Prevents falling behindBuilding blockEstablished

Ory

Ory Corp (EU-Vertretung: Ory Germany GmbH, München) ·www.ory.com· As of: 2026-07-30

Sign-in, registration, sessions, multi-factor and access rights have to work in every product with more than one user. Ory supplies that layer either as a hosted service or as open source servers you run yourself.

Work through this tool with an AI

ClaudeChatGPTPerplexity

Our verdict

An identity layer wins no business. Without one you end up building it on the side and carry session bugs, password hashes and login weaknesses as a permanent drag. With one you are still not distinguishable. Enterprise sign-in over SAML or OpenID Connect opens doors in sales, but it opens the same doors for every competitor who offers it too. The edge sits behind the login, not in it.

Evidence:As of 2026-07-30Plans, free limits, usage prices and enterprise-only featuresOpen sourceAs of 2026-07-30ISO 27001, SOC 2 Type 2, encryption, access logging, trust centreOpen sourceAs of 2026-07-30Choice of storage region for personal data, global replication of operational dataOpen sourceAs of 2026-07-30Data processing agreement with standard contractual clauses, dated 24 March 2025Open sourceAs of 2026-07-30Controller Ory Corp in the USA, Ory Germany GmbH as EU representativeOpen sourceAs of 2026-07-30Export of identities including hashed credentials through the admin APIOpen sourceAs of 2026-07-30Core under Apache-2.0, Hydra and Kratos as open source serversOpen sourceAs of 2026-07-30Event streams only for enterprise contractsOpen source

Who it fits

Solo

suitable with caveats

The free plan has no production environment. Going live means either 770 US dollars a year or running the open source servers yourself, trading licence cost for operating effort.

Mid-market

suitable

770 US dollars a year plus usage stays predictable for a product with a few hundred daily active users, and storing personal data in the EU carries no surcharge.

Enterprise

suitable with caveats

Exactly the items enterprise procurement asks for sit behind an enterprise contract with no public price: one-click SAML sign-in, unlimited organisations, readable event streams and the 99.99 percent uptime commitment.

Buy, switch or build

Off-the-shelf

Bought identity platform

Auth0, Okta or Entra ship login screens, an admin console and compliance evidence out of the box. Getting started is faster because you build no interface. You pay with per-active-user pricing that rises exactly when your own product succeeds, and with a data store you only leave at some cost.

AI-native

No AI-native replacement, but a new neighbourhood

There is no AI-native replacement for the identity layer itself. Something else is new: identities for agents and services. Anyone running AI processes inside their own product has to grant them rights that can be traced and revoked one by one. Ory addresses this with machine tokens and permission checks in the same product. That extends the category, it does not replace it.

Build it yourself

Build the login yourself

It looks harmless at the start: a user table, a password hash, a session cookie. The continuation is what costs, meaning multi-factor, account recovery, device changes, passkeys, SAML for enterprise customers and review by other people's security teams during procurement. Building it yourself only holds up when the login is the product.

Our advice

  • Solo: Self-host or take the production plan, but do not build it yourself.
  • Mid-market: Buy, pick EU storage when creating the project and watch the usage lines every month.
  • Enterprise: Buy, but pin down SAML, event streams and storage region in writing before signing.

Who is behind it

Staying power: Funded

Venture funded. The most recent publicly documented round is a Series A extension in April 2024; we found no Series B. The counterweight is the Apache-2.0 open source core, which keeps running even if the vendor were to shut the hosted network down.

