Tailscale gratis: límites del plan Personal

¿Tailscale es gratuito? Sí, con el plan Personal

Tailscale es gratuito con el plan Personal. El nivel gratuito no tiene fecha de caducidad e incluye la mayor parte del producto. Limita cuántas personas pueden unirse a la red, no cuántas máquinas se pueden conectar. Según la página de precios de Tailscale, consultada el 10 October 2026, el plan Personal incluye seis usuarios, dispositivos de usuario ilimitados, 50 recursos etiquetados y acceso a casi todas las funciones.

Primero, dos términos. Un tailnet es la red privada: una cuenta, una lista de usuarios y un archivo de políticas. Un seat es una persona dentro de ese tailnet. Tailscale factura por seat, por lo que el recuento se basa en las personas. Este único dato determina si la configuración es gratuita.

Todas las cifras siguientes son valores publicados, junto con la fecha en que se comprobaron. Los precios y las cantidades incluidas pueden cambiar, así que confírmelos en la página de precios antes de elaborar un presupuesto. La estructura cambia mucho más lentamente, y esa estructura es la parte útil: se cuentan las personas y la infraestructura etiquetada, mientras que los planes de pago ofrecen capacidades adicionales, no un límite mayor de dispositivos. WireGuard, el protocolo de túnel subyacente, es el mismo en todos los planes, y qué añade Tailscale sobre WireGuard sin configurar explica esa diferencia.

Qué se considera un usuario y qué se considera un dispositivo

Cada máquina de un tailnet pertenece a algo. Inicie sesión con su propia identidad y la máquina le pertenecerá. Tailscale la denomina dispositivo de usuario, y la FAQ de precios lo expresa claramente: «Los dispositivos de usuario son gratuitos e ilimitados». Su portátil, teléfono, equipo de escritorio y tableta ocupan entre todos un asiento, no cuatro.

Si registra una máquina con una etiqueta, la máquina pertenece a esa etiqueta. Tailscale la denomina recurso etiquetado, y los recursos etiquetados son los que cuenta el plan. Los servidores y routers deben usar etiquetas, porque una máquina compartida no debería pertenecer a quien haya ejecutado el comando de inicio de sesión en ella. A fecha de 10 October 2026, el plan Personal incluye 50 recursos etiquetados, y la página de precios ofrece recursos adicionales por 1 US dollar al mes cada uno, mediante compra autónoma. Un VPS que realiza una tarea para todos pertenece a esta categoría, ya sea un router de subred que anuncia un rango privado o un nodo de salida que transporta tráfico saliente.

Asigne una etiqueta al servidor cuando se incorpore, para que nunca aparezca en el tailnet como una máquina que le pertenece:

curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up --advertise-tags=tag:server

tailscale status

tailscale status muestra el nodo junto con el propietario con el que se registró. La etiqueta ya debe existir en el archivo de políticas de su tailnet, en tagOwners, porque una etiqueta concede la propiedad y un nodo no puede reclamar una que nadie haya concedido. Si la etiqueta no figura en la política, el nodo no puede usarla.

Por eso el plan gratuito sorprende en ambos sentidos. Un homelab con treinta máquinas, todas iniciadas con su identidad, ocupa un asiento y es gratuito. Un equipo de cuatro personas en el que todos inician sesión ocupa cuatro de seis asientos, y sigue siendo gratuito. Doce personas no tienen acceso gratuito con ninguna cantidad de dispositivos, porque el límite cuenta a las personas.

Los recursos efímeros son la tercera categoría. Un nodo que se registra con una clave de autenticación efímera, como un runner de integración continua o un pod de Kubernetes, se elimina cuando se detiene y consume minutos de un cupo mensual en lugar de ocupar una plaza de recurso. A fecha de 10 October 2026, Personal y Standard tienen 1,000 de esos minutos al mes, y Premium tiene 10,000. Un nodo que permanece activo más de cuatro horas deja de contar como efímero y se convierte en un recurso etiquetado normal.

