Zluri vs Torii: Segurança de Identidade ou Governança de IA para a Sua Stack de SaaS em 2026?

Por Camellia · Atualizado em 9 de setembro de 2026

Você é IT director ou head of identity em uma empresa com algo entre 250 e 2.000 funcionários, e Zluri e Torii entraram na sua lista de finalistas. Isso não é coincidência. O dimensionamento da própria Zluri pende para a ponta maior dessa faixa e o do Torii para a ponta menor, o que significa que, se o seu quadro de funcionários está no meio, você está bem na zona em que qualquer um dos fornecedores atenderá a ligação com prazer. Nenhum dos dois dirá quanto a ligação custa antes de você fazê-la, e cavar mais fundo não vai revelar uma tabela de preços. As duas páginas de preços existem apenas para encaminhar você a uma pessoa, e as duas mudaram discretamente, no último ano, o que de fato estão vendendo.

Eis o veredito antes do detalhe. A Zluri é a stack mais profunda de identidade e governança e, por isso, mais pesada de operar. O Torii é a ferramenta mais rápida de implantar, construída em torno de descoberta com múltiplos sinais e de um construtor de workflows que a sua própria equipe consegue operar sem engenheiro, e agora está voltado para a governança de IA, e não para a segurança de identidade. Escolher entre os dois é, na prática, escolher uma direção de produto para dois anos, e não uma lista de recursos, porque as duas empresas estão reconstruindo ativamente o que "gestão de SaaS" significa para elas. Como o nosso panorama de plataformas de gestão de SaaS já mapeia onde esses dois se situam diante do restante da categoria, esta página fica estritamente nos dois: para o que cada um é de fato construído hoje, como cada um encontra seus apps, quão profunda é a governança, em que arquitetura você está realmente entrando e como obter uma cotação que possa ser comparada com honestidade, em vez de adivinhar.

TL;DR

A tabela acima é o formato da decisão, não a decisão inteira. Ela não diz se uma empresa que compra três módulos da Zluri acaba pagando mais ou menos do que uma que compra os três produtos do Torii, porque nenhum dos dois fornecedores imprime essa conta em lugar público. É isso que o restante desta página examina, seção por seção.

Fatos Principais

• As organizações deixam em média 36% de suas licenças de SaaS sem uso, e o gasto mediano com SaaS por funcionário é de $9.455, segundo o SaaS Management Index 2026 da Zylo.
• A inflação de preços de SaaS chegou a 16,4% em junho de 2026, aproximadamente quatro vezes os 4,2% do CPI dos EUA na época, segundo o Vertice SaaS Inflation Index. A Vertice vende negociação de SaaS, portanto leia isso como um índice de fornecedor, e não como pesquisa neutra.
• O Torii afirma na própria página inicial ter sido "eleito Líder no Gartner Magic Quadrant de julho de 2026 para SaaS Management Platforms" e diz ter ajudado clientes a "reduzir custos em 25%", segundo o Torii. Não verificamos essa colocação no relatório em si; portanto, trate-a como alegação do Torii, e não como fato confirmado de forma independente, e não presuma nada sobre a posição de qualquer outro fornecedor nesse mesmo relatório.
• A Zluri alega "mais de 1.500 ações automatizadas" para remediação no ISPM na própria página inicial, segundo a Zluri, um dado sobre até onde a automação de governança dela vai além do simples desprovisionamento.

Para Que Cada Plataforma Realmente É Construída

As duas empresas começaram no mesmo lugar: um inventário dos apps de SaaS que a sua empresa realmente usa. Ambas já construíram bem além disso, e o que construíram além disso é a história de verdade.

