Tailscale è gratuito? Limiti del piano Personal

Tailscale è gratuito? Sì, con il piano Personal

Tailscale è gratuito con il piano Personal. Il livello gratuito non ha una data di scadenza e include la maggior parte delle funzionalità del prodotto. Limita il numero di persone che possono entrare nella rete, non il numero di macchine che è possibile connettere. Verificata il 10 October 2026, la pagina dei prezzi di Tailscale indica per Personal sei utenti, dispositivi utente illimitati, 50 risorse con tag e accesso a quasi tutte le funzionalità.

Prima è necessario chiarire due termini. Un tailnet è la rete privata: un account, un elenco di utenti e un file di policy. Una seat è una persona all'interno di quel tailnet. Tailscale applica la fatturazione per seat, quindi il conteggio riguarda le persone. Questo determina se la configurazione è gratuita.

Ogni valore riportato di seguito è un numero pubblicato, con la data della verifica. Prezzi e limiti possono cambiare, quindi è necessario confermarli sulla pagina dei prezzi prima di pianificare il budget. La struttura cambia molto più lentamente ed è l'aspetto più utile: vengono conteggiate le persone e l'infrastruttura con tag, mentre i piani a pagamento offrono funzionalità aggiuntive, non un numero maggiore di dispositivi consentiti. WireGuard, il protocollo del tunnel sottostante, è lo stesso in tutti i piani, mentre cosa aggiunge Tailscale a WireGuard senza modifiche illustra questa distinzione.

Cosa viene considerato un utente e cosa viene considerato un dispositivo

Ogni macchina in una tailnet appartiene a qualcosa. Accedi con la tua identità e la macchina appartiene a te. Tailscale la definisce dispositivo utente e la FAQ sui prezzi è esplicita: "I dispositivi utente sono gratuiti e illimitati." Il tuo laptop, il tuo telefono, il tuo desktop e il tuo tablet costituiscono un solo posto, non quattro.

Registra invece una macchina con un tag e la macchina appartiene al tag. Tailscale definisce questa risorsa con tag e sono le risorse con tag a essere conteggiate dal piano. I server e i router dovrebbero usare i tag, perché una macchina condivisa non dovrebbe appartenere a chiunque abbia eseguito il comando di accesso per primo. Al 10 ottobre 2026, il piano Personal include 50 risorse con tag e la pagina dei prezzi indica un costo di 1 dollaro statunitense al mese per ogni risorsa aggiuntiva, acquistabile direttamente. Un VPS che svolge un'attività per tutti rientra in questa categoria, sia che si tratti di un router subnet che annuncia un intervallo privato sia di un exit node che trasporta il traffico in uscita.

Assegna il tag al server nel momento in cui entra nella tailnet, in modo che non rimanga mai nella tailnet come macchina appartenente a te:

curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up --advertise-tags=tag:server

tailscale status

tailscale status elenca il nodo insieme al proprietario con cui è stato registrato. Il tag deve esistere già nel file dei criteri della tailnet, in tagOwners, perché un tag concede la proprietà e un nodo non può rivendicarne uno che nessuno ha concesso. Se il tag non è presente nei criteri, il nodo non può utilizzarlo.

Per questo il piano gratuito sorprende in entrambe le direzioni. Un homelab con trenta macchine, tutte con accesso effettuato da te, occupa un solo posto ed è gratuito. Un team di quattro persone, con accesso effettuato da ciascun membro, occupa quattro dei sei posti ed è ancora gratuito. Con dodici persone il piano non è gratuito, indipendentemente dal numero di dispositivi, perché il limite conta le persone.

Le risorse effimere costituiscono la terza categoria. Un nodo che si registra con una chiave di autenticazione effimera, ad esempio un runner di continuous integration o un pod Kubernetes, si elimina quando si arresta e utilizza un pool mensile di minuti invece di occupare un posto per una risorsa. Al 10 ottobre 2026, Personal e Standard includono 1.000 minuti al mese, mentre Premium ne include 10.000. Un nodo che rimane attivo per più di quattro ore non viene più conteggiato come effimero e diventa una normale risorsa con tag.