  • Series A: USD 22.5 million led by Insight Partners, with Balderton Capital and In-Q-Tel, December 2021As of 2026-07-30insightpartners.com/…Open source · As of 2026-07-30
  • Most recent documented round: USD 5 million Series A extension, April 2024As of 2026-07-30ory.com/blog/series-a-extensionOpen source · As of 2026-07-30
  • Open source core: Hydra and Kratos under Apache-2.0, around 17,400 and 13,800 stars on GitHubAs of 2026-07-30github.com/ory/hydraOpen source · As of 2026-07-30
  • Certifications: ISO 27001 and SOC 2 Type 2As of 2026-07-30ISO 27001, SOC 2 Type 2, encryption, access logging, trust centreOpen source · As of 2026-07-30
  • Legal entity: Ory Corp, Scottsdale, Arizona, USA, with Ory Germany GmbH, Karlsplatz 3, Munich, as the EU representativeAs of 2026-07-30Controller Ory Corp in the USA, Ory Germany GmbH as EU representativeOpen source · As of 2026-07-30
  • Commercial register: Ory Germany GmbH, Munich local court (Amtsgericht München), HRB 246729As of 2026-07-30northdata.com/Ory%20Germany%20GmbH,%20M%C3%BCnchen/HRB%20246729Open source · As of 2026-07-30
  • Operating scale per vendor claim: 3.3 billion identities under management, customers including OpenAI and Mistral AIAs of 2026-07-30ory.comOpen source · As of 2026-07-30

Cost of leaving: Low

The way out leads into the same software. Identities can be read out through the admin API including hashed credentials, the configuration exported through the command line, and both loaded into a self-hosted Kratos. What remains is not a data problem but an operating one: database, upgrades and on-call duty then sit with your own team.

