Tailscale é grátis? Limites do plano gratuito

O Tailscale é gratuito? Sim, no plano Personal

O Tailscale é gratuito no plano Personal. O nível gratuito não tem data de expiração e inclui a maior parte do produto. Limita o número de pessoas que podem entrar na sua rede, não o número de máquinas que pode ligar. Verificado em 10 October 2026, a página de preços do Tailscale indica que o plano Personal inclui seis utilizadores, dispositivos de utilizador ilimitados, 50 recursos etiquetados e acesso a quase todas as funcionalidades.

Primeiro, duas definições. Uma tailnet é a sua rede privada: uma conta, uma lista de utilizadores e um ficheiro de políticas. Um seat é uma pessoa dentro dessa tailnet. O Tailscale cobra por seat, portanto a contagem é feita por pessoas. Esse facto determina se a sua configuração é gratuita.

Cada valor abaixo é um número publicado, com a data em que foi verificado. Os preços e os limites podem mudar, por isso confirme-os na página de preços antes de preparar um orçamento com base neles. A estrutura muda muito mais lentamente, e é essa estrutura que é útil: as pessoas e a infraestrutura etiquetada são contabilizadas, enquanto os níveis pagos vendem funcionalidades, não um limite maior de dispositivos. O WireGuard, o protocolo de túnel subjacente, é igual em todos os planos, e o que o Tailscale acrescenta ao WireGuard simples explica essa divisão.

O que conta como utilizador e o que conta como dispositivo

Cada máquina numa tailnet pertence a alguma entidade. Inicie sessão com a sua própria identidade e a máquina passa a pertencer-lhe. A Tailscale chama-lhe um dispositivo de utilizador, e a FAQ de preços é clara: "Os dispositivos de utilizador são gratuitos e ilimitados." O seu portátil, telefone, computador de secretária e tablet contam juntos como uma licença, não como quatro.

Registe uma máquina com uma tag e ela passa a pertencer à tag. A Tailscale chama-lhe um recurso com tag, e são os recursos com tag que o plano contabiliza. Os servidores e routers devem usar tags, porque uma máquina partilhada não deve pertencer a quem executou por acaso o comando de início de sessão. Em 10 October 2026, o plano Personal inclui 50 recursos com tag, e a página de preços indica um custo adicional de 1 US dollar por mês por cada recurso, adquirido diretamente pelo utilizador. Uma VPS que executa uma função para toda a equipa pertence a esta categoria, seja um router de sub-rede que anuncia um intervalo privado ou um nó de saída que transporta tráfego de saída.

Aplique a tag ao servidor no momento em que este entra na tailnet, para que nunca fique na tailnet como uma máquina pertencente a si:

curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up --advertise-tags=tag:server

tailscale status

tailscale status apresenta o nó com o proprietário sob cuja identidade foi registado. A tag já tem de existir no ficheiro de política da sua tailnet, em tagOwners, porque uma tag é uma concessão de propriedade e um nó não pode declarar uma tag que ninguém concedeu. Se a tag não estiver na política, o nó não pode utilizá-la.

É por isso que o plano gratuito surpreende nos dois sentidos. Um homelab com trinta máquinas, todas com sessão iniciada como si, corresponde a uma licença e é gratuito. Uma equipa de quatro pessoas em que todas iniciam sessão corresponde a quatro das seis licenças e continua a ser gratuita. Doze pessoas não têm acesso gratuito, independentemente do número de dispositivos, porque o limite contabiliza pessoas.

Os recursos efémeros são a terceira categoria. Um nó registado com uma chave de autenticação efémera, como um runner de integração contínua ou um pod Kubernetes, elimina-se quando para e utiliza um conjunto mensal de minutos, em vez de ocupar uma vaga de recurso. Em 10 October 2026, os planos Personal e Standard incluem 1,000 desses minutos por mês e o Premium inclui 10,000. Um nó que permaneça ativo durante mais de quatro horas deixa de ser contabilizado como efémero e passa a ser um recurso normal com tag.

