Headscale vs Tailscale 2026: self-hosted gratis o 8 $ per utente?

Nel 2026, le VPN mesh hanno avuto un'esplosione. WireGuard è diventato lo standard de facto, Tailscale è diventato il mesh gestito di riferimento e la comunità self-host ha portato Headscale a un livello di maturità che non lascia scuse per rimanere bloccati in un SaaS quando la sovranità è importante. Se stai cercando "tailscale vs headscale", probabilmente sei indeciso tra la comodità gestita e il controllo totale - questo confronto ti aiuta a decidere, basandosi su come ciascuno è progettato per funzionare, con Headscale distribuito su un Contabo VPS Francoforte come riferimento self-host.

Risposta breve

• Uso personale, home lab, progetti personali: Tailscale Free. Fino a 6 utenti a 0 $, pronto in 5 minuti, ma solo per uso non commerciale.
• Piccolo team senza nessuno che gestisca un server: un piano Tailscale a pagamento (8 $ per utente al mese in Standard, 18 $ in Premium). Tailscale aggiorna il piano di controllo al posto tuo.
• 10 utenti o più con un sistemista, o obbligo di tenere i metadati nell'UE: Headscale sul tuo VPS, circa 66 € all'anno qualunque sia la dimensione del team, con le stesse app ufficiali di Tailscale su ogni dispositivo.

Il piano dati è identico in entrambi i casi: WireGuard. Tutta la differenza risiede nel piano di controllo - chi orchestra le chiavi, le ACL, la traversata NAT e chi detiene i metadati per la tua mesh. Questa sfumatura cambia tutto: costo, latenza, lock-in del fornitore e postura di conformità.

Quanto ti costerà? Tailscale è gratis per 6 utenti ma solo per uso non commerciale, Twingate e NetBird si fermano a 5 utenti, ZeroTier a 10 dispositivi. Il nostro calcolatore prezzi Tailscale gratuito prende il numero di utenti e dispositivi e mostra il piano più economico adatto per ogni servizio su 12-36 mesi, accanto a un server Headscale o NetBird self-hosted (prezzi verificati il 18/10/2026).

In sintesi (il confronto completo in 12 criteri è più in basso):

Tailscale: architettura gestita

Tailscale è un piano di controllo SaaS stratificato sopra WireGuard. Quando installi il client, fa tre cose:

1. Si autentica contro il coordinatore Tailscale (login.tailscale.com).
2. Recupera l'elenco dei peer autorizzati + le loro chiavi pubbliche WireGuard.
3. Tenta una connessione WireGuard peer-to-peer diretta. Se il NAT la blocca, ricorre a un relay DERP (TCP/443) gestito da Tailscale Inc.

Il coordinatore SaaS

Il coordinatore è l'orchestratore. Non vede mai le tue chiavi private WireGuard - sono generate localmente e rimangono locali. Distribuisce solo chiavi pubbliche e mappature IP. Superficie di attacco reale: se il coordinatore viene compromesso, un attaccante può iniettare un peer fantasma nella tua mesh. Tailscale pubblica un modello di minaccia dettagliato e si sottopone a audit regolari.

DERP - Relay Designato Crittografato per Pacchetti

Quando due peer dietro NAT simmetrici non possono stabilire un tunnel diretto, Tailscale inoltra il traffico crittografato attraverso una rete di server DERP distribuita globalmente (elenco ufficiale DERP). Questo è ancora WireGuard crittografato end-to-end; Tailscale Inc. non può decrittografarlo. Ma i metadati di rete (chi parla con chi, quando, quanto) transitano attraverso la loro infrastruttura.

MagicDNS, ACL, MFA SSO

• MagicDNS: risoluzione machine.your-tailnet.ts.net ovunque nella mesh, senza configurazione DNS manuale.
• ACL JSON dichiarative: chi può parlare con chi, su quali porte. Compilate in regole iptables.
• MFA + SAML/OIDC SSO nei piani Premium ed Enterprise (Google Workspace, Okta, Azure AD).
• Log di audit completi nel Premium.