Regulation and data

How to read the traffic lightHow to read the traffic lightThe traffic light rates how well a point is evidenced, not how good the tool is. It draws only on the value, note and source held in the profile. Where a statement is missing, it rates the absence, not a guess. A well-reasoned "unclear" on a point that matters little for this tool is yellow. A missing source on a point that decides whether you can use it at all is red.documented, no condition attacheddocumented, tied to a conditiondocumented, but unfavourableopen on a point that decides usability
Data processing agreementScale for this point: Data processing agreementdocumented, no condition attached: Auftragsverarbeitungsvertrag öffentlich abrufbar und ohne weitere Bedingung Bestandteil des Vertrags; oder er entfällt nachvollziehbar begründet, weil kein Anbieter Kundendaten verarbeitet.documented, tied to a condition: Vertrag existiert, ist aber an einen Tarif gebunden, nur nach Anfrage einsehbar oder allein in den Nutzungsbedingungen geregelt statt als eigenes Dokument.documented, but unfavourable: Kein Auftragsverarbeitungsvertrag im üblichen Sinn: entweder weil der Anbieter für das Kerngeschäft eigenständig Verantwortlicher ist und stattdessen eine andere Konstruktion gilt, oder weil öffentlich offen bleibt, ob überhaupt einer angeboten wird.open on a point that decides usability: Weder ein Vertrag noch ein dokumentierter Weg zu einem Vertrag; der Einkauf hätte nichts, worauf er sich stützen kann.documented, no condition attachedpublicly available data processing agreement with standard contractual clauses, as of 24 March 2025As of 2026-07-30Data processing agreement with standard contractual clauses, dated 24 March 2025Open sourceThe document is openly available as a PDF. Whether it is incorporated automatically or has to be signed is not stated on the page.As of 2026-07-30
Storage locationScale for this point: Storage locationdocumented, no condition attached: EU-Speicherort ohne Zusatzkosten und ohne Tarifbindung, oder der Ort ist vollständig selbst bestimmbar, weil das Werkzeug im eigenen Betrieb läuft.documented, tied to a condition: EU-Speicherort möglich, aber an einen Tarif, einen gesondert zu aktivierenden Zusatz oder einen Umzug in eine getrennte Umgebung gebunden; oder die EU-Region ist nicht die Voreinstellung.documented, but unfavourable: Kein EU-Speicherort, der Ort ist aber eindeutig benannt, sodass die Folgen bewertbar sind.open on a point that decides usability: Der Speicherort ist öffentlich nicht benannt oder vom Kunden nicht steuerbar, sodass sich die Verarbeitung nicht verorten lässt.documented, tied to a conditionEU selectable for personal data, operational data replicated globallyAs of 2026-07-30Choice of storage region for personal data, global replication of operational dataOpen sourceThe region is chosen when the project is created and is included in the Production and Growth plans. Operational data such as session and permission checks is globally replicated per the vendor. The Global and US Continental options are reserved for enterprise customers.As of 2026-07-30
SubprocessorsScale for this point: Subprocessorsdocumented, no condition attached: Vollständige öffentliche Liste der Unterauftragnehmer mit Zweck und Land; oder es gibt keine, weil das Werkzeug im eigenen Betrieb läuft.documented, tied to a condition: Liste existiert und ist benannt, aber nur nach Anfrage oder nach Zugang zu einem Vertrauensportal einsehbar, oder sie nennt Zweck und Land nicht vollständig.documented, but unfavourable: Keine geführte Liste; namentlich stehen nur einzelne Dienste in der Datenschutzerklärung, überwiegend solche der eigenen Website.open on a point that decides usability: Weder eine Liste noch eine Nennung der Verarbeiter des Produkts, und kein dokumentierter Weg, sie zu erfahren.documented, tied to a conditionunclearAs of 2026-07-30trust.ory.comOpen sourceWe found no public subprocessor list for the hosted network. The trust centre requires an access request, and the privacy policy names only website-related services such as PostHog, HubSpot, Sanity and Cloudflare.As of 2026-07-30
Third-country transferScale for this point: Third-country transferdocumented, no condition attached: Keine Übermittlung in ein Drittland, oder die Übermittlung findet statt und die Grundlage ist benannt und im Vertrag verankert, etwa Standardvertragsklauseln, Angemessenheitsbeschluss oder EU-US-Datenschutzrahmen.documented, tied to a condition: Übermittlung findet statt, eine Grundlage ist genannt, aber ohne Zuordnung, welcher Empfänger auf welcher Grundlage arbeitet.documented, but unfavourable: Übermittlung findet statt und die eigenen Unterlagen widersprechen sich, oder die genannte Grundlage bezieht sich erkennbar nur auf einen Randbereich wie die Marketing-Website.open on a point that decides usability: Übermittlung findet erkennbar statt und eine Grundlage wird nirgends genannt.documented, no condition attachedUnited States, standard contractual clauses included in the data processing agreementAs of 2026-07-30Controller Ory Corp in the USA, Ory Germany GmbH as EU representativeOpen sourceThe controller is Ory Corp in Scottsdale, Arizona. Ory Germany GmbH in Munich is named as the EU representative, not as the contracting party. The DPA carries standard contractual clauses in its file name.As of 2026-07-30
