả năng có phiên bản Rust: đặc tả, hợp đồng API và bộ kiểm thử tương thích đều trung lập về ngôn ngữ, nên một bản chuyển sang Rust hoàn toàn có thể kiểm chứng bằng cùng bộ SDK.

Câu hỏi về tính pháp lý và tính sẵn sàng

OccupySaaS khẳng định việc tái hiện theo phương pháp phòng sạch là cách làm hợp pháp đã có từ lâu: chỉ dùng thông tin công khai và tự viết mã độc lập, còn việc tương tác với một API không đồng nghĩa với sao chép sản phẩm. Trang web ghi rõ họ không liên kết, không được bảo trợ bởi Auth0, Okta hay Salesforce, và tên sản phẩm chỉ dùng để mô tả khả năng tương thích. Tất nhiên, đây không phải tư vấn pháp lý.

Về mức độ sẵn sàng cho môi trường sản xuất, câu trả lời là chưa. Cả hai dự án đều ở giai đoạn đầu, README nêu rõ tính năng nào đang chạy được. Chi phí sử dụng bằng không, toàn bộ phát hành theo Apache-2.0, được phép chạy, fork và bán dịch vụ quanh đó.

Góc nhìn cho độc giả Việt Nam

Với các doanh nghiệp Việt Nam đang phải chi những khoản không nhỏ cho giấy phép SaaS tính theo đầu người, đặc biệt trong bối cảnh tỷ giá và chi phí công nghệ ngày càng được siết chặt, các dự án kiểu này đáng để theo dõi. Tuy vậy, cần lưu ý đây là các dự án cộng đồng ở giai đoạn rất sớm, chưa có cam kết hỗ trợ chính thức hay đội ngũ bảo trì ổn định.

Việc tự vận hành một máy chủ định danh thay vì thuê ngoài cũng đặt lên vai doanh nghiệp trách nhiệm về bảo mật, sao lưu và cập nhật bản vá — bài toán mà không phải đội ngũ nào cũng sẵn sàng nhận. Dù vậy, sự xuất hiện của những phương án thay thế tương thích, miễn phí và minh bạch như thế này vẫn là tín hiệu tốt cho toàn bộ thị trường phần mềm.