Headscale vs Tailscale 2026: grátis auto-hospedado ou 8 $/utilizador?

A VPN em malha explodiu em 2026. O WireGuard tornou-se o padrão de facto, o Tailscale tornou-se a malha gerida de referência e a comunidade auto-hospedada levou o Headscale a um nível de maturidade que não deixa desculpas para permanecer preso a um SaaS quando a soberania importa. Se está a pesquisar "tailscale vs headscale", provavelmente está dividido entre a conveniência gerida e o controlo total - esta comparação faz a chamada, com base em como cada um é projetado para funcionar, com o Headscale implementado num Contabo VPS Frankfurt como a referência auto-hospedada.

Resposta curta

• Uso pessoal, home lab, projetos pessoais: Tailscale Free. Até 6 utilizadores por 0 $, pronto em 5 minutos, mas apenas para uso não comercial.
• Equipa pequena sem ninguém para gerir um servidor: um plano Tailscale pago (8 $ por utilizador por mês no Standard, 18 $ no Premium). O Tailscale mantém o plano de controlo atualizado por si.
• 10 utilizadores ou mais com um administrador de sistemas, ou obrigação de manter os metadados na UE: Headscale no seu próprio VPS, cerca de 66 € por ano seja qual for o tamanho da equipa, com as mesmas apps oficiais do Tailscale em cada dispositivo.

O plano de dados é idêntico em ambos os casos: WireGuard. Toda a diferença reside no plano de controlo - quem orquestra as chaves, ACLs, a travessia NAT e quem detém os metadados para a sua malha. Essa nuance muda tudo: custo, latência, dependência do fornecedor e postura de conformidade.

Quanto lhe vai custar? O Tailscale é gratuito para 6 utilizadores mas apenas para uso não comercial, o Twingate e o NetBird param nos 5 utilizadores, o ZeroTier nos 10 dispositivos. A nossa calculadora de preço do Tailscale gratuita usa o seu número de utilizadores e dispositivos e mostra o plano mais barato que serve em cada serviço em 12 a 36 meses, ao lado de um servidor Headscale ou NetBird auto-hospedado (preços verificados a 18/10/2026).

Em resumo (a comparação completa em 12 critérios está mais abaixo):

Tailscale: arquitetura gerida

O Tailscale é um plano de controlo SaaS sobreposto ao WireGuard. Quando instala o cliente, ele faz três coisas:

1. Autentica-se contra o coordenador Tailscale (login.tailscale.com).
2. Obtém a lista de pares autorizados + suas chaves públicas WireGuard.
3. Tenta uma conexão direta peer-to-peer WireGuard. Se o NAT bloquear, recorre a um relé DERP (TCP/443) gerido pela Tailscale Inc.

O coordenador SaaS

O coordenador é o orquestrador. Nunca vê as suas chaves privadas WireGuard - são geradas localmente e permanecem locais. Apenas distribui chaves públicas e mapeamentos de IP. Superfície de ataque real: se o coordenador for comprometido, um atacante pode injetar um par fantasma na sua malha. O Tailscale publica um modelo de ameaça detalhado e realiza auditorias regulares.

DERP - Relé Encriptado Designado para Pacotes

Quando dois pares atrás de NATs simétricos não conseguem estabelecer um túnel direto, o Tailscale retransmite o tráfego encriptado através de uma rede globalmente distribuída de servidores DERP (lista oficial de DERP). Isto ainda é WireGuard encriptado de ponta a ponta; a Tailscale Inc. não pode desencriptá-lo. Mas os metadados da rede (quem fala com quem, quando, quanto) transitam pela sua infraestrutura.

MagicDNS, ACLs, MFA SSO

• MagicDNS: resolução machine.your-tailnet.ts.net em toda a malha, sem configuração manual de DNS.
• ACLs JSON declarativas: quem pode falar com quem, em quais portas. Compiladas em regras iptables.
• MFA + SAML/OIDC SSO nos planos Premium e Enterprise (Google Workspace, Okta, Azure AD).
• Registos de auditoria completos no Premium.

A UX e excelente. O preco nao e, assim que sai do plano gratuito: na pagina de precos da Tailscale, lida a 20 de agosto de 2026, esse plano cobre ate 6 utilizadores com dispositivos ilimitados, e o Standard consta a 8 $ por utilizador por mes acima disso.