Training on customer dataScale for this point: Training on customer datadocumented, no condition attached: Vertraglich oder in der Datenschutzerklärung ausdrücklich ausgeschlossen, mit Erstreckung auf die eingesetzten Modellanbieter; oder es gibt keine Datenübertragung an einen Anbieter.documented, tied to a condition: Ausschluss ab einem bestimmten Tarif, oder die Zusage steht nur auf einer Dokumentationsseite statt im Vertrag, oder die Frage stellt sich für das Werkzeug sachlich kaum und der Anbieter schweigt dazu.documented, but unfavourable: Nutzung ist die Voreinstellung und nur ein Widerspruch beendet sie; oder der Anbieter trainiert eigene Modelle auf bereinigten Kundendaten.open on a point that decides usability: Keine Aussage, obwohl das Werkzeug KI-Funktionen auf Kundeninhalten betreibt.documented, tied to a conditionunclearNeither the security page nor the privacy policy states whether customer data from the hosted network is used to train models. Since the product offers agent identity features, the question belongs in contract talks.no source given · As of 2026-07-30
Retention and deletionScale for this point: Retention and deletiondocumented, no condition attached: Löschfristen nach Vertragsende beziffert und die Löschung oder Rückgabe zugesagt; oder die Fristen bestimmt der Betreiber selbst, weil das Werkzeug im eigenen Betrieb läuft.documented, tied to a condition: Löschung ist zugesagt, die Fristen sind aber nur teilweise beziffert, oder Sicherungskopien sind ausdrücklich ausgenommen.documented, but unfavourable: Nur der Grundsatz der Erforderlichkeit ohne jede Frist nach Vertragsende, oder Fristen sind allein für Randbereiche wie Website-Protokolle genannt.open on a point that decides usability: Keine Aussage zu Aufbewahrung und Löschung.documented, but unfavourableunclearThe security page names encrypted backups and a regular backup strategy but no retention periods. The privacy policy covers retention only for website data, not for identities in the hosted network. Deleting a single user is covered by a documented API.no source given · As of 2026-07-30
CertificationsScale for this point: Certificationsdocumented, no condition attached: Mehrere anerkannte Nachweise, benannt mit Norm, Fassung und Geltungsbereich, und bezogen auf den Anbieter selbst.documented, tied to a condition: Ein anerkannter Nachweis für den Anbieter belegt, der Bericht aber nur auf Anfrage, oder der Nachweis hängt an einem Tarif, oder der Geltungsbereich bleibt teilweise offen.documented, but unfavourable: Nur pauschale Nennung ohne Norm-Fassung und Geltungsbereich, oder bloße Selbstauskunft, oder die Nachweise gehören dem Infrastrukturanbieter statt dem Anbieter, oder der Prüfzeitraum ist erkennbar veraltet, oder die eigenen Angaben widersprechen sich.open on a point that decides usability: Kein Nachweis genannt und keine Sicherheits- oder Vertrauensseite vorhanden.documented, no condition attachedISO 27001 and SOC 2 Type 2 held by the vendor, PCI DSS also namedAs of 2026-07-30ISO 27001, SOC 2 Type 2, encryption, access logging, trust centreOpen sourceThe SOC 2 report is not published but handed out on request through the trust centre. Encryption is stated as AES-256 at rest and TLS 1.2 or higher in transit, plus third-party penetration testing.As of 2026-07-30
EU AI Act, Article 50Scale for this point: EU AI Act, Article 50documented, no condition attached: Der Anbieter macht eine belegte Aussage, die die eigene Pflicht trägt, etwa Modelldokumentation und Zertifizierung nach ISO/IEC 42001; oder das Werkzeug enthält nachvollziehbar begründet kein KI-System im Sinne der Verordnung.documented, tied to a condition: Der Anbieter äußert sich zur Verordnung oder ordnet die eigene Funktion ein, eine benannte Zusage zu den Transparenzpflichten aus Artikel 50 fehlt aber; oder das Werkzeug enthält kein KI-System, das gegenüber Menschen auftritt, und der Anbieter schweigt.documented, but unfavourable: Das Produkt enthält KI-Funktionen, der Anbieter schweigt dazu oder trägt ein Selbstetikett ohne Nachweis; die Kennzeichnung ist vom Betreiber aber selbst setzbar.open on a point that decides usability: KI spricht im Produkt unmittelbar mit Endkunden und der Anbieter sagt zu Artikel 50 nichts; die Kennzeichnung lässt sich ohne Zusage des Anbieters nicht sicher setzen.documented, tied to a conditionunclearWe found no vendor statement on the transparency duties under Article 50. The service produces no content towards end users, so the duty would fall on the operator of the application rather than on the identity layer beneath it.no source given · As of 2026-07-30
Audit loggingScale for this point: Audit loggingdocumented, no condition attached: Nachvollziehbares Protokoll über Zugriffe und Änderungen in allen Tarifen enthalten, mit benannter Frist und Ausleitung in eigene Systeme; oder die Nachvollziehbarkeit liegt vollständig in eigener Hand, weil das Werkzeug im eigenen Betrieb läuft.documented, tied to a condition: Protokoll vorhanden, aber an einen höheren Tarif oder einen kostenpflichtigen Zusatz gebunden, oder die Ausleitung fehlt in den unteren Stufen; Reichweite und Frist sind benannt.documented, but unfavourable: Protokolle sind nur anbieterseitig beschrieben, oder Reichweite und Frist bleiben offen, sodass sich Nachweispflichten nicht planen lassen.open on a point that decides usability: Öffentlich nicht belegt, ob der Kunde überhaupt ein auswertbares Protokoll erhält.documented, tied to a conditionaccess is logged, readable event streams only under an enterprise contractAs of 2026-07-30Event streams only for enterprise contractsOpen sourceThe security page states that all access is logged for audit and incident analysis. Reading those events yourself or piping them into your own systems requires an enterprise contract per the documentation.As of 2026-07-30