A página de preços da Zluri nomeia seis itens. O IVIP (Identity Visibility and Intelligence) é a camada de descoberta e inventário, a parte que responde "quais apps e identidades existem". O IGA reúne quatro capacidades distintas sob um só nome: Access Management (quem tem o quê), Access Requests (como novos acessos são concedidos), Access Reviews (recertificação periódica dos acessos existentes) e Segregation of Duties (garantir que nenhuma identidade acumule uma combinação de permissões que crie conflito de interesses). O ISPM (Identity Security Posture Management) é a camada de remediação e hardening, a que carrega a alegação de "mais de 1.500 ações automatizadas", presumivelmente coisas como revogar permissões em excesso, encerrar contas inativas e sinalizar acessos mal configurados antes que um auditor os encontre. O SMP, a Plataforma de Gestão de SaaS original, é o módulo que antes era o produto inteiro e agora é uma linha entre cinco. O IRIS (Identity Risk Intelligence System) é nomeado como uma camada de risco sobre o restante, embora a própria página de preços da Zluri não detalhe sua mecânica além do nome, então não vamos especular além disso. Um Universal Identity Connector une os cinco em um único modelo de dados. A gestão de SaaS agora é um módulo de apoio, não a manchete.

A página de preços do Torii nomeia três. O IGA é uma adição recente ao portfólio, e a página do Torii não o divide em subcapacidades como a da Zluri faz, então não podemos afirmar com segurança se ele cobre segregation of duties ou apenas solicitações e revisões de acesso. O SMP continua descrito como App Discovery, Savings and Renewals, o que merece uma pausa: essa formulação junta uma tarefa de gestão de gastos (economia e renovações) ao mesmo módulo da descoberta, algo que a lista de módulos da Zluri não nomeia em nenhum dos seus cinco. O terceiro é um produto autônomo de AI Management construído em torno de quatro capacidades nomeadas: descoberta de apps e projetos de IA (encontrar quais ferramentas e projetos de IA existem), acompanhamento do consumo de tokens (quanto do uso de cada modelo está sendo gasto e por quem), uso e gastos de IA por departamento (atribuir esse custo a um centro de custo) e relatórios de taxas de adoção e ROI (se o gasto com IA está de fato produzindo uso mensurável).

Direção do Produto: Segurança de Identidade vs Governança de IA

Nenhuma das duas empresas se contenta em continuar sendo uma plataforma de gestão de SaaS, e elas não estão se ampliando na mesma direção.

A página inicial da Zluri abre com "Identity Security for Autonomous Enterprises", um enquadramento que cobre explicitamente identidades humanas e não humanas, segundo a Zluri. Contas de serviço, chaves de API e identidades de máquina são nomeadas ao lado das pessoas, o que indica para onde a empresa espera que vá o investimento em engenharia dos próximos anos: mais fundo em quem e o que pode acessar os seus sistemas, não apenas em quais apps existem.

A aposta mais nova do Torii é diferente. O seu produto AI Management é construído para descobrir apps e projetos de IA, acompanhar o consumo de tokens e reportar uso e gastos de IA por departamento, taxas de adoção e ROI. Também é um problema de governança, mas é governança de gastos e de uso sobre uma categoria de ferramentas em rápido crescimento, não segurança de identidade no sentido da Zluri.

As duas direções também apontam para orçamentos diferentes e para pessoas diferentes assinando o contrato, o que importa mais do que parece quando as compras entram em cena.

Comprar qualquer uma das plataformas hoje é comprar essa direção, e não apenas a lista de recursos de hoje. Quem quer uma plataforma de gestão de SaaS que continue sendo uma plataforma de gestão de SaaS verá os dois fornecedores redefinindo discretamente o que essa expressão significa, só que para fins diferentes. Nenhuma das redefinições está errada, e nenhuma é marketing neutro: segurança de identidade e governança de IA são, neste momento, linhas de orçamento reais e em crescimento, e cada empresa está se reposicionando em direção àquela que acredita que financiará seus próximos anos de crescimento. Esse é um contexto útil para você como comprador, porque significa que o módulo de que você não precisa hoje, o IRIS do lado da Zluri ou o AI Management do lado do Torii, é exatamente aquele em que cada empresa tem mais incentivo para fazer você entrar com o tempo.

Descoberta: Como Cada Uma Encontra Seus Apps

Os famosos números de descoberta da Zluri, as contagens de integrações e os tamanhos de biblioteca de apps que muitos comparativos mais antigos ainda repetem, não são publicados no site da Zluri hoje, e os próprios posts do blog da Zluri discordam entre si quanto aos valores. Em vez de repetir um número instável, é mais útil comparar os dois pelo método de descoberta, que se mantém estável entre as fontes.