C'è un altro dettaglio di fatturazione: un utente invitato non occupa un posto finché non utilizza la tailnet. La FAQ sui prezzi specifica che un utente "non occupa un posto finché non accede per la prima volta alla console di amministrazione o finché non autentica per la prima volta un dispositivo". Puoi inviare gli inviti in anticipo senza pagare per le persone che non effettuano mai l'accesso.

Costo dei piani a pagamento

[
  {
    "plan": "Personal",
    "usd_per_user_month": 0
  },
  {
    "plan": "Standard",
    "usd_per_user_month": 8
  },
  {
    "plan": "Premium",
    "usd_per_user_month": 18
  }
]

Il piano Personal è gratuito. Standard costa 8 dollari statunitensi per utente al mese, mentre Premium costa 18, in entrambi i casi secondo i prezzi pubblicati il 10 ottobre 2026. Enterprise viene quotato dal reparto vendite, con un numero di utenti e limiti personalizzati. Standard e Premium non impongono un limite al numero di utenti. Per la maggior parte dei team, quindi, il motivo per cui si inizia a pagare è il settimo utente, non il quarantesimo server. Per trasformare questi prezzi di listino in un costo mensile reale è necessario sommare utenti e risorse con tag. Un esempio dettagliato per un'abitazione e un team di cinque persone mostra il calcolo in entrambi i casi.

Quali funzionalità sono disponibili solo nei piani a pagamento

Questi sono limiti applicati alle funzionalità. Aggiungere macchine non fa passare a un piano superiore. Scrivere una policy di accesso più complessa può farlo.

Le liste di controllo degli accessi (ACL, cioè le regole che stabiliscono quale utente può raggiungere quale macchina) lo mostrano chiaramente. Il file della policy è disponibile in tutti i piani. Non lo è invece il numero di gruppi che è possibile definire al suo interno.

[
  {
    "plan": "Personal",
    "acl_groups": 3
  },
  {
    "plan": "Standard",
    "acl_groups": 10
  },
  {
    "plan": "Premium",
    "acl_groups": 300
  }
]

Il piano Personal consente 3 gruppi, Standard 10 e Premium 300. Un gruppo è un insieme denominato di utenti, quindi questo limite stabilisce in pratica quanto finemente è possibile suddividere gli utenti. Tre gruppi sono sufficienti per "me", "famiglia" e "ospiti". Non sono sufficienti per un'azienda con più reparti.

Gli altri limiti, verificati il 10 ottobre 2026 sulla pagina dei prezzi e nella documentazione delle funzionalità di Tailscale:

• L'utilizzo del proprio provider di identità (IdP), cioè il single sign-on (SSO) con qualsiasi provider OIDC già in uso, è disponibile in tutti i piani, incluso Personal. Tailscale ha rimosso il vincolo ai piani a pagamento nell'aprile 2024 e dichiara che "SSO è nuovamente disponibile gratuitamente per tutti". La configurazione OIDC personalizzata richiede una prova della proprietà del dominio e un provider che soddisfi i requisiti tecnici, non un determinato piano. Sul piano dell'identità, Standard aggiunge SCIM, che esegue automaticamente il provisioning di utenti e gruppi dal provider.
• L'approvazione dei dispositivi e i controlli di base del posture dei dispositivi (sistema operativo e versione di Tailscale) sono disponibili in tutti i piani. Le integrazioni del posture con strumenti di gestione dei dispositivi mobili (MDM) e di sicurezza degli endpoint sono disponibili a partire da Standard.
• I ruoli utente avanzati, come amministratore della fatturazione, amministratore IT e revisore, sono disponibili a partire da Standard.
• I log dei flussi di rete sono disponibili a partire da Premium, così come Tailscale SSH avanzato. Tailscale SSH di base è disponibile in tutti i piani e il confronto dei prezzi indica un limite massimo di 5 host.