Hay otro detalle de facturación: un usuario invitado no ocupa un asiento hasta que usa el tailnet. La FAQ de precios indica que un usuario «no ocupa un asiento hasta que inicia sesión por primera vez en la consola de administración o autentica un dispositivo por primera vez». Puede enviar invitaciones con antelación sin pagar por las personas que nunca se incorporen.

Cuánto cuestan los planes de pago

[
  {
    "plan": "Personal",
    "usd_per_user_month": 0
  },
  {
    "plan": "Standard",
    "usd_per_user_month": 8
  },
  {
    "plan": "Premium",
    "usd_per_user_month": 18
  }
]

El plan Personal es gratuito. Standard cuesta 8 dólares estadounidenses por usuario y mes, y Premium cuesta 18, según los precios publicados el 10 de octubre de 2026. El precio de Enterprise se determina mediante una cotización del equipo de ventas, con cantidades de usuarios y límites personalizados. Standard y Premium eliminan el límite de usuarios. Por eso, para la mayoría de los equipos, el séptimo usuario es el motivo para empezar a pagar, no el cuadragésimo servidor. Para convertir esos precios de lista en una factura mensual real hay que sumar los puestos y los recursos etiquetados. Un desglose práctico de un hogar y un equipo de cinco personas muestra el cálculo para ambos casos.

Qué funciones están disponibles en un plan de pago

Estos son límites por función. Añadir máquinas no hace que cambie de plan. Escribir una política de acceso más compleja sí puede hacerlo.

Las listas de control de acceso (ACL), es decir, las reglas que determinan qué usuario puede acceder a qué máquina, lo muestran claramente. El archivo de política está disponible en todos los planes. El número de grupos que puede definir en él no.

[
  {
    "plan": "Personal",
    "acl_groups": 3
  },
  {
    "plan": "Standard",
    "acl_groups": 10
  },
  {
    "plan": "Premium",
    "acl_groups": 300
  }
]

Personal permite 3 grupos, Standard 10 y Premium 300. Un grupo es un conjunto de usuarios con nombre, por lo que esto establece realmente un límite sobre el nivel de detalle con el que puede dividir a los usuarios. Tres grupos cubren «yo», «familia» e «invitados». No cubren una empresa con departamentos.

Los demás límites, comprobados el 10 de octubre de 2026 en la página de precios y en la documentación de funciones de Tailscale:

• Usar su propio proveedor de identidad (IdP), es decir, el inicio de sesión único (SSO) con cualquier proveedor OIDC que ya administre, está disponible en todos los planes, incluido Personal. Tailscale retiró la restricción a los planes de pago en abril de 2024 y afirma que «SSO vuelve a estar disponible de forma gratuita para todos». La configuración de OIDC personalizado requiere demostrar que es propietario del dominio y utilizar un proveedor que cumpla sus requisitos técnicos, no un plan determinado. Lo que Standard añade en el ámbito de la identidad es SCIM, que aprovisiona automáticamente usuarios y grupos desde ese proveedor.
• La aprobación de dispositivos y las comprobaciones básicas de postura del dispositivo (sistema operativo y versión de Tailscale) están disponibles en todos los planes. Las integraciones de postura con herramientas de gestión de dispositivos móviles (MDM) y de seguridad de endpoints empiezan en Standard.
• Los roles de usuario avanzados, como administrador de facturación, administrador de TI y auditor, empiezan en Standard.
• Los registros de flujo de red empiezan en Premium, al igual que Tailscale SSH avanzado. Tailscale SSH básico está disponible en todos los planes, y la comparación de precios lo limita a un máximo de 5 hosts.

La grabación de sesiones SSH es el caso que conviene revisar con atención, porque demuestra que estos límites se establecen por función y no según el orden de los planes, y que pueden cambiar. La documentación de grabación de sesiones de Tailscale incluye la función basada en un grabador en los planes Personal y Enterprise, pero el 10 de octubre de 2026 la marca como obsoleta: Tailscale ya no la ofrece mediante tsrecorder, la asistencia para los usuarios existentes termina en agosto de 2027 y la documentación remite a Tailscale PAM. La página de precios agrupa la grabación de sesiones de SSH, Kubernetes y bases de datos en esa extensión de Privileged Access Management, que se adquiere por separado. Consulte la página actual antes de basar en ella un requisito de cumplimiento.