Ambas cobrem essencialmente a mesma lista de métodos, o que significa que a lista de métodos em si não é a decisão. Cada método também captura uma fatia diferente da sua pegada real de apps, algo que vale saber antes de presumir que "descoberta" significa uma coisa só:

O que acontece depois da descoberta é onde as duas plataformas realmente divergem: o sinal alimenta um workflow de governança de identidade (Zluri) ou um workflow de economia, renovação e gasto com IA (Torii)? Nenhum dos dois produtos substitui o próprio provedor de identidade; ambos ficam sobre um. Se você ainda está escolhendo essa camada de base, nosso guia de alternativas ao JumpCloud trata dessa decisão separadamente.

Governança, Access Reviews e Offboarding

A descoberta diz o que existe. A governança diz quem ainda deveria poder tocar nisso e o que acontece no instante em que essa resposta muda, que é a metade mais difícil e de maiores consequências de toda esta categoria. É aqui que as duas plataformas realmente divergem em profundidade, e não apenas em nomes de módulos.

Os módulos IGA e ISPM da Zluri, juntos, cobrem solicitações de acesso, access reviews, verificações de segregation of duties e remediação automatizada, com a empresa alegando "mais de 1.500 ações automatizadas" para remediação no ISPM na própria página inicial, segundo a Zluri. Esse é um programa de governança de verdade, do tipo que uma equipe de identidade ou segurança conduz continuamente, e não um dashboard que você confere uma vez por trimestre.

A força do Torii está uma camada ao lado, em usabilidade e não em profundidade de política. O construtor de workflows é explicitamente uma ferramenta no-code, pensada para que alguém de operações de TI, e não um engenheiro, configure o que acontece quando o RH marca um funcionário como desligado: revogar o acesso em apps nomeados, reatribuir arquivos, notificar o responsável pelo app e registrar tudo. O módulo IGA do Torii é novo, então não teve anos para amadurecer como a stack de identidade da Zluri.

Ajuda percorrer o mesmo evento, a saída de um funcionário, e ver onde cada plataforma de fato age:

Repare no que falta do lado da Zluri nessa tabela: uma etapa nomeada de tratamento de arquivos e dados. Isso não significa que a Zluri não consiga mexer em arquivos, apenas que a página de preços dela não o nomeia como capacidade distinta, como faz com access reviews ou segregation of duties. Se reatribuir automaticamente os arquivos e documentos de um funcionário que sai é um requisito específico seu, pergunte diretamente, em vez de presumir que o texto de marketing de qualquer das plataformas cobre isso.

Integrações e Arquitetura

A escolha arquitetural por trás de cada produto importa tanto quanto a lista de módulos.

A Zluri nomeia um Universal Identity Connector na página de preços, uma tentativa explícita de ter uma camada unificadora entre IVIP, IGA, ISPM, SMP e IRIS. A página de preços do Torii, por contraste, vende IGA, SMP e AI Management como três produtos nomeados, em vez de apontar uma camada conectiva única anunciada entre eles.

Uma arquitetura de conector único como a da Zluri é conveniente enquanto você permanece dentro dos cinco módulos, mas também significa que mais da sua lógica de acesso passa a viver dentro da camada de conector de um único fornecedor. Os três produtos vendidos separadamente do Torii são mais fáceis de adotar aos poucos, um de cada vez, mas isso espalha o trabalho de integração por três modelos de dados de produtos em vez de uma camada universal anunciada. Nenhum formato é objetivamente melhor; é uma troca entre risco de consolidação (um fornecedor concentrando mais do seu grafo de identidade) e custo de integração (costurar três compras por conta própria).

Essa troca também aparece no modo como as conexões de cada fornecedor se comportam com o tempo. Um modelo de conector universal tende a ficar mais rico quanto mais módulos você compra do mesmo fornecedor, já que cada novo módulo pode reaproveitar o contexto de identidade que os outros já reuniram. Um modelo modular, produto a produto, tende a ser mais simples de raciocinar módulo a módulo, mas você depende da integração interna do próprio Torii entre IGA, SMP e AI Management, em vez de uma camada anunciada fazendo esse trabalho por você. Pergunte diretamente a cada fornecedor como os módulos compartilham dados entre si; é uma pergunta justa de due diligence e nenhuma das páginas de preços a responde.