O que é o Headscale e como funciona com os clientes Tailscale?

O Headscale é uma reimplementação de código aberto (BSD-3, Go) da API do coordenador Tailscale. Você auto-hospeda-o no seu próprio servidor - um Contabo VPS a €5,50/mês é suficiente para o plano de controlo de uma equipa pequena. Os clientes oficiais Tailscale (iOS, macOS, Android, Linux, Windows) conectam-se diretamente usando --login-server=https://your-headscale-domain.com. Sem fork de cliente, soberania total, ponto de equilíbrio vs Tailscale Premium em ~7 utilizadores.

Headscale: arquitetura auto-hospedada

Headscale (BSD-3, Go, mantido por Juan Font + comunidade ativa) é uma reimplementação de código aberto da API do coordenador Tailscale. Não é um fork - é um servidor independente que fala o mesmo protocolo, tornando-o compatível com os clientes oficiais Tailscale.

Componentes

• Daemon Headscale: único binário Go, ~30 MB, escuta sobre HTTPS numa porta configurável.
• Backend de persistência: SQLite (padrão, adequado para pequenas instalações) ou PostgreSQL (recomendado para produção multi-organização).
• Proxy reverso TLS: Caddy ou Traefik em frente ao Headscale. Let's Encrypt automático.
• Fornecedor OIDC opcional: Authentik, Keycloak, Authelia para autenticação de utilizadores. Sem OIDC, as chaves pré-autenticadas (CLI) permanecem disponíveis.

O que o Headscale faz

• Descoberta de pares + distribuição de chaves públicas.
• ACLs JSON Tailscale (formato 100% compatível).
• DERP: use a rede pública DERP do Tailscale (padrão) ou hospede o seu próprio DERP no mesmo VPS.
• Nós de saída, routers de sub-rede, Taildrop, MagicDNS (desde v0.23).

O que o Headscale não faz

• Não há consola web oficial (alternativas da comunidade: headscale-ui, ainda a estabilizar).
• Sem Tailscale SSH com gravação de sessão (funcionalidade Premium SaaS).
• Sem suporte comercial - é open source comunitário, problemas no GitHub são o único canal.

Comparação de 12 critérios

Três observações que raramente se lêem em outros lugares:

1. Custom Headscale DERP é um divisor de águas para a UE. Hospede o DERP no mesmo VPS Contabo Frankfurt e substitui uma infraestrutura DERP dos EUA por uma da UE - grande vitória GDPR para empresas com requisitos de conformidade na UE/EEE.
2. A falta de uma consola oficial do Headscale é menos problemática do que se pensa uma vez que a configuração inicial está feita. As operações diárias passam pelo CLI (headscale nodes list, headscale acl tests) e cabem em 3 comandos.
3. O custo oculto do Tailscale Premium: a faturação é por utilizador, não por dispositivo. Se tiver 5 utilizadores e 100 nós, paga 5 × $18/mês - não 100 × $1.80. O Headscale ignora esta distinção (um nó = um nó).

Prática: configuração do Headscale no Contabo Frankfurt

Configuração de referência para um Contabo Cloud VPS 4 Frankfurt (4 vCPU, 8 GB RAM, 100 GB SSD, tráfego ilimitado (fair-use), €5.50/mês - veja a nossa análise Contabo 2026). Stack: Debian 12, Docker, Headscale 0.29 (SQLite), Caddy 2, Authentik 2026.4.

Passo 1 - Provisionamento Contabo (5 min)

Encomende um Contabo Cloud VPS 4 Frankfurt via nosso link Contabo VPS. Se preferir um fornecedor dos EUA com 30 dias de reembolso, o VPS Basic da Ultahost custa 5,52 $ por mês em 24 meses (1 GB de RAM, IPv4 dedicado, lido a 21 de outubro de 2026), suficiente para um servidor Headscale de uma pequena equipa. Opção mais barata: HostPapa Unmanaged VPS Lite (link de afiliado) a 2,95 $ por mês num prazo de 3 anos, depois ao preço normal (1 núcleo, 1 GB de RAM, 25 GB NVMe, acesso root por SSH, garantia de reembolso de 30 dias, consultado a 28 de outubro de 2026), suficiente para o Headscale, que corre como um único binário leve. Parta de uma imagem Debian 12 mínima: apenas chave SSH, login root desativado imediatamente, ufw + fail2ban configurados com o tutorial passo a passo Contabo.