Por qué un tailnet gratuito muestra «Reached use limit»

La consola de administración muestra «Reached use limit» cuando el tailnet no puede admitir a otro usuario. La referencia del mensaje de Tailscale, consultada el 10 de octubre de 2026, indica tres causas: añadir más usuarios de los permitidos por el plan, una cuenta que no se actualizó correctamente después de cambiar de plan y una política de la organización que limita el acceso al tailnet. En Personal, la causa habitual es la séptima persona, porque el plan cuenta personas. Standard y los planes superiores no tienen límite de usuarios. Por tanto, en un plan de pago, el mensaje apunta a un problema de configuración de la cuenta y la solución documentada por Tailscale es contactar con su soporte. Si inicia sesión con un dominio corporativo, pregunte al administrador de TI si existe una política que restrinja los inicios de sesión en Tailscale. Ninguna de estas causas depende del número de portátiles y teléfonos conectados. Por eso, contar dispositivos cuando aparece este mensaje hace perder tiempo. Abra la consola de administración y cuente primero las cuentas de personas.

¿Necesitas un plan de pago para un relay DERP personalizado?

DERP (Designated Encrypted Relay for Packets) es la red de relays de Tailscale. Cuando dos nodos no pueden establecer una conexión directa a través de NAT (traducción de direcciones de red), su tráfico cifrado utiliza un servidor DERP como alternativa. Ejecutar tu propio relay DERP se configura en el archivo de políticas del tailnet, y la documentación de Tailscale sobre servidores DERP personalizados no establece ninguna restricción de plan a fecha de 10 October 2026. La misma página sigue marcando los servidores DERP personalizados como alpha.

Es importante precisar qué cambia con un relay personalizado, porque aquí es fácil confundir el relay con el self-hosting. Un servidor DERP personalizado mueve la ruta de datos alternativa a una máquina que administras. La ruta de control no cambia. El servidor de coordinación de Tailscale sigue almacenando las claves de tus nodos, tu archivo de políticas y tu lista de usuarios. Nunca almacena las claves privadas que descifran tu tráfico, por lo que qué obtiene realmente un atacante al tomar el control de ese servidor de coordinación es una cuestión más limitada de lo que parece inicialmente. Si quieres alojar esa parte en tu propio hardware, un relay no es la herramienta adecuada. Necesitas otro plano de control.

¿Cuándo tiene sentido un plano de control de Headscale autohospedado?

Headscale, el servidor de control de Tailscale de código abierto sustituye el servidor de coordinación por uno que usted ejecuta en un VPS (servidor privado virtual). Los clientes de Tailscale no cambian. Se conectan a su servidor en lugar del servidor de Tailscale, por lo que no tiene que comprar puestos ni existe un límite de usuarios.

Empiece por el coste, porque la diferencia es menor de lo que suele esperarse. Un puesto Standard cuesta 8 dólares estadounidenses al mes. Un VPS pequeño capaz de ejecutar un plano de control cuesta aproximadamente lo mismo que uno o dos puestos. Por tanto, el coste total no cambia de signo hasta que paga por varias personas, y nunca cambia de signo en un homelab individual, que ya era gratuito. El autohospedaje para ahorrar dinero en una red de cinco dispositivos no resulta rentable.

La decisión real es entre control y trabajo. Headscale mantiene la lista de usuarios y el archivo de políticas en una máquina que usted posee, en el país que elija y sin una cuenta del proveedor de por medio. Según la documentación del proyecto revisada el 10 de octubre de 2026, admite ACL y grants, etiquetas, enrutadores de subred, nodos de salida, MagicDNS, Taildrop, Tailscale SSH, registro de nodos mediante OpenID Connect (OIDC) y un servidor DERP integrado. Funnel y Serve figuran como funciones aún no compatibles, por lo que publicar un servicio con Serve o Funnel sigue dependiendo del plano de control propio de Tailscale por ahora. Tampoco hay registros de flujo de red, los grupos de OIDC no se pueden usar dentro de las reglas ACL y el proyecto está limitado por diseño a un único tailnet.