La registrazione delle sessioni SSH merita un'analisi attenta, perché dimostra che questi limiti sono applicati alle singole funzionalità e non seguono necessariamente l'ordine dei piani, oltre al fatto che possono cambiare. La documentazione di Tailscale sulla registrazione delle sessioni elenca la funzionalità basata sul recorder per i piani Personal ed Enterprise, ma al 10 ottobre 2026 la indica come deprecata: Tailscale non la offre più tramite tsrecorder, il supporto per gli utenti esistenti termina ad agosto 2027 e la documentazione indirizza a Tailscale PAM. La pagina dei prezzi raggruppa la registrazione di SSH, Kubernetes e database nell'estensione Privileged Access Management, acquistabile separatamente. Verifica la pagina aggiornata prima di basare su questa funzionalità un requisito di conformità.

Perché una tailnet gratuita mostra «Reached use limit»

La console di amministrazione mostra «Reached use limit» quando la tailnet non può aggiungere un altro utente. Il riferimento al messaggio di Tailscale, verificato il 10 ottobre 2026, indica tre cause: l'aggiunta di un numero di utenti superiore a quello consentito dal piano, un account non aggiornato correttamente dopo una modifica del piano e un criterio dell'organizzazione che limita l'accesso alla tailnet. Nel piano Personal, la causa più comune è il settimo utente, perché il piano conta le persone. I piani Standard e superiori non hanno un limite di utenti. In un piano a pagamento, quindi, il messaggio indica un problema di configurazione dell'account e la correzione documentata da Tailscale consiste nel contattare il supporto. Se accedi con un dominio aziendale, chiedi all'amministratore IT se un criterio limita gli accessi a Tailscale. Nessuna di queste cause riguarda il numero di laptop e telefoni connessi. Contare i dispositivi quando viene visualizzato questo messaggio fa perdere tempo. Apri la console di amministrazione e conta prima gli account delle persone.

È necessario un piano a pagamento per un relay DERP personalizzato?

DERP (Designated Encrypted Relay for Packets) è la rete di relay di Tailscale. Quando due nodi non riescono a stabilire una connessione diretta attraverso il NAT (network address translation), il loro traffico crittografato viene instradato tramite un server DERP. L'esecuzione di un relay DERP personale richiede una configurazione nel file dei criteri della tailnet; nella documentazione di Tailscale sui server DERP personalizzati non è indicata alcuna limitazione legata al piano, alla data del 10 ottobre 2026. La stessa pagina indica ancora i server DERP personalizzati come funzionalità alpha.

È importante precisare che cosa cambia con un relay personalizzato, perché è facile confondere il relay con il self-hosting. Un server DERP personalizzato sposta il percorso dei dati di fallback su una macchina di tua proprietà. Il percorso di controllo non viene spostato. Il server di coordinamento di Tailscale continua a conservare le chiavi dei nodi, il file dei criteri e l'elenco degli utenti. Non conserva mai le chiavi private che consentono di decrittografare il traffico; per questo che cosa ottiene realmente un attaccante prendendo il controllo di quel server di coordinamento è una domanda più circoscritta di quanto possa sembrare inizialmente. Se vuoi gestire anche questa parte sul tuo hardware, un relay non è lo strumento adatto. Ti serve un piano di controllo diverso.

Quando ha senso un control plane Headscale self-hosted?

Headscale, il server di controllo open source di Tailscale sostituisce il server di coordinamento con un'istanza eseguita su un VPS (virtual private server). I client Tailscale non cambiano. Puntano al tuo server invece che a quello di Tailscale, quindi non devi acquistare seat e non hai un limite al numero di utenti.

Parti dai costi, perché la differenza è inferiore a quanto molti si aspettano. Un seat Standard costa 8 dollari statunitensi al mese. Un VPS di piccole dimensioni in grado di eseguire un control plane costa circa quanto uno o due seat. Il totale cambia quindi solo quando paghi diversi utenti e non cambia mai per un homelab personale, che era già gratuito. Il self-hosting non è conveniente per risparmiare su una rete composta da cinque dispositivi.

Il compromesso reale riguarda il controllo e il lavoro operativo. Headscale mantiene l'elenco degli utenti e il file delle policy su una macchina di tua proprietà, in un Paese scelto da te, senza un account del fornitore nel percorso. Secondo la documentazione del progetto verificata il 10 ottobre 2026, supporta ACL e grants, tag, subnet router, exit node, MagicDNS, Taildrop, Tailscale SSH, la registrazione dei nodi tramite OpenID Connect (OIDC) e un server DERP integrato. Funnel e Serve risultano ancora non supportati, quindi pubblicare un servizio con Serve o Funnel per ora richiede il control plane di Tailscale. Mancano anche i log dei flussi di rete, i gruppi OIDC non possono essere usati nelle regole ACL e il progetto è progettato per un solo tailnet.