Passo 2 - Stack Docker (10 min)

# /opt/headscale/docker-compose.yaml (Headscale 0.29.6, SQLite as recommended upstream)
services:
  headscale:
    image: docker.io/headscale/headscale:0.29.6
    container_name: headscale
    restart: unless-stopped
    read_only: true
    tmpfs:
      - /var/run/headscale
    ports:
      - "127.0.0.1:8080:8080"
      - "127.0.0.1:9090:9090"
    volumes:
      - /opt/headscale/config:/etc/headscale:ro
      - /opt/headscale/lib:/var/lib/headscale
    command: serve
    healthcheck:
      test: ["CMD", "headscale", "health"]

  caddy:
    image: docker.io/library/caddy:2
    container_name: caddy
    restart: unless-stopped
    ports:
      - "80:80"
      - "443:443"
      - "443:443/udp"
    volumes:
      - /opt/headscale/Caddyfile:/etc/caddy/Caddyfile:ro
      - caddy_data:/data
      - caddy_config:/config
    depends_on:
      - headscale

volumes:
  caddy_data:
  caddy_config:

Caddyfile mínimo:

headscale.yourdomain.com {
  reverse_proxy headscale:8080
}

docker compose up -d e o Let's Encrypt trata do certificado TLS em cerca de 30 segundos. O Caddy chega ao Headscale pelo nome do serviço (headscale:8080): dentro do contentor do Caddy, 127.0.0.1 apontaria para o próprio Caddy. No config.yaml, defina server_url: https://headscale.yourdomain.com, listen_addr: 0.0.0.0:8080 (o contentor tem de escutar em todas as suas interfaces) e um dns.base_domain diferente desse domínio. O nosso gerador de config Headscale escreve o ficheiro completo para esta pilha exata. Total: 15 minutos de configuração ativa.

Passo 3 - Conectar 5 clientes

# No servidor Headscale
headscale users create eric
headscale users list   # numeric ID of eric, e.g. 1
headscale preauthkeys create --user 1 --reusable --expiration 24h
# → tskey-auth-xxxxx

# Em cada cliente (MacBook, 2 Linux Debian, iOS, Android)
sudo tailscale up \
  --login-server=https://headscale.yourdomain.com \
  --authkey=tskey-auth-xxxxx

iOS e Android requerem edição em Configurações → Tailscale → URL do Coordenador Personalizado na aplicação oficial (opção visível desde 1.40). Conectar um punhado de clientes leva apenas alguns minutos.

Passo 4 - O que esperar em termos de desempenho

Para comparar por si mesmo, execute iperf3 entre um cliente e o Contabo VPS Frankfurt. A tabela abaixo mostra o que esperar em termos direcionais - meça a sua própria rota para números exatos:

No túnel direto (o caso nominal), não há diferença - é WireGuard em ambos os lados. A diferença só aparece no relé DERP: hospedar o seu próprio DERP no Contabo Frankfurt evita um longo desvio e proporciona menor RTT e maior throughput do que um DERP público distante que pode estar saturado durante as horas de pico.

Headscale 0.29.6 (24 de outubro de 2026): o que a atualização muda para você

O Headscale 0.29.6 foi publicado em 24 de outubro de 2026 como versão de segurança e de correções (fonte: as notas de lançamento no GitHub, lidas em 25 de outubro de 2026). A versão mínima do cliente Tailscale continua em 1.80.0 e as notas não listam nenhuma chave de configuração nova: a atualização resume-se a trocar a tag no compose acima e executar docker compose pull && docker compose up -d.