Existe ainda um detalhe de faturação: um utilizador convidado não ocupa uma licença até utilizar a tailnet. A FAQ de preços afirma que um utilizador "não ocupa uma licença até iniciar sessão pela primeira vez na consola de administração ou autenticar um dispositivo pela primeira vez". Pode enviar convites antecipadamente sem pagar por pessoas que nunca chegam a utilizar o serviço.

Quanto custam os planos pagos

[
  {
    "plan": "Personal",
    "usd_per_user_month": 0
  },
  {
    "plan": "Standard",
    "usd_per_user_month": 8
  },
  {
    "plan": "Premium",
    "usd_per_user_month": 18
  }
]

O plano Personal é gratuito. O Standard custa 8 dólares americanos por utilizador por mês e o Premium custa 18, conforme os preços publicados em 10 October 2026. O Enterprise é orçamentado pela equipa comercial, com contagens de utilizadores e limites personalizados. Os planos Standard e Premium removem o limite de utilizadores. Por isso, para a maioria das equipas, é a sétima pessoa que motiva o início do pagamento, e não o quadragésimo servidor. Para transformar estes preços de tabela numa fatura mensal real, é necessário somar os lugares e os recursos etiquetados. Uma análise detalhada de um agregado familiar e de uma equipa de cinco pessoas faz esse cálculo para ambos os casos.

Quais funcionalidades estão disponíveis num plano pago

Estas são limitações de funcionalidades. Adicionar máquinas não faz subir de plano. Escrever uma política de acesso mais complexa pode fazê-lo.

As listas de controlo de acesso (ACLs, as regras que determinam que utilizador pode aceder a que máquina) mostram isto claramente. O ficheiro da política está disponível em todos os planos. O número de grupos que pode definir nesse ficheiro não está.

[
  {
    "plan": "Personal",
    "acl_groups": 3
  },
  {
    "plan": "Standard",
    "acl_groups": 10
  },
  {
    "plan": "Premium",
    "acl_groups": 300
  }
]

Personal permite 3 grupos, Standard permite 10, e Premium permite 300. Um grupo é um conjunto nomeado de utilizadores, portanto isto limita o grau de detalhe com que pode dividir as pessoas. Três grupos abrangem "eu", "família" e "convidados". Não abrangem uma empresa com departamentos.

As outras limitações, verificadas em 10 October 2026 na página de preços e na documentação de funcionalidades da Tailscale:

• Usar o seu próprio fornecedor de identidade (IdP), o que significa single sign-on (SSO) com qualquer fornecedor OIDC que já utilize, está disponível em todos os planos, incluindo Personal. A Tailscale retirou a restrição aos planos pagos em April 2024 e afirma que "SSO is once again available for free for everyone." A configuração OIDC personalizada exige uma prova de que é proprietário do domínio e um fornecedor que cumpra os requisitos técnicos, não um plano específico. O que o Standard acrescenta no âmbito da identidade é o SCIM, que aprovisiona automaticamente utilizadores e grupos a partir desse fornecedor.
• A aprovação de dispositivos e as verificações básicas da postura dos dispositivos (sistema operativo e versão da Tailscale) estão disponíveis em todos os planos. As integrações de postura com ferramentas de gestão de dispositivos móveis (MDM) e de segurança de endpoints começam no Standard.
• As funções avançadas de utilizador, como administrador de faturação, administrador de IT e auditor, começam no Standard.
• Os logs de fluxo de rede começam no Premium, tal como o Tailscale SSH avançado. O Tailscale SSH básico está disponível em todos os planos, e a comparação de preços indica um limite de até 5 hosts.

A gravação de sessões SSH é o caso que vale a pena analisar com atenção, porque mostra que estas limitações são definidas por funcionalidade e não pela ordem dos planos, e que podem ser alteradas. A documentação de gravação de sessões da Tailscale indica a funcionalidade baseada em recorder para os planos Personal e Enterprise, mas, em 10 October 2026, marca essa funcionalidade como obsoleta: a Tailscale já não a disponibiliza através de tsrecorder, o suporte para utilizadores existentes termina em August 2027, e a documentação aponta para o Tailscale PAM. A página de preços agrupa a gravação de sessões de SSH, Kubernetes e bases de dados na extensão Privileged Access Management, adquirida separadamente. Consulte a página atual antes de basear nela um requisito de conformidade.