L'esperienza utente è eccellente. Il prezzo no, una volta lasciato il piano gratuito. Letta il 7 ottobre 2026, la pagina dei prezzi di Tailscale indica Personal a $0 fino a 6 utenti con dispositivi utente illimitati e Standard a $8 per utente al mese oltre tale soglia.

Cos'è Headscale e come funziona con i client Tailscale?

Headscale è una reimplementazione open-source (BSD-3, Go) dell'API del coordinatore Tailscale. Lo ospiti tu stesso sul tuo server - un Contabo VPS a €5,50/mese è sufficiente per il piano di controllo di un piccolo team. I client ufficiali Tailscale (iOS, macOS, Android, Linux, Windows) si connettono direttamente usando --login-server=https://your-headscale-domain.com. Nessun fork del client, piena sovranità, pareggio rispetto a Tailscale Premium a ~7 utenti.

Headscale: architettura self-hosted

Headscale (BSD-3, Go, mantenuto da Juan Font + comunità attiva) è una reimplementazione open-source dell'API del coordinatore Tailscale. Non è un fork - un server indipendente che parla lo stesso protocollo, rendendolo compatibile con i client ufficiali Tailscale.

Componenti

• Daemon Headscale: singolo binario Go, ~30 MB, ascolta su HTTPS su una porta configurabile.
• Backend di persistenza: SQLite (predefinito, va bene per piccole installazioni) o PostgreSQL (consigliato per produzione multi-org).
• Proxy inverso TLS: Caddy o Traefik davanti a Headscale. Let's Encrypt automatico.
• Provider OIDC opzionale: Authentik, Keycloak, Authelia per l'autenticazione utente. Senza OIDC, le chiavi pre-auth (CLI) rimangono disponibili.

Cosa fa Headscale

• Scoperta dei peer + distribuzione delle chiavi pubbliche.
• ACL JSON di Tailscale (formato compatibile al 100%).
• DERP: usa la rete pubblica DERP di Tailscale (predefinito) o ospita il tuo DERP sullo stesso VPS.
• Nodi di uscita, router di sottorete, Taildrop, MagicDNS (dalla v0.23).

Cosa non fa Headscale

• Nessuna console web ufficiale (alternative della comunità: headscale-ui, ancora in stabilizzazione).
• Nessun SSH Tailscale con registrazione delle sessioni (funzione Premium SaaS).
• Nessun supporto commerciale - è open source comunitario, le issue su GitHub sono l'unico canale.

Confronto su 12 criteri

Tre osservazioni che raramente leggi altrove:

1. Custom Headscale DERP è un punto di svolta per l'UE. Ospita DERP sullo stesso VPS Contabo Francoforte e sostituisci un'infrastruttura DERP USA con una UE - grande vantaggio GDPR per le aziende con requisiti di conformità UE/SEE.
2. La mancanza di una console ufficiale Headscale è meno problematica di quanto si pensi una volta completata la configurazione iniziale. Le operazioni quotidiane passano attraverso la CLI (headscale nodes list, headscale acl tests) e si adattano a 3 comandi.
3. Il costo nascosto di Tailscale Premium: la fatturazione è per utente, non per dispositivo. Se hai 5 utenti e 100 nodi, paghi 5 × $18/mese - non 100 × $1.80. Headscale ignora questa distinzione (un nodo = un nodo).

Pratica: configurazione di Headscale su Contabo Francoforte

Configurazione di riferimento per un Contabo Cloud VPS 4 Francoforte (4 vCPU, 8 GB RAM, 100 GB SSD, traffico illimitato (fair-use), €5,50/mese - vedi la nostra recensione Contabo 2026). Stack: Debian 12, Docker, Headscale 0.29 (SQLite), Caddy 2, Authentik 2026.4.

