Tailscale: o que é, para que serve e é grátis? (2026)

O Tailscale é uma VPN em malha, gratuita até 6 utilizadores, que liga os seus portáteis, telemóveis e servidores numa só rede privada cifrada construída sobre o WireGuard, sem portas para abrir nem ficheiros de configuração para escrever. Foi feito para chegar às suas próprias máquinas a partir de qualquer lugar (NAS, servidor de casa, SSH), não para navegar de forma anónima: para esconder o seu IP, precisa de um exit node.

Este guia responde, por ordem, às perguntas que as pessoas escrevem no Google: o que faz o Tailscale, como funciona, o que é gratuito e o que é pago, e como usá-lo como uma VPN normal.

Quanto lhe vai custar? O Tailscale é gratuito para 6 utilizadores mas apenas para uso não comercial, o Twingate e o NetBird param nos 5 utilizadores, o ZeroTier nos 10 dispositivos. A nossa calculadora de preço do Tailscale gratuita usa o seu número de utilizadores e dispositivos e mostra o plano mais barato que serve em cada serviço em 12 a 36 meses, ao lado de um servidor Headscale ou NetBird auto-alojado (preços verificados a 18 out. 2026).

O que é o Tailscale, numa frase?

O Tailscale é uma VPN em malha, construída sobre o WireGuard, que liga todos os seus dispositivos numa única rede privada quase sem configuração. Instala a aplicação em cada dispositivo, inicia sessão com uma conta existente, e todos conseguem comunicar entre si em segurança, onde quer que estejam no mundo. Pega no protocolo WireGuard, rápido e moderno, e tira-lhe o trabalho manual que normalmente o acompanha.

O que faz realmente o Tailscale?

A definição acima diz o que o Tailscale é. Normalmente as pessoas querem saber o que ele faz, e a resposta é mais curta: dá a cada dispositivo seu um endereço privado fixo que continua a funcionar seja qual for a rede em que o dispositivo está.

Tudo o resto decorre desse único comportamento. Na prática, faz três coisas:

• Torna os seus dispositivos acessíveis uns aos outros. O seu portátil consegue abrir o NAS de casa, o computador de secretária ou um servidor alugado, a partir de um café ou de outro país, sem abrir uma única porta no router.
• Continua a funcionar quando a rede muda. O endereço não muda quando passa do Wi-Fi de casa para os dados móveis. As ligações sobrevivem à mudança em vez de caírem.
• Também pode encaminhar o seu tráfego de internet, se o pedir. Ao designar um dispositivo como exit node, pode fazer passar a sua navegação por ele: é a parte que se parece com uma VPN tradicional, e a parte que vem desativada por predefinição.

O que não faz é dar-lhe um menu de servidores noutros países. É essa a fonte habitual de confusão, e é tratada mais abaixo.

(O nome escreve-se numa só palavra. Se pesquisou "tail scale" em duas palavras, está no sítio certo: o produto chama-se Tailscale.)

Como funciona o Tailscale?

O Tailscale funciona em quatro passos: cada dispositivo cria o seu próprio par de chaves WireGuard, as chaves públicas são trocadas através do servidor de coordenação do Tailscale, os dispositivos procuram um caminho entre si através do NAT (direto, ou por um relay cifrado) e depois o tráfego circula de dispositivo para dispositivo em WireGuard. Eis o que acontece, por ordem, na primeira vez que executa tailscale up:

1. Inicia sessão com uma identidade que já tem. Google, Microsoft, GitHub, Apple ou qualquer fornecedor OIDC. O Tailscale não guarda nenhuma palavra-passe própria: o fornecedor de identidade diz quem é, e essa identidade decide a que tailnet o dispositivo se junta.
2. O dispositivo gera localmente um par de chaves WireGuard. A chave privada nunca sai da máquina. Só a chave pública, com os endereços onde o dispositivo pode ser alcançado, é enviada ao servidor de coordenação (o plano de controlo em login.tailscale.com).
3. O servidor de coordenação distribui o mapa. Cada dispositivo recebe as chaves públicas e os endereços acessíveis dos seus pares, as regras de acesso (ACL) que escreveu, um endereço privado fixo na gama 100.64.0.0/10 e um nome MagicDNS como nas.o-seu-tailnet.ts.net.
4. Os dispositivos procuram um caminho entre si. Cada um descobre o seu endereço público com STUN e tenta abrir uma ligação UDP direta, atravessando o NAT. Quando ambos os lados estão atrás de um NAT rígido ou de CGNAT, o tráfego passa por um relay DERP, sempre cifrado de ponta a ponta (o relay só transporta texto cifrado que não consegue ler), e o Tailscale continua a tentar passar para um caminho direto em segundo plano.
5. O tráfego circula em WireGuard, de dispositivo para dispositivo. O servidor de coordenação nunca vê um pacote dos seus dados: só trata das chaves, da identidade e da lista de pares.

