Tailscale è gratis? Cosa include ogni piano

Tailscale è gratuito? Sì, con il piano Personal

Tailscale è gratuito con il piano Personal. Il livello gratuito non ha una data di scadenza e include la maggior parte del prodotto. Limita il numero di persone che possono entrare nella rete, non il numero di macchine che è possibile collegare. Verificata il 17 August 2026, la pagina dei prezzi di Tailscale indica per Personal sei utenti, dispositivi utente illimitati, 50 risorse con tag e accesso a quasi tutte le funzionalità.

Prima, due definizioni. Una tailnet è la rete privata: un account, un elenco di utenti e un file di criteri. Un seat è una persona all'interno della tailnet. Tailscale applica il prezzo per seat, quindi il conteggio riguarda le persone. Questo singolo dato determina se la configurazione è gratuita.

Ogni valore riportato di seguito è un numero pubblicato, con la data della verifica. Prezzi e limiti possono cambiare, quindi verificateli sulla pagina dei prezzi prima di definire un budget. La struttura cambia molto più lentamente, ed è l'aspetto più utile: vengono conteggiati utenti e infrastruttura con tag, mentre i piani a pagamento offrono funzionalità aggiuntive, non un numero maggiore di dispositivi. WireGuard, il protocollo del tunnel sottostante, è lo stesso in tutti i piani, mentre cosa aggiunge Tailscale a WireGuard senza configurazioni aggiuntive spiega questa distinzione.

Cosa si considera un utente e cosa si considera un dispositivo

Ogni macchina in una tailnet appartiene a qualcuno o a qualcosa. Se accedi con la tua identità, la macchina appartiene a te. Tailscale la definisce dispositivo utente e le FAQ sui prezzi lo dichiarano esplicitamente: "I dispositivi degli utenti sono gratuiti e illimitati". Il tuo portatile, il tuo telefono, il tuo desktop e il tuo tablet costituiscono un solo posto, non quattro.

Se invece registri una macchina con un tag, la macchina appartiene al tag. Tailscale la definisce risorsa con tag, ed è il numero di risorse con tag a essere conteggiato dal piano. I server e i router dovrebbero avere un tag, perché una macchina condivisa non dovrebbe appartenere alla persona che ha eseguito per caso il comando di accesso. Al 17 August 2026, il piano Personal include 50 risorse con tag; la pagina dei prezzi indica le risorse aggiuntive a 1 US dollar al mese ciascuna, acquistabili autonomamente. Un VPS che svolge un'attività per tutti rientra in questa categoria, sia che si tratti di un router subnet che pubblicizza un intervallo privato, sia di un exit node che gestisce il traffico in uscita.

Assegna il tag al server quando lo aggiungi, perché cambiare il proprietario in seguito richiede una nuova autenticazione del nodo:

curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up --advertise-tags=tag:server

tailscale status

tailscale status elenca il nodo insieme al proprietario con cui è stato registrato. Il tag deve già esistere nel file delle policy della tailnet, sotto tagOwners, perché un tag rappresenta un'autorizzazione di proprietà e un nodo non può assegnarsene uno che nessuno ha autorizzato. Se il tag non è presente nella policy, il comando viene rifiutato e il nodo non viene aggiunto.

Per questo il piano gratuito sorprende in entrambe le direzioni. Un homelab con trenta macchine, tutte con accesso eseguito usando il tuo account, occupa un solo posto ed è gratuito. Un team di quattro persone in cui tutti eseguono l'accesso occupa quattro posti su sei, ed è ancora gratuito. Dodici persone non rientrano nel piano gratuito, indipendentemente dal numero di dispositivi, perché il limite conta le persone.

Le risorse effimere costituiscono la terza categoria. Un nodo che si registra con una chiave di autenticazione effimera, ad esempio un runner di integrazione continua o un pod Kubernetes, si elimina quando si arresta e utilizza un pool mensile di minuti invece di occupare uno slot per le risorse. Il 17 August 2026, Personal includeva 1,000 minuti al mese e Premium ne includeva 10,000. Un nodo che rimane attivo per più di quattro ore smette di essere considerato effimero e diventa una normale risorsa con tag.

C'è un altro dettaglio di fatturazione: un utente invitato non occupa un posto finché non utilizza la tailnet. Le FAQ sui prezzi specificano che un utente "non occupa un posto finché non accede per la prima volta alla console di amministrazione o finché non autentica per la prima volta un dispositivo". Puoi inviare gli inviti in anticipo senza pagare per le persone che non accedono mai.