Passo 1 - Provisioning Contabo (5 min)

Ordina un Contabo Cloud VPS 4 Francoforte tramite il nostro link Contabo VPS. Se preferisci un provider statunitense con 30 giorni soddisfatti o rimborsati, il VPS Basic di Ultahost costa 5,52 $ al mese su 24 mesi (1 GB di RAM, IPv4 dedicato, letto il 21 ottobre 2026), sufficiente per un server Headscale di un piccolo team. Opzione più economica: HostPapa Unmanaged VPS Lite (link affiliato) a 2,95 $ al mese con un impegno di 3 anni, poi a tariffa normale (1 core, 1 GB di RAM, 25 GB NVMe, accesso root via SSH, rimborso entro 30 giorni, rilevato il 28 ottobre 2026), sufficiente per Headscale, che gira come un unico binario leggero. Parti da un'immagine Debian 12 minimale: solo chiave SSH, accesso root disabilitato immediatamente, ufw + fail2ban configurati con il tutorial passo-passo Contabo.

Passo 2 - Stack Docker (10 min)

# /opt/headscale/docker-compose.yaml (Headscale 0.29.6, SQLite as recommended upstream)
services:
  headscale:
    image: docker.io/headscale/headscale:0.29.6
    container_name: headscale
    restart: unless-stopped
    read_only: true
    tmpfs:
      - /var/run/headscale
    ports:
      - "127.0.0.1:8080:8080"
      - "127.0.0.1:9090:9090"
    volumes:
      - /opt/headscale/config:/etc/headscale:ro
      - /opt/headscale/lib:/var/lib/headscale
    command: serve
    healthcheck:
      test: ["CMD", "headscale", "health"]

  caddy:
    image: docker.io/library/caddy:2
    container_name: caddy
    restart: unless-stopped
    ports:
      - "80:80"
      - "443:443"
      - "443:443/udp"
    volumes:
      - /opt/headscale/Caddyfile:/etc/caddy/Caddyfile:ro
      - caddy_data:/data
      - caddy_config:/config
    depends_on:
      - headscale

volumes:
  caddy_data:
  caddy_config:

Caddyfile minimale:

headscale.yourdomain.com {
  reverse_proxy headscale:8080
}

docker compose up -d e Let's Encrypt gestisce il certificato TLS in circa 30 secondi. Caddy raggiunge Headscale tramite il nome del servizio (headscale:8080): dentro il container di Caddy, 127.0.0.1 indicherebbe Caddy stesso. In config.yaml imposta server_url: https://headscale.yourdomain.com, listen_addr: 0.0.0.0:8080 (il container deve ascoltare su tutte le sue interfacce) e un dns.base_domain diverso da quel dominio. Il nostro generatore di config Headscale scrive il file completo per questo stack. Totale: 15 minuti di configurazione attiva.

Passo 3 - Connessione di 5 client

# Sul server Headscale
headscale users create eric
headscale users list   # numeric ID of eric, e.g. 1
headscale preauthkeys create --user 1 --reusable --expiration 24h
# → tskey-auth-xxxxx

# Su ogni client (MacBook, 2 Linux Debian, iOS, Android)
sudo tailscale up \
  --login-server=https://headscale.yourdomain.com \
  --authkey=tskey-auth-xxxxx

Su iOS e Android è necessario modificare Impostazioni → Tailscale → URL Coordinatore Personalizzato nell'app ufficiale (opzione visibile dalla versione 1.40). Collegare una manciata di client richiede solo pochi minuti.

Passo 4 - Cosa aspettarsi in termini di prestazioni

Per confrontare da soli, esegui iperf3 tra un client e il Contabo VPS Francoforte. La tabella seguente mostra cosa aspettarsi in modo direzionale - misura il tuo percorso per numeri esatti:

Sul tunnel diretto (il caso nominale), non c'è differenza - è WireGuard su entrambi i lati. La differenza appare solo sul relay DERP: ospitare il tuo DERP su Contabo Francoforte evita un lungo giro e offre RTT più bassi e throughput più elevati rispetto a un DERP pubblico distante che può essere saturo durante le ore di punta.

Headscale 0.29.6 (24 ottobre 2026): cosa cambia l'aggiornamento per te

Headscale 0.29.6 è uscito il 24 ottobre 2026 come versione di sicurezza e di correzioni (fonte: le note di rilascio su GitHub, lette il 25 ottobre 2026). La versione minima del client Tailscale resta 1.80.0 e le note non elencano nessuna nuova chiave di configurazione: l'aggiornamento si riduce a cambiare il tag nel compose qui sopra e lanciare docker compose pull && docker compose up -d.