Se o que você realmente precisa é de um registro único de hardware, software, responsáveis e renovações, e não de uma camada de identidade, nenhuma das duas é essa ferramenta. Nosso guia de software de gestão de ativos de TI cobre essa categoria à parte.

Preços: Por Que Nenhuma das Duas Publica, e Como Obter uma Cotação Comparável

zluri.com/pricing oferece apenas "Schedule a personalized discovery session". Não há plano, valor nem duração de trial na página. toriihq.com/pricing tem o mesmo formato: nomeia seus três produtos, mas não publica valores, duração de trial nem condições de cobrança. Os dois fornecedores esperam uma conversa antes de um número, o que é comum em software de identidade e governança em geral, onde o preço tende a acompanhar a superfície de risco e a complexidade das políticas, e não um valor fixo por licença que se possa consultar.

Nem a Zluri nem o Torii explicam como essa conversa se transforma em cotação, mas um par próximo da categoria explica. A própria página de preços da BetterCloud afirma com clareza que seu preço "reflete a contagem de licenças, os apps conectados, os módulos escolhidos e quaisquer add-ons", segundo a BetterCloud. É um proxy razoável de como toda esta categoria precifica, mesmo que a BetterCloud não seja o fornecedor desta página: contagem de licenças, apps conectados e seleção de módulos são as alavancas, e não um preço por licença que se possa consultar antecipadamente.

Duas empresas hipotéticas tornam isso concreto. A primeira tem 1.800 funcionários, uma equipe de identidade de duas pessoas e um calendário de compliance que já exige access reviews trimestrais. Para essa empresa, a lista de módulos ao entrar na ligação com a Zluri provavelmente é IVIP mais IGA mais ISPM no mínimo, já que access reviews e remediação são um requisito declarado, não um item opcional. A segunda tem 380 funcionários, nenhuma pessoa dedicada a identidade e um responsável de operações de TI que se preocupa sobretudo com as ferramentas de IA que três equipes diferentes assinaram sem avisar ninguém. Para essa empresa, a ligação com o Torii é na verdade sobre o SMP, para a descoberta de apps, e o AI Management, para a visibilidade do gasto com IA, com o IGA sendo uma pergunta secundária e não o motivo da ligação. Nenhuma das duas empresas deveria entrar na ligação do outro fornecedor pedindo a mesma lista de módulos; a própria lista de finalistas já deveria ser diferente antes de o preço entrar na conversa.

Entre em qualquer das ligações com isto preparado:

O que de fato faz o número subir ou descer, em termos gerais, já que nenhum dos fornecedores imprime uma tabela própria:

Além da lista de módulos, um conjunto curto de perguntas na própria ligação costuma separar uma cotação utilizável de um número de marketing:

Depois de saber a lista de módulos, detalhe o pedido antes da ligação, e não durante ela. Passe cada fornecedor pelo mesmo intake que a sua equipe usaria em qualquer compra sob cotação, semelhante a um checklist de due diligence de fornecedores, e estruture a própria comparação como você conduziria uma RFP de SaaS, para que "a Zluri cotou mais" ou "o Torii cotou menos" signifique algo, em vez de comparar dois escopos diferentes.

Implantação e Gestão de Mudanças

A implantação de qualquer das plataformas costuma passar pelas mesmas etapas: conectar as fontes de descoberta, revisar o que for sinalizado, desenhar a política ou o workflow que age sobre isso, ligar a automação e monitorar. Onde as duas diferem é em quanto tempo leva chegar a "ligar a automação". Os cinco módulos da Zluri significam mais tipos de identidade e políticas a sequenciar antes de a remediação automatizada ser segura de ativar; em geral você não quer o ISPM revogando acessos automaticamente antes de as access reviews do IGA terem rodado ao menos uma vez, de modo que os módulos têm uma ordem natural, e mais lenta, de operação. O construtor de workflows do Torii consegue chegar a essa etapa mais rápido para o caso específico de offboarding, já que é uma ferramenta mais estreita e feita sob medida, e não uma stack de identidade completa, embora as adições mais novas, IGA e AI Management, não tenham tido anos para acumular os mesmos playbooks de implantação que o produto original de descoberta.