A única coisa a reter: o servidor de coordenação é a peça em que confia. Nunca transporta os seus dados, mas decide que chaves públicas pertencem ao seu tailnet. Se isso o incomoda, o servidor de código aberto Headscale substitui-o numa máquina sua, e os clientes oficiais do Tailscale continuam a funcionar sem alterações.

Para que serve o Tailscale?

Brilha sempre que precisa de acesso privado às suas próprias máquinas:

• Chegar a um servidor de casa ou NAS a partir de qualquer lugar, como se estivesse em casa.
• Ligar os dispositivos de uma pequena equipa sem uma VPN corporativa tradicional.
• Fazer SSH para servidores sem os expor à internet pública.
• Juntar máquinas da cloud e de casa numa só rede privada e plana.

Isto é diferente de uma VPN comercial. Se quiser comparar a alternativa mais manual, veja a nossa análise Tailscale vs WireGuard puro.

Qual é a diferença entre o Tailscale e uma VPN normal?

Isto baralha as pessoas, por isso vale a pena ser claro. Uma VPN comercial encaminha o seu tráfego pelos servidores de um fornecedor para esconder o seu IP e desbloquear streaming. O Tailscale liga os seus próprios dispositivos uns aos outros de forma privada. Não foi feito para navegar de forma anónima nem para ver a Netflix de outro país. Foi feito para o acesso seguro e privado às máquinas e serviços que possui.

Malha ou hub-and-spoke: a forma da rede

A tabela acima compara para que servem as duas. A diferença mais profunda é a topologia, e é ela que decide como o seu tráfego circula de facto.

Uma VPN tradicional é em estrela (hub and spoke). Cada dispositivo liga ao mesmo concentrador, e tudo o que envia atravessa-o, mesmo um ficheiro destinado ao portátil pousado na sua própria secretária. Esse concentrador é um único sítio a configurar, um único ponto de falha, e um desvio que se mede em milissegundos reais quando as duas máquinas estão na mesma sala e o concentrador noutro país.

Uma VPN em malha é ponto a ponto. Cada dispositivo guarda uma chave para cada um dos outros e fala diretamente com ele quando a rede o permite, usando NAT traversal para abrir caminho através dos routers intermédios. Continua a existir um servidor de coordenação, mas distribui chaves e endereços; não transporta os seus pacotes. Quando a travessia falha, e isso acontece em algumas redes restritivas, o tráfego recorre a um relay e volta ao comportamento em estrela, mais lento mas funcional.

Da forma, e não da marca, decorrem três consequências:

• A latência segue o caminho real entre dois dispositivos, não o caminho até um concentrador.
• Uma malha não tem um estrangulamento único para dimensionar nem para perder, mas tem um serviço de coordenação cuja disponibilidade continua a contar.
• Acrescentar um dispositivo é uma troca de chaves, não uma alteração a uma configuração central.

Quais são os limites do Tailscale?

O Tailscale é excelente, mas tem compromissos. Depende dos seus servidores de coordenação e do início de sessão para a camada de controlo, por isso não é totalmente autónomo. Se isso lhe importa, o servidor de código aberto Headscale ou o WireGuard simples eliminam essa dependência, com mais configuração. O preço é por utilizador, por isso cresce com a dimensão da equipa. E como serve para o acesso privado a dispositivos, não substitui uma VPN comercial para desbloquear conteúdos. Escolha-o pelo que é: a forma mais fácil de ligar os seus próprios dispositivos entre si em segurança.

O Tailscale é gratuito?