O que ela corrige:

• Autoridade de certificação comprometida. Os binários são compilados com Go 1.27.3, que rejeita cadeias de certificados com as chaves intermediárias eMudhra comprometidas (CVE-2026-111943), e as imagens de contêiner são reconstruídas sobre bases cujo pacote de CA já não inclui emSign ECC Root CA - G3. Se você compila o Headscale por conta própria, recompile com Go 1.27.3 ou mais recente; caso contrário, não tem esta proteção.
• Negação de serviço HTTP/2. golang.org/x/net 0.60.0, golang.org/x/text 0.42.0 e gRPC 1.83.2 fecham as vulnerabilidades publicadas de HTTP/2 e de processamento de texto. O plano de controle do Headscale é um endpoint HTTPS consultado por cada nó: é a correção que mais importa num servidor exposto à Internet.
• Tailnets grandes. O mapa de pares é construído uma vez por escrita de política em vez de duas, cada nó encontra as suas regras uma só vez em vez de cada par de nós ser verificado contra cada regra, as atualizações do mapa já não refiltram os destinatários, e um nó que faz logout ou é apagado já não deixa fluxos em INTERNAL_ERROR.

Este é também o preço honesto da coluna auto-hospedada da tabela acima: com o Tailscale, o servidor de coordenação foi corrigido por você; com o Headscale, você lê as notas de lançamento e executa a atualização, num servidor que controla. Num Contabo Cloud VPS 4 (link de afiliado) a operação é um pull e um reinício, e os seus dispositivos continuam a falar entre si enquanto isso: os túneis WireGuard entre nós não dependem de o plano de controle estar acessível.

Casos de uso - quem deve escolher o quê

Escolher Tailscale (gerido)

• Projetos solo / pessoais, ate 6 utilizadores → Tailscale Free. $0, dispositivos ilimitados segundo o indicado a 20 de agosto de 2026, e a UX e imbativel.
• Startup em fase inicial <5 utilizadores → Tailscale Free também. Mantenha o foco no produto.
• Scaleup 20-100 utilizadores, conformidade B2B SaaS amigável aos EUA → Tailscale Premium. Registos de auditoria, SAML, suporte profissional - esse é o ponto forte deles.
• Sem administrador de sistemas interno → Tailscale, sem debate.

Escolher Headscale (auto-hospedado)

• Conformidade UE / GDPR / soberania do setor público → Headscale. O plano de controlo vive na sua jurisdição.
• Equipa com um administrador de sistemas competente e tempo disponível → Headscale compensa rapidamente (mais barato a partir de ~9 utilizadores em 3 anos; com 15 utilizadores, os ~€1.000 iniciais recuperam-se em cerca de 8 meses).
• Produção com requisitos rigorosos de residência de dados (saúde, fintech da UE, defesa) → Headscale é essencialmente obrigatório.
• Desejo de entender e dominar a sua stack VPN → Headscale ensina-lhe coisas; Tailscale esconde-as.

Escolher WireGuard puro (lembrete)

Se ainda está a considerar um terceiro cenário (WireGuard hub-and-spoke sem um plano de controlo), a nossa comparação Tailscale vs WireGuard auto-hospedado resolve essa questão. O Headscale apenas arbitra contra o Tailscale.

Limitações do Headscale que precisa de saber

Honestidade primeiro - o Headscale é sólido, mas aqui estão os verdadeiros pontos cegos em produção:

1. Atraso de funcionalidades em relação ao Tailscale. Novas funcionalidades do Tailscale (Tailscale Funnel, Tailscale Serve, gravação de sessão SSH) chegam ao Headscale com atraso, e algumas nunca virão (funcionalidades intrinsecamente Premium SaaS).
2. Flexibilidade das ACLs. O formato JSON ACL do Tailscale é compatível, mas a verificação do Headscale é menos detalhada: um erro de digitação numa tag pode quebrar silenciosamente. Fluxo de trabalho recomendado: headscale acl tests em CI antes de enviar.
3. Sem MagicDNS automático para PoCs rápidos. No lado SaaS do Tailscale, o MagicDNS funciona em dois cliques. No lado do Headscale, deve configurar a zona DNS no servidor - seja dnsmasq ou uma zona CoreDNS dedicada. Não é insuperável, mas não é mágico.
4. Sem programa oficial de recompensas por bugs. Se encontrar um CVE, são problemas no GitHub, não um programa pago de divulgação responsável.
5. headscale-ui de terceiros. A consola web da comunidade funciona, mas não está ao nível do painel do Tailscale em UX. Para a maioria das operações de rotina, o CLI é suficiente.

TCO comparativo a 3 anos

Cenário médio: 10 utilizadores ativos, 30 nós, crescimento moderado. Assunções: administrador