A carga de treinamento segue o mesmo padrão. Uma implantação da Zluri normalmente significa treinar um especialista em identidade ou segurança em desenho de políticas do IGA e regras de remediação do ISPM, trabalho que pressupõe alguma familiaridade prévia com conceitos de governança de acesso. Uma implantação do Torii normalmente significa treinar um generalista de operações de TI na lógica de regras do construtor de workflows, uma curva de aprendizado mais rasa por desenho, mais uma rampa separada e menor para quem, em finanças ou TI, acabar usando os relatórios do AI Management.

Risco, Governança e Continuidade do Fornecedor

Como os dois fornecedores trabalham sob cotação, você também não vê como cada um precifica a renovação nem o que acontece com seus dados se a relação terminar. Isso não é hipotético nesta categoria: a Productiv, um nome bem financiado no mesmo espaço de gestão de SaaS, avisou os clientes em 2 de agosto de 2026 que encerraria as operações em 6 de agosto, com os dados das contas excluídos assim que o acesso terminasse, segundo o guia de migração publicado pela 1Password. Quatro dias de aviso, numa plataforma que guardava anos de histórico de uso. Nem a Zluri nem o Torii são a Productiv, mas a lição se generaliza: pergunte sobre portabilidade de dados e prazos de aviso antes de assinar, não depois, e trate o silêncio de um fornecedor sob cotação sobre os termos de renovação como uma pergunta a fazer na ligação, e não como uma suposição a aceitar.

Há um segundo risco, mais discreto, específico deste par: quanto mais fundo qualquer das plataformas se embute nos seus workflows de identidade, mais ela se torna um sistema de registro de quem tem acesso a quê. Esse é exatamente o objetivo de comprá-la, mas também significa que trocar de fornecedor depois não é como trocar uma ferramenta de descoberta. Significa replataformar o seu histórico de access reviews, as suas regras de segregation of duties e (para a Zluri, especificamente) o seu inventário de identidades não humanas. Pergunte a cada fornecedor, em linguagem simples, como é de fato uma exportação desse histórico e se ela é utilizável fora da plataforma deles ou efetivamente presa a ela.

Algumas das alegações que cada fornecedor faz merecem ser citadas, mas apenas com atribuição, já que nenhuma foi verificada de forma independente:

Quando a Zluri É a Escolha Certa

• Você quer governança de identidade e descoberta de SaaS sob uma só arquitetura, em vez de costurar dois produtos, e está confortável em chamar isto de compra de segurança de identidade, e não apenas de gestão de SaaS.
• Identidades não humanas, contas de serviço, chaves de API, agentes, já são hoje um problema real de governança para você, e não um problema futuro. A Zluri nomeia isso na própria página inicial como alvo de primeira classe, ao lado das identidades humanas.
• Você tem, ou está ativamente montando, uma equipe de identidade ou segurança capaz de assumir o desenho de políticas de IGA, as access reviews e as regras de segregation of duties, porque esse é trabalho operacional contínuo, e não um dashboard que se olha de relance uma vez por trimestre.
• A remediação automatizada importa mais para você do que a descoberta pura de quantidade de apps. A própria alegação da Zluri de mais de 1.500 ações automatizadas no ISPM sinaliza para onde foi o investimento em engenharia, e é o tipo de profundidade que uma ferramenta de descoberta mais leve não tentará igualar.
• O seu quadro de funcionários fica na ponta alta da faixa de 250 a 2.000, ou acima dela. O dimensionamento da Zluri pende para organizações maiores, e a stack de cinco módulos tende a fazer mais sentido quando há escala suficiente para justificar o custo operacional.
• Você prefere consolidar visibilidade de identidade, governança e gestão de postura sob um só conector a operar três ou quatro ferramentas pontuais que são donas cada uma de uma fatia dos mesmos dados de identidade. O Universal Identity Connector é a proposta da Zluri para exatamente essa consolidação.