Por que um tailnet gratuito mostra "Reached use limit"

O console de administração mostra "Reached use limit" quando o tailnet não pode adicionar outro utilizador. A referência da mensagem da Tailscale, consultada em 10 October 2026, lista três causas: adicionar mais utilizadores do que o plano permite, uma conta que não foi atualizada corretamente depois de uma alteração de plano e uma política da organização que limita o acesso ao tailnet. No plano Personal, a causa habitual é a sétima pessoa, porque o plano contabiliza pessoas. Os planos Standard e superiores não têm limite de utilizadores. Por isso, num plano pago, a mensagem indica um problema de configuração da conta, e a correção documentada pela Tailscale é contactar o suporte. Se iniciar sessão com um domínio empresarial, pergunte ao administrador de TI se existe uma política que restrinja os inícios de sessão na Tailscale. Nenhuma destas causas está relacionada com o número de portáteis e telemóveis ligados. Por isso, contar dispositivos quando esta mensagem aparece faz perder tempo. Abra o console de administração e conte primeiro as contas de pessoas.

É necessário um plano pago para usar um relay DERP personalizado?

DERP (Designated Encrypted Relay for Packets) é a rede de relays do Tailscale. Quando dois nós não conseguem estabelecer uma ligação direta através de NAT (network address translation), o tráfego encriptado passa a usar um servidor DERP. Executar o seu próprio relay DERP requer configuração no ficheiro de políticas da tailnet, e a documentação do Tailscale sobre servidores DERP personalizados não indica qualquer restrição de plano em 10 October 2026. A mesma página ainda classifica os servidores DERP personalizados como alpha.

Seja preciso sobre o que um relay personalizado altera, porque é neste ponto que o relaying é confundido com self-hosting. Um servidor DERP personalizado move o caminho de dados de fallback para uma máquina que controla. O caminho de controlo não é movido. O servidor de coordenação do Tailscale continua a armazenar as chaves dos seus nós, o ficheiro de políticas e a lista de utilizadores. Nunca armazena as chaves privadas que desencriptam o seu tráfego. Por isso, o que um atacante obtém efetivamente ao assumir o controlo desse servidor de coordenação é uma questão mais limitada do que parece inicialmente. Se quiser alojar essa parte no seu próprio hardware, um relay não é a ferramenta adequada. Precisa de um plano de controlo diferente.

Quando faz sentido usar um plano de controlo Headscale autoalojado?

Headscale, o servidor de controlo Tailscale de código aberto substitui o servidor de coordenação por um servidor executado por si numa VPS (virtual private server). Os clientes Tailscale não mudam. Em vez de apontarem para os servidores da Tailscale, apontam para o seu servidor. Assim, não há licenças por utilizador para comprar nem limite de utilizadores.

Comece pelo custo, porque a diferença é menor do que muitas pessoas esperam. Uma licença Standard custa 8 dólares americanos por mês. Uma VPS pequena capaz de executar um plano de controlo custa aproximadamente o mesmo que uma ou duas licenças. Portanto, a soma só começa a compensar quando paga por várias pessoas. Nunca compensa num homelab individual, que já era gratuito. Autoalojar o serviço para poupar dinheiro numa rede com cinco dispositivos não compensa.

A verdadeira troca é controlo contra trabalho. O Headscale coloca a sua lista de utilizadores e o seu ficheiro de políticas numa máquina que controla, num país que escolheu, sem uma conta do fornecedor no caminho. De acordo com a documentação do projeto consultada em 10 October 2026, suporta ACLs e grants, tags, subnet routers, exit nodes, MagicDNS, Taildrop, Tailscale SSH, registo de nós através de OpenID Connect (OIDC) e um servidor DERP integrado. Funnel e Serve estão indicados como ainda não suportados. Por isso, publicar um serviço com Serve ou Funnel continua a depender do plano de controlo da própria Tailscale. Também não existem logs de fluxo de rede, os grupos OIDC não podem ser usados dentro das regras ACL e o projeto foi concebido para um único tailnet.