Cosa corregge:

• Autorità di certificazione compromessa. I binari sono compilati con Go 1.27.3, che rifiuta le catene di certificati contenenti le chiavi intermedie eMudhra compromesse (CVE-2026-111943), e le immagini container sono ricostruite su basi il cui bundle di CA non include più emSign ECC Root CA - G3. Se compili Headscale da solo, ricompila con Go 1.27.3 o più recente, altrimenti non hai questa protezione.
• Denial of service HTTP/2. golang.org/x/net 0.60.0, golang.org/x/text 0.42.0 e gRPC 1.83.2 chiudono le vulnerabilità HTTP/2 e di elaborazione del testo pubblicate. Il control plane di Headscale è un endpoint HTTPS interrogato da ogni nodo: è la correzione che conta di più su un server esposto a Internet.
• Tailnet grandi. La mappa dei peer viene costruita una volta per scrittura di policy invece di due, ogni nodo trova le sue regole una sola volta invece di verificare ogni coppia di nodi contro ogni regola, gli aggiornamenti della mappa non rifiltrano più i destinatari, e un nodo che si disconnette o viene eliminato non lascia più flussi in INTERNAL_ERROR.

È anche il prezzo onesto della colonna self-hosted della tabella sopra: con Tailscale, il server di coordinamento è stato patchato per te; con Headscale, leggi le note di rilascio e lanci l'aggiornamento, su un server che controlli. Su un Contabo Cloud VPS 4 (link affiliato) l'operazione è un pull e un riavvio, e i tuoi dispositivi continuano a parlarsi nel frattempo: i tunnel WireGuard tra i nodi non dipendono dalla raggiungibilità del control plane.

Casi d'uso - chi dovrebbe scegliere cosa

Scegli Tailscale (gestito)

• Progetti personali / individuali, fino a 6 utenti → Tailscale Free. $0, dispositivi utente illimitati secondo i prezzi letti il 7 ottobre 2026, e l'UX è imbattibile.
• Startup in fase iniziale <5 utenti → Tailscale Free anche. Concentrati sul prodotto.
• Scaleup 20-100 utenti, conformità SaaS B2B USA-friendly → Tailscale Premium. Log di audit, SAML, supporto professionale - questo è il loro punto forte.
• Nessun sysadmin interno → Tailscale, nessun dibattito.

Scegli Headscale (self-host)

• Conformità UE / GDPR / sovranità del settore pubblico → Headscale. Il piano di controllo vive nella tua giurisdizione.
• Team con un sysadmin competente e tempo disponibile → Headscale si ripaga rapidamente (più economico da ~9 utenti su 3 anni; a 15 utenti i ~€1.000 iniziali si recuperano in circa 8 mesi).
• Produzione con requisiti di residenza dei dati rigorosi (sanità, fintech UE, difesa) → Headscale è essenzialmente obbligatorio.
• Desiderio di comprendere e padroneggiare il tuo stack VPN → Headscale ti insegna cose; Tailscale le nasconde.

Scegli WireGuard puro (promemoria)

Se stai ancora valutando un terzo scenario (WireGuard hub-and-spoke senza un piano di controllo), il nostro confronto Tailscale vs WireGuard self-host risolve quel ramo. Headscale arbitra solo contro Tailscale.

Limitazioni di Headscale che devi conoscere

Onestà prima di tutto - Headscale è solido, ma ecco i veri punti ciechi in produzione:

1. Ritardo delle funzionalità rispetto a Tailscale. Le nuove funzionalità di Tailscale (Tailscale Funnel, Tailscale Serve, registrazione delle sessioni SSH) arrivano in Headscale con ritardo, e alcune non arriveranno mai (funzionalità intrinsecamente Premium SaaS).
2. Flessibilità delle ACL. Il formato ACL JSON di Tailscale è compatibile, ma il linting di Headscale è meno verboso: un errore di battitura in un tag può rompersi silenziosamente. Workflow consigliato: headscale acl tests in CI prima di spingere.
3. Nessun MagicDNS automatico per PoC rapidi. Sul lato SaaS di Tailscale, MagicDNS funziona in due clic. Sul lato Headscale, devi configurare la zona DNS sul server - o dnsmasq o una zona CoreDNS dedicata. Non insormontabile, ma non è magico.
4. Nessun bug bounty ufficiale. Se trovi un CVE, sono le issue su GitHub, non un programma di divulgazione responsabile pagato.
5. headscale-ui di terze parti. La console web della comunità funziona ma non è all'altezza della dashboard di Tailscale in termini di UX. Per la maggior parte delle operazioni di routine, la CLI è sufficiente.