Estas son las tareas que asume:

• Usted se encarga de la disponibilidad del plano de control. Los túneles existentes siguen transportando tráfico durante un tiempo, porque los pares ya tienen las claves de los demás. Todo lo que requiere coordinación se detiene: los nodos nuevos no pueden registrarse, las claves que caducan no se pueden renovar y los cambios de política no llegan a los nodos.
• Usted se encarga de las actualizaciones. Headscale implementa un protocolo que los clientes de Tailscale modifican continuamente, por lo que su calendario de actualización depende de las nuevas versiones de los clientes y no de su propio calendario.
• Usted se encarga de la base de datos y de sus copias de seguridad. Si pierde ese estado, todos los nodos deben registrarse de nuevo.
• Usted se encarga de TLS (seguridad de la capa de transporte) en el endpoint público del servidor, porque los clientes acceden al servidor de control mediante HTTPS.

Ese es el coste real. Asúmalo cuando el motivo sea el control o cuando el número de usuarios haga poco conveniente el precio por puesto. No lo haga para ahorrar ocho dólares.

Un servidor NetBird autohospedado es la otra opción que se puede autohospedar. Incluye su propio plano de control, su propia gestión de identidades y su propia interfaz web, y está desarrollado como un producto, no como una reimplementación del servidor de control de otra empresa. Ambas opciones le dejan ejecutando un servicio del que depende su red. Decida primero que quiere operar uno y, después, elija.

FAQ

¿El plan gratuito de Tailscale es una prueba?

No. Personal es un nivel gratuito sin fecha de caducidad. Según la información comprobada el 10 de octubre de 2026, incluye seis usuarios, dispositivos de usuario ilimitados y 50 recursos etiquetados. También incluye casi todas las funciones, incluido el inicio de sesión único con su propio proveedor de identidad OIDC. No incluye las capacidades de los niveles de pago, como más grupos ACL, aprovisionamiento SCIM, roles de usuario avanzados y registros de flujo de red. Confirme las cifras actuales en la página de precios de Tailscale, porque los límites pueden cambiar.

¿Cuántos dispositivos puedo añadir con el plan gratuito de Tailscale?

Sus propios dispositivos son ilimitados. La FAQ de precios de Tailscale indica que los dispositivos de usuario, es decir, cualquier nodo que no tenga etiquetas, son gratuitos e ilimitados. Lo que se contabiliza son los recursos etiquetados: los servidores y routers que registra con una etiqueta. El plan Personal incluía 50 de estos recursos el 10 de octubre de 2026. Las guías antiguas que mencionan un límite de 20 o 100 dispositivos describen un modelo de precios anterior que ya no se aplica.

¿Por qué mi tailnet indica "Reached use limit"?

En Personal, la causa habitual es que haya una séptima persona, porque el plan cuenta personas y no máquinas. Tailscale también indica como posibles causas que una cuenta no se haya actualizado correctamente después de cambiar de plan y que una política de la organización restrinja el acceso. En un plan de pago, que no tiene límite de usuarios, póngase en contacto con Tailscale Support. Primero, cuente las cuentas de personas en la consola de administración. Los portátiles y teléfonos sin etiquetas no son la causa.

¿Headscale es más barato que pagar Tailscale?

Sólo cuando se superan unas pocas licencias de pago. Un VPS capaz de ejecutar Headscale cuesta aproximadamente lo mismo al mes que una o dos licencias Standard. Por tanto, una tailnet pequeña no ahorra dinero y una tailnet individual ya era gratuita. Headscale resulta rentable cuando quiere alojar el plano de control en hardware propio o cuando el número de usuarios hace poco conveniente el precio por licencia. El coste es operativo: actualizaciones que siguen las versiones de los clientes de Tailscale, copias de seguridad de la base de datos, un certificado TLS que debe renovar y ser la única persona capaz de resolver una interrupción del servicio.