What it really costs

Entry price

The developer plan is free but has no production environment, one member and two development environments. Production starts at 770 US dollars a year with a 21 US dollar monthly credit, one production and three staging environments. Self-hosting carries no licence fee under Apache-2.0.As of 2026-07-30Plans, free limits, usage prices and enterprise-only featuresOpen source

As of 2026-07-30

What gets expensive

Usage, not the base fee. Fourteen cents per average daily active user per month, where the included 21 US dollar credit covers roughly 150 of them by arithmetic. On top of that 0.007 US dollars per machine token and 0.000090 US dollars per permission check. The next plan jumps to 9,350 US dollars a year, and whatever enterprise procurement demands sits behind an enterprise contract with no public price.

What it displaces

  • Home-grown user management
  • Login platform priced per active user

Interfaces

  • REST APIs for administration and for the application itself
  • OAuth 2.0 and OpenID Connect through Ory Hydra
  • SAML through Ory Polis
  • Ory command line tool for configuration and projects
  • Event streams into your own systems, enterprise contract only

Matching methods

  • The Five Animals: ACV-to-GTM ModelThe model assigns each contract size its own route to market, and from the enterprise tier upward the deal hangs on SAML or OpenID Connect login, which Ory brings as a ready-made layer.
  • Minimizing Need-to-BelievesThe method removes open assumptions from the buying decision, and questions about session security, multi-factor and permissions drop off the list once a vetted identity layer sits underneath instead of one built on the side.

Sources

  1. 1.Plans, free limits, usage prices and enterprise-only features (opens in a new tab)ory.com/pricing · As of 2026-07-30
  2. 2.ISO 27001, SOC 2 Type 2, encryption, access logging, trust centre (opens in a new tab)ory.com/security · As of 2026-07-30
  3. 3.Choice of storage region for personal data, global replication of operational data (opens in a new tab)ory.com/docs/security-compliance/personal-data-location · As of 2026-07-30
  4. 4.Data processing agreement with standard contractual clauses, dated 24 March 2025 (opens in a new tab)ory.com/legal/dpa · As of 2026-07-30
  5. 5.Controller Ory Corp in the USA, Ory Germany GmbH as EU representative (opens in a new tab)ory.com/legal/privacy · As of 2026-07-30
  6. 6.Export of identities including hashed credentials through the admin API (opens in a new tab)ory.com/…/export-user-accounts-identities · As of 2026-07-30
  7. 7.Core under Apache-2.0, Hydra and Kratos as open source servers (opens in a new tab)ory.com/open-source · As of 2026-07-30
  8. 8.Event streams only for enterprise contracts (opens in a new tab)ory.com/docs/actions/live-events · As of 2026-07-30
  9. 9.insightpartners.com/… (opens in a new tab)As of 2026-07-30
  10. 10.ory.com/blog/series-a-extension (opens in a new tab)As of 2026-07-30
  11. 11.github.com/ory/hydra (opens in a new tab)As of 2026-07-30
  12. 12.northdata.com/Ory%20Germany%20GmbH,%20M%C3%BCnchen/HRB%20246729 (opens in a new tab)As of 2026-07-30
  13. 13.ory.com (opens in a new tab)As of 2026-07-30
  14. 14.trust.ory.com (opens in a new tab)As of 2026-07-30

Last reviewed: 2026-07-30 by Dr. Oliver Gausmann, Convios GmbH

Details out of date? Let us know.

← Back to the toolbox