TCO comparativo a 3 anni

Scenario medio: 10 utenti attivi, 30 nodi, crescita moderata. Assunzioni: sysadmin a €50/h (livello junior-medio UE), Tailscale Premium $18/utente/mese (prezzi giugno 2026), Contabo Cloud VPS 4 Francoforte €5,50/mese + un reset hardware (~€30).

A 10 utenti / 30 nodi, Headscale è 12% più economico in TCO su 36 mesi. A 5 utenti, Tailscale Premium prevale ($3,240 vs ~€5,280 per Headscale - il costo fisso del sysadmin schiaccia il risparmio SaaS). A 20+ utenti, Headscale vince decisamente: Tailscale Premium raggiunge $12,960/36m, mentre Headscale rimane a ~€5,280.

Il punto dolce economico di Headscale: 10-15 utenti. Al di sotto di ciò, Tailscale Free o Premium vince. Sopra, Headscale vince per knockout.

Verdetto segmentato

La scelta peggiore: Headscale senza un sysadmin dedicato. Finirai con un piano di controllo non aggiornato un martedì sera.

Per avere i comandi sempre a portata di mano: la nostra Tailscale & Headscale Cheat Sheet gratuita (PDF di 4 pagine in inglese, download diretto, senza registrazione) raccoglie status e ping, exit node, subnet router, Serve e Funnel, la configurazione di Headscale, utenti, chiavi e ACL, e le cause di guasto più comuni. Scarica la scheda.

Ulteriori letture

• Che cos'è Tailscale e cosa sostituisce davvero
• Subnet router Tailscale: raggiungere tutta la LAN senza installare Tailscale ovunque
• ZeroTier o Tailscale: quale mesh scegliere
• VPN su un NAS Synology o QNAP: la guida completa
• WireGuard su un router OpenWrt: client e server
• Headscale self-host: guida completa all'installazione 2026
• Headscale vs WireGuard: il tunnel e il server che distribuisce le chiavi - che cosa il solo WireGuard lascia a voi, e che cosa la documentazione di Headscale dice che non è
• Tailscale vs WireGuard self-host 2026
• VPN self-host su Contabo WireGuard 2026
• Configurazione VPS Contabo passo passo
• WireGuard vs OpenVPN - benchmark VPS 2026
• Recensione Contabo 2026: feedback onesto sulla produzione
• Calcolatore dei costi VPN self-hosted - modella Tailscale vs Headscale vs WireGuard TCO con la dimensione del tuo team e la tariffa oraria
• Comparatore VPS interattivo - scegli l'host Headscale giusto tra Contabo, Hetzner e OVH in un colpo d'occhio
• Tailscale Funnel: la parola che mette la tua app su internet pubblico

Fonti:

• Headscale - codice sorgente juanfont/headscale
• Client CLI Tailscale - codice sorgente
• Bollettino di sicurezza Tailscale & Modello di minaccia
• DERP - Relay Designato Crittografato per Pacchetti
• Whitepaper WireGuard - Jason A. Donenfeld

Articolo pubblicato il 2026-06-07. Le note sulle prestazioni si basano su come Tailscale e Headscale sono progettati per funzionare (entrambi utilizzano WireGuard come piano dati); misura il tuo percorso per cifre esatte. Prezzi Tailscale tratti da tailscale.com/pricing a giugno 2026 - verifica prima di prendere una decisione. I risparmi reali dipendono dalla dimensione del team, dalla tariffa oraria del sysadmin e dai requisiti di conformità.

Nota: WireGuard, Tailscale e Headscale sono completamente legali nell'UE, USA, Canada. VPNSmith pubblica questo contenuto a scopo educativo.