Resposta curta: sim para uso pessoal, até 6 utilizadores. A nossa página dedicada O Tailscale é gratuito? Os limites do plano grátis analisa cinco casos comuns (família, homelab, freelancer, pequena equipa) e quanto custa cada saída do plano grátis.

Há um plano gratuito, e é invulgarmente generoso para uso pessoal: o plano Personal cobre até 6 utilizadores com dispositivos ilimitados, desde que o uso se mantenha não comercial. Um tailnet criado com um domínio de empresa começa com um período de teste e depois exige um plano pago, faturado por utilizador e não por dispositivo. Valores de tailscale.com/pricing, lidos a 18 out. 2026; volte a verificá-los antes de assinar, a grelha muda com frequência.

Os recursos com tag (servidores, exit nodes, subnet routers) estão incluídos até 50 nos planos pagos, depois custam 1 $ por mês cada. Três formas de não pagar nada quando o plano Personal deixa de chegar: contar as pessoas que iniciam sessão e não os dispositivos (um agregado de 4 pessoas com 20 máquinas continua grátis); alojar você mesmo o plano de controlo com o Headscale, onde os clientes oficiais do Tailscale funcionam, não há limite de utilizadores e o custo é o servidor, um VPS da Contabo por cerca de 5,50 € por mês (verificado a 17 out. 2026), com o nosso gerador de configuração Headscale gratuito a escrever a configuração; ou comparar com a concorrência na nossa calculadora de preço do Tailscale, que dá o custo real do Tailscale, Twingate, NetBird e ZeroTier em 12 a 36 meses para os seus números.

A distinção que conta mais do que o preço: o Tailscale é gratuito no sentido de que lhe é fornecido um serviço de coordenação, não no sentido de que é você a executar tudo. O seu tráfego continua ponto a ponto, mas o serviço que apresenta os seus dispositivos uns aos outros é deles. Se também quiser essa parte na sua própria infraestrutura, é exatamente para isso que o Headscale existe: uma reimplementação de código aberto do plano de controlo que você próprio aloja.

Então porque é que o Tailscale é gratuito? O próprio Tailscale explica no artigo How our free plan stays free, do CEO Avery Pennarun (lido a 24 de outubro de 2026). Os seus dados circulam ponto a ponto entre os seus dispositivos, não pelos servidores do Tailscale, por isso um utilizador gratuito custa muito pouco; e quem o usa em casa leva-o para o trabalho, onde as empresas pagam por utilizador. A posição declarada do Tailscale: os seus dados não são o produto. O plano gratuito assenta nesse modelo de negócio, uma das razões pelas quais alguns homelabs mantêm um Headscale auto-hospedado como alternativa.

O detalhe caso a caso (família, homelab, freelancer, 7.º utilizador) está no nosso guia O Tailscale é gratuito? Os limites do plano grátis, com o custo de cada forma de os ultrapassar.

O Tailscale vê o meu tráfego?

Não, no caso normal, e a razão é estrutural e não uma promessa. O Tailscale constrói túneis WireGuard diretamente entre os seus dispositivos, e as chaves de cifra nunca saem deles: os servidores de coordenação trocam chaves públicas e informações de ligação, não o conteúdo. O que o Tailscale consegue ver são metadados: que dispositivos existem, quando se ligam, que endereços anunciam.

Há uma nuance que vale mais a pena conhecer do que descobrir. Quando dois dispositivos estão atrás de configurações de rede que recusam uma ligação direta, o tráfego recorre a um relay DERP operado pelo Tailscale. Esse relay transporta o túnel cifrado; não consegue ler o que está lá dentro, porque as chaves continuam apenas nos seus dispositivos. Por isso, a afirmação honesta é: os relays conseguem ver que está a comunicar e quanto, nunca o que está a dizer.

Tailscale vs uma aplicação de VPN, numa só distinção

A confusão por trás da maioria das perguntas do tipo "qual devo usar" é que a palavra VPN cobre duas tarefas sem relação entre si.