Se a profundidade de identidade é mais do que você precisa agora, ou se o processo sob cotação não se encaixa no seu ciclo de compra, nosso guia de alternativas à Zluri cobre o restante do campo de descoberta e governança.

Quando o Torii É a Escolha Certa

• Você quer que alguém de operações de TI, não um especialista em segurança e não um engenheiro, consiga montar e manter um workflow de offboarding sem abrir um chamado para outra equipe.
• Seu ponto cego mais urgente é a proliferação de ferramentas de IA especificamente: quais apps e projetos de IA existem, quantos tokens estão consumindo e qual departamento está pagando por eles. Isso agora é um produto dedicado do Torii, e não um recurso lateral encaixado na descoberta.
• Você quer uma plataforma que possa apontar para um reconhecimento independente de analistas, ao menos como argumento no seu próprio business case interno. O Torii afirma ter sido eleito Líder no Gartner Magic Quadrant de julho de 2026 para SaaS Management Platforms, tratado aqui como alegação do próprio Torii, e não como algo que confirmamos de forma independente.
• O seu quadro de funcionários fica entre a parte baixa e o meio da faixa de 100 a 2.000. O dimensionamento do Torii pende para menos que o da Zluri, e um caminho de adoção mais leve, módulo a módulo, tende a servir melhor a uma equipe de operações de TI mais enxuta.
• Você prefere comprar gestão de SaaS agora e acrescentar governança depois a assumir um roadmap completo de segurança de identidade desde o primeiro dia, especialmente se a sua função de segurança ainda não tem equipe para tocá-lo.
• Você quer que o trabalho de economia e renovações fique na mesma ferramenta que descobre os seus apps, em vez de comprar uma plataforma separada de gestão de gastos sobre uma plataforma separada de descoberta. O módulo SMP do Torii nomeia as duas tarefas juntas.

Se descoberta mais um construtor de workflows mais leve não é bem suficiente, ou se você prefere comparar mais do campo antes, nosso guia de alternativas ao Torii cobre o conjunto mais amplo de plataformas focadas em descoberta.

Estrutura de Decisão

Nenhuma dessas linhas substitui a própria ligação. São uma forma de entrar nela já sabendo quais perguntas importam para a sua situação, em vez de deixar qualquer das equipes comerciais definir a pauta. Se mais de uma linha se aplicar a você, isso é normal e não sinal de que o framework está quebrado; em geral significa apenas que a resposta honesta é colocar as duas na lista de finalistas, fazer às duas as mesmas perguntas de intake da seção de preços e deixar que as duas cotações (e o modo como cada fornecedor responde às perguntas sobre renovação e portabilidade de dados) decidam, e não a lista de módulos sozinha.

O Que Fazer a Seguir

Antes de fazer qualquer das ligações, anote qual dos dois produtos você está de fato comprando: uma plataforma de segurança de identidade que por acaso inclui descoberta de SaaS, ou uma plataforma de descoberta de SaaS que está começando a incluir governança de IA. Essa única frase, decidida de antemão, vai poupar você de uma demo que silenciosamente vende o roadmap do fornecedor em vez de responder à sua pergunta. Depois solicite cotações detalhadas por módulo, e não por nome de produto, e submeta os dois fornecedores à mesma lista de intake da seção de preços acima, incluindo as perguntas sobre renovação e portabilidade de dados.

Uma sequência curta e concreta: escreva primeiro a sua lista de módulos, com base em qual problema de governança está de fato custando tempo hoje. Agende as duas ligações na mesma semana, para que a comparação aconteça com os detalhes frescos e não com semanas de distância. Faça aos dois fornecedores as mesmas perguntas de renovação e exportação de dados, com as mesmas palavras, e anote as respostas em vez de confiar na memória. Só então compare as duas cotações lado a lado, módulo a módulo, e não como um número agrupado contra outro.

Se o que você realmente precisa for gestão de dispositivos, e não governança de identidade ou de apps, essa é uma comparação inteiramente diferente; nosso artigo Jamf vs Intune cobre essa decisão nos termos dela.