Ecco il lavoro operativo che devi assumerti:

• Sei responsabile della disponibilità del control plane. I tunnel esistenti continuano a inoltrare traffico per un certo periodo, perché i peer hanno già le rispettive chiavi. Tutto ciò che richiede coordinamento si interrompe: i nuovi nodi non possono registrarsi, le chiavi in scadenza non possono essere rinnovate e le modifiche alle policy non raggiungono mai i nodi.
• Sei responsabile degli aggiornamenti. Headscale implementa un protocollo che i client Tailscale continuano a modificare, quindi il tuo calendario degli aggiornamenti deve seguire le release dei client, non il tuo calendario.
• Sei responsabile del database e dei relativi backup. Se perdi questo stato, ogni nodo deve registrarsi di nuovo.
• Sei responsabile di TLS (transport layer security) sull'endpoint pubblico del server, perché i client raggiungono il control server tramite HTTPS.

Questo è il costo reale. Scegli questa soluzione se ti servono il controllo o un numero di utenti per cui il prezzo per seat diventa poco conveniente. Non sceglierla per risparmiare otto dollari.

Un server NetBird self-hosted è l'altra soluzione che puoi ospitare autonomamente. Include il proprio control plane, la propria gestione delle identità e la propria interfaccia web, ed è sviluppato come prodotto anziché come reimplementazione del control server di un altro progetto. Entrambe le opzioni richiedono di eseguire un servizio da cui dipende la rete. Decidi se vuoi gestirne uno, quindi scegli.

FAQ

Il piano gratuito di Tailscale è una versione di prova?

No. Personal è un livello gratuito senza scadenza. Verificato il 10 October 2026, include sei utenti, dispositivi utente illimitati e 50 risorse contrassegnate. Include inoltre quasi tutte le funzionalità, incluso il single sign-on con un proprio provider di identità OIDC. Non include invece le funzionalità offerte dai livelli a pagamento, come un numero maggiore di gruppi ACL, il provisioning SCIM, ruoli utente avanzati e i log dei flussi di rete. Verifica i numeri attuali nella pagina dei prezzi di Tailscale, perché le quote possono essere modificate.

Quanti dispositivi posso aggiungere con il piano gratuito di Tailscale?

I tuoi dispositivi sono illimitati. La FAQ sui prezzi di Tailscale specifica che i dispositivi utente, cioè tutti i nodi che non sono contrassegnati, sono gratuiti e illimitati. Vengono conteggiate le risorse contrassegnate: i server e i router che registri con un tag. Il piano Personal ne includeva 50 il 10 October 2026. Le guide meno recenti che indicano un limite di 20 o 100 dispositivi descrivono un modello di prezzi precedente, che non è più applicabile.

Perché il mio tailnet indica "Reached use limit"?

Con Personal, la causa più comune è la presenza di una settima persona, perché il piano conteggia le persone e non le macchine. Tailscale indica anche come possibili cause un account non aggiornato correttamente dopo una modifica del piano e un criterio dell'organizzazione che limita l'accesso. In un piano a pagamento, che non prevede un limite di utenti, contatta Tailscale Support. Per prima cosa conta gli account personali nella console di amministrazione. Laptop e telefoni senza tag non sono la causa.

Headscale è più economico rispetto al pagamento di Tailscale?

Solo oltre alcuni utenti a pagamento. Un VPS in grado di eseguire Headscale costa all'incirca quanto uno o due utenti Standard al mese. Un tailnet di piccole dimensioni quindi non consente di risparmiare, mentre un tailnet personale era già gratuito. Headscale è conveniente quando vuoi eseguire il control plane su hardware di tua proprietà oppure quando il numero di utenti rende poco pratico il prezzo per utente. Il costo è operativo: aggiornamenti allineati alle release del client Tailscale, backup del database, un certificato TLS da rinnovare e la responsabilità esclusiva della risoluzione delle interruzioni del servizio.