Este é o trabalho que passa a assumir:

• A disponibilidade do plano de controlo fica a seu cargo. Os túneis existentes continuam a encaminhar tráfego durante algum tempo, porque os peers já têm as chaves uns dos outros. Tudo o que depende de coordenação deixa de funcionar: os nós novos não podem ser registados, as chaves prestes a expirar não podem ser renovadas e as alterações de política nunca chegam aos nós.
• As atualizações ficam a seu cargo. O Headscale implementa um protocolo que os clientes Tailscale continuam a alterar. Por isso, o seu calendário de atualizações passa a seguir os lançamentos dos clientes, e não o seu próprio calendário.
• A base de dados e as cópias de segurança ficam a seu cargo. Se perder esse estado, todos os nós terão de ser registados novamente.
• O TLS (transport layer security) no endpoint público do servidor fica a seu cargo, porque os clientes acedem ao servidor de controlo através de HTTPS.

Essa é a conta real. Escolha esta opção quando o motivo for o controlo ou quando o número de utilizadores tornar o preço por licença pouco adequado. Não escolha esta opção para poupar oito dólares.

Um servidor NetBird autoalojado é a outra opção que pode ser autoalojada. Inclui o seu próprio plano de controlo, o seu próprio sistema de gestão de identidades e a sua própria interface web. Foi desenvolvido como um produto, e não como uma reimplementação do servidor de controlo de outra entidade. Ambas as opções deixam a seu cargo um serviço de que a sua rede depende. Decida primeiro se quer operar esse serviço. Depois escolha uma opção.

FAQ

O plano gratuito do Tailscale é um período de avaliação?

Não. O plano Personal é um nível gratuito sem data de expiração. Verificado em 10 October 2026, inclui seis utilizadores, dispositivos de utilizador ilimitados e 50 recursos com tags. Também inclui quase todo o conjunto de funcionalidades, incluindo início de sessão único com o seu próprio fornecedor de identidade OIDC. O que não inclui são as funcionalidades disponíveis nos níveis pagos, como mais grupos ACL, aprovisionamento SCIM, funções de utilizador avançadas e logs de fluxo de rede. Confirme os valores atuais na página de preços do Tailscale, porque os limites podem ser alterados.

Quantos dispositivos posso adicionar ao plano gratuito do Tailscale?

Os seus próprios dispositivos são ilimitados. A FAQ de preços do Tailscale indica que os dispositivos de utilizador, ou seja, qualquer nó que não tenha tags, são gratuitos e ilimitados. O que é contabilizado são os recursos com tags: os servidores e routers que regista com uma tag. Em 10 October 2026, o plano Personal incluía 50 desses recursos. Guias antigos que indicam um limite de 20 dispositivos ou 100 dispositivos descrevem um modelo de preços anterior que já não se aplica.

Porque é que o meu tailnet indica "Reached use limit"?

No plano Personal, a causa habitual é existir uma sétima pessoa, porque o plano contabiliza pessoas e não máquinas. O Tailscale também indica como causas uma conta que não foi atualizada corretamente depois de uma alteração de plano e uma política da organização que restringe o acesso. Num plano pago, que não tem limite de utilizadores, contacte o Tailscale Support. Comece por contabilizar as contas de pessoas na consola de administração. Computadores portáteis e telemóveis sem tags não são a causa.

O Headscale é mais barato do que pagar pelo Tailscale?

Apenas acima de alguns lugares pagos. Um VPS capaz de executar o Headscale custa aproximadamente o mesmo que um ou dois lugares Standard por mês. Por isso, uma tailnet pequena não permite poupar, e uma tailnet individual já era gratuita desde o início. O Headscale compensa quando pretende manter o plano de controlo em hardware que possui ou quando o número de utilizadores torna o preço por lugar pouco conveniente. O custo é operacional: atualizações que acompanham as releases do cliente Tailscale, backups da base de dados, um certificado TLS que tem de renovar e ser a única pessoa capaz de corrigir uma interrupção do serviço.