Quanto costano i piani a pagamento

[
  {
    "plan": "Personal",
    "usd_per_user_month": 0
  },
  {
    "plan": "Standard",
    "usd_per_user_month": 8
  },
  {
    "plan": "Premium",
    "usd_per_user_month": 18
  }
]

Il piano Personal è gratuito. Standard costa 8 dollari statunitensi per utente al mese, mentre Premium costa 18; entrambi i prezzi sono quelli pubblicati il 17 agosto 2026. Enterprise viene quotato dall’ufficio vendite, con numero di utenti e limiti personalizzati. I piani Standard e Premium rimuovono il limite al numero di utenti. Per la maggior parte dei team, quindi, il motivo per iniziare a pagare è il settimo utente, non il quarantesimo server.

Quali funzionalità sono disponibili solo nei piani a pagamento

Questi sono limiti sulle funzionalità. Aggiungere macchine non comporta il passaggio a un piano superiore. Scrivere una policy di accesso più complessa sì.

Le liste di controllo degli accessi (ACL), cioè le regole che stabiliscono quale utente può raggiungere quale macchina, lo mostrano chiaramente. Il file della policy è disponibile in tutti i piani. Non lo è invece il numero di gruppi che si possono definire al suo interno.

[
  {
    "plan": "Personal",
    "acl_groups": 3
  },
  {
    "plan": "Standard",
    "acl_groups": 10
  },
  {
    "plan": "Premium",
    "acl_groups": 300
  }
]

Personal consente 3 gruppi, Standard 10 e Premium 300. Un gruppo è un insieme di utenti con un nome, quindi questo limite stabilisce in pratica quanto dettagliatamente si possono suddividere gli utenti. Tre gruppi sono sufficienti per coprire "me", "famiglia" e "ospiti". Non sono sufficienti per un'azienda con più reparti.

Gli altri limiti elencati nella stessa pagina e verificati nello stesso giorno sono:

• L'uso di un proprio provider di identità (IdP), cioè il single sign-on (SSO) con un provider già in uso, è disponibile a partire da Standard. Personal consente l'accesso tramite i provider di identità consumer supportati direttamente da Tailscale.
• I log dei flussi di rete, l'approvazione dei dispositivi e i controlli dello stato dei dispositivi sono disponibili a partire da Standard.
• I ruoli utente avanzati sono disponibili a partire da Premium, così come Tailscale SSH avanzato. Tailscale SSH di base in Personal è limitato a 5 host.

La registrazione delle sessioni SSH merita un'analisi attenta, perché dimostra che questi limiti sono impostati per singola funzionalità e non in base all'ordine dei piani. La documentazione di Tailscale sulla registrazione delle sessioni elenca la funzionalità per i piani Personal ed Enterprise, mentre la pagina dei prezzi la raggruppa in un'estensione Privileged Access Management acquistabile separatamente. È inoltre necessario un nodo recorder gestito dall'utente, sul quale vengono archiviati i file delle registrazioni. Consultare la pagina aggiornata prima di basare su questa funzionalità un requisito di conformità.

Perché una tailnet gratuita indica "Reached use limit"

La console di amministrazione mostra "Reached use limit" quando la tailnet raggiunge il limite previsto dal piano. Nel piano Personal, la causa più comune è la presenza della settima persona, perché il piano conta gli utenti. L'altra possibilità è che il numero di risorse con tag superi la quota inclusa. Nessuna delle due cause dipende dal numero di laptop e telefoni connessi. Contare i dispositivi quando compare questo messaggio fa quindi perdere tempo. Apri la console di amministrazione e conta prima gli account delle persone, poi le macchine con tag.

È necessario un piano a pagamento per un relay DERP personalizzato?

DERP (Designated Encrypted Relay for Packets) è la rete di relay di Tailscale. Quando due nodi non riescono a stabilire una connessione diretta attraverso il NAT (network address translation), il loro traffico crittografato viene inoltrato a un server DERP. L'esecuzione di un relay DERP personalizzato richiede una configurazione nel file dei criteri della tailnet. Al 17 agosto 2026, la documentazione di Tailscale sui server DERP personalizzati non indica restrizioni relative al piano.

È importante precisare che cosa cambia con un relay personalizzato, perché il relay viene spesso confuso con il self-hosting. Un server DERP personalizzato sposta il percorso dei dati di fallback su una macchina di tua proprietà. Il percorso di controllo non viene spostato. Il server di coordinamento di Tailscale continua a gestire le chiavi dei nodi, il file dei criteri e l'elenco degli utenti. Se vuoi ospitare questi componenti sul tuo hardware, un relay non è lo strumento adatto. Ti serve un control plane diverso.

Quando ha senso un control plane Headscale self-hosted?

Headscale, il server di controllo open source di Tailscale sostituisce il server di coordinamento con uno eseguito su un VPS (virtual private server) gestito da te. I client Tailscale non cambiano. Puntano al tuo server invece che a quello di Tailscale, quindi non devi acquistare postazioni e non esiste un limite al numero di utenti.

Parti dai costi, perché la differenza è inferiore a quanto molti pensano. Una postazione Standard costa 8 dollari statunitensi al mese. Un VPS di piccole dimensioni, sufficiente per eseguire un control plane, costa circa quanto una o due postazioni. Il totale cambia quindi solo quando paghi per diverse persone e non cambia mai per un homelab personale, che era già gratuito. Il self-hosting non è conveniente per risparmiare su una rete con cinque dispositivi.

Il compromesso reale riguarda il controllo e il lavoro operativo. Headscale mantiene l'elenco degli utenti e il file delle policy su una macchina di tua proprietà, in un Paese scelto da te, senza un account del fornitore nel percorso. Secondo la documentazione del progetto verificata il 17 agosto 2026, supporta ACL e grant, tag, subnet router, exit node, MagicDNS, Taildrop, Tailscale SSH, la registrazione dei nodi tramite OpenID Connect (OIDC) e un server DERP integrato. Funnel e Serve sono indicati come funzionalità in corso di sviluppo, quindi pubblicare un servizio con Serve o Funnel per ora resta sul control plane di Tailscale. Mancano anche i log dei flussi di rete, i gruppi OIDC non possono essere usati nelle regole ACL e il progetto è progettato per un singolo tailnet.

Queste sono le attività di cui ti assumi la responsabilità:

• Sei responsabile della disponibilità del control plane. I tunnel esistenti continuano a trasferire traffico per un certo periodo, perché i peer possiedono già le chiavi reciproche. Tutto ciò che richiede coordinamento si interrompe: i nuovi nodi non possono registrarsi, le chiavi in scadenza non possono essere rinnovate e le modifiche alle policy non raggiungono i nodi.
• Sei responsabile degli aggiornamenti. Headscale implementa un protocollo che i client Tailscale continuano a modificare, quindi il tuo calendario degli aggiornamenti deve seguire i rilasci dei client, non il tuo.
• Sei responsabile del database e dei relativi backup. Se perdi questo stato, ogni nodo deve registrarsi di nuovo.
• Sei responsabile di TLS (transport layer security) sull'endpoint pubblico del server, perché i client raggiungono il control server tramite HTTPS.

Questo è il costo operativo reale. Accettalo quando la motivazione è il controllo oppure quando il numero di utenti rende poco conveniente il prezzo per postazione. Non adottarlo per risparmiare otto dollari.

Un server NetBird self-hosted è l'altra soluzione self-hostable. Include un proprio control plane, una propria gestione delle identità e una propria interfaccia web. È sviluppato come prodotto, non come reimplementazione del control server di un altro progetto. Entrambe le opzioni richiedono di eseguire un servizio da cui dipende la rete. Prima decidi se vuoi gestirne uno, poi scegli quale.

FAQ

Il piano gratuito di Tailscale è una versione di prova?

No. Personal è un piano gratuito senza scadenza. Verificato il 17 agosto 2026, comprende sei utenti, dispositivi utente illimitati e 50 risorse con tag, oltre a quasi tutte le funzionalità. Non comprende invece le capacità offerte dai piani a pagamento, come un numero maggiore di gruppi ACL e il single sign-on con il proprio identity provider. Verifica i valori aggiornati nella pagina dei prezzi di Tailscale, perché le soglie possono cambiare.

Quanti dispositivi posso aggiungere con il piano gratuito di Tailscale?

I tuoi dispositivi sono illimitati. La FAQ sui prezzi di Tailscale specifica che i dispositivi utente, cioè tutti i nodi senza tag, sono gratuiti e illimitati. Vengono conteggiate le risorse con tag: i server e i router registrati con un tag. Il piano Personal ne includeva 50 il 17 agosto 2026. Le guide precedenti che indicano un limite di 20 o 100 dispositivi descrivono un modello tariffario precedente, che non è più applicabile.

Perché il mio tailnet indica "Reached use limit"?

Il tailnet ha raggiunto il limite previsto dal piano. Con Personal, la causa più comune è la presenza di una settima persona, perché il piano conta le persone e non i dispositivi. L'altra possibilità è che le risorse con tag abbiano superato la soglia inclusa. Conta prima gli account utente nella console di amministrazione, quindi conta i dispositivi con tag. Laptop e telefoni senza tag non sono la causa.

Headscale è più economico rispetto al pagamento di Tailscale?

Solo oltre alcune licenze a pagamento. Un VPS in grado di eseguire Headscale costa all'incirca quanto una o due licenze Standard al mese. Un tailnet piccolo quindi non offre alcun risparmio, mentre un tailnet personale era già gratuito. Headscale conviene quando vuoi eseguire il control plane su hardware di tua proprietà oppure quando il numero di utenti rende poco pratico il prezzo per licenza. Il costo è operativo: aggiornamenti da eseguire in linea con le release del client Tailscale, backup del database, un certificato TLS da rinnovare e il fatto di essere l'unica persona in grado di risolvere un'interruzione del servizio.