Uma aplicação de VPN comercial dá-lhe o endereço IP de outra pessoa. É isso que faz funcionar o desbloqueio geográfico e o esconder o seu endereço de um site, e é o produto inteiro. O Tailscale dá-lhe os seus próprios dispositivos, acessíveis a partir de qualquer lugar, como se partilhassem uma rede privada. Não o esconde dos sites: continua a sair pela rede onde estiver, a não ser que encaminhe deliberadamente o tráfego por um exit node que controla.

Por isso, a pergunta não é qual é melhor. É qual a tarefa que tem. Chegar ao seu NAS a partir de um hotel é Tailscale. Ver um serviço que não está disponível onde está é uma VPN comercial. Querer as duas coisas significa usar as duas, e isso é uma configuração normal, não um compromisso.

O que surpreende primeiro no Tailscale?

Três coisas explicam a maior parte do atrito inicial, e nenhuma é um defeito:

• Cada dispositivo precisa do cliente. Não existe um interruptor do lado do servidor que coloque uma máquina na sua rede. Tudo o que quer tornar acessível tem de executar o Tailscale, e é por isso que uma impressora ou um NAS antigo acabam muitas vezes atrás de um subnet router.
• Os endereços IP parecem estranhos. Os dispositivos recebem um endereço na gama 100.x, não na gama da rede local de casa. É propositado, evita conflitos com a rede local onde estiver, mas significa que os favoritos para endereços 192.168.x não funcionam a partir de fora.
• O acesso está aberto por predefinição. Uma rede nova deixa cada dispositivo chegar a todos os outros. Para uso pessoal está bem, para algo partilhado está errado; as ACL existem exatamente para isso, e vale a pena escrevê-las antes de convidar alguém.

O Tailscale consegue esconder o seu IP como uma VPN normal?

Sim, com uma condição: dar-lhe uma saída. O Tailscale não tem servidores de navegação próprios. Para que o seu tráfego de internet saia por outro sítio que não a rede onde está, designa um dispositivo do seu tailnet como exit node (nó de saída) e os outros dispositivos navegam com o IP desse nó. Há três formas de o fazer, e não fazem o mesmo trabalho:

O VPS é a escolha habitual quando quer uma saída que não dependa nem do router nem da eletricidade de casa. A configuração leva uns dez minutos: instalar o Tailscale no servidor, ativar o reencaminhamento IP (net.ipv4.ip_forward = 1), executar sudo tailscale set --advertise-exit-node e depois aprovar o nó na consola de administração. Todos os comandos e a verificação de que funciona estão no nosso guia completo do exit node Tailscale. O mesmo servidor pode mais tarde executar o Headscale se também quiser deixar de depender dos servidores de coordenação.

Em resumo

O Tailscale é o caminho mais simples para uma rede privada dos seus próprios dispositivos. Pega na velocidade e na segurança do WireGuard e esconde a complexidade, por isso ligar um portátil, um telemóvel e um servidor leva minutos em vez de uma noite inteira. Não é uma ferramenta de anonimato, é uma ferramenta de acesso privado, e nesse trabalho é difícil de bater.

Uma VPN muda o seu IP. Não muda o seu navegador.

Um túnel substitui o endereço que um serviço vê. Não muda nada do que o seu navegador anuncia por si só (tipos de letra, ecrã, fuso horário, pilha gráfica), e essa combinação é muitas vezes estável o suficiente para o reconhecer de uma sessão para outra, com ou sem túnel.

Meça a impressão digital do seu navegador: passivo, sem perguntas, sem conta, sem email.

Para ter os comandos à mão: a nossa Tailscale & Headscale Cheat Sheet gratuita (PDF de 4 páginas em inglês, download direto, sem registo) reúne status e ping, exit node, subnet router, Serve e Funnel, a configuração do Headscale, utilizadores, chaves e ACL, e as causas de falha habituais. Descarregar a ficha.

Guias relacionados

• Tailscale Funnel: a palavra que põe a sua aplicação na internet pública
• Exit node Tailscale: o guia completo num VPS
• Tailscale ou Headscale: SaaS gerido ou servidor de controlo auto-alojado
• Roteador de sub-rede Tailscale: chegar à impressora ou ao NAS sem cliente

Se preferir gerir você mesmo o ponto de saída em vez de depender de um serviço de coordenação, a nossa comparação dos VPS mais baratos cobre os planos de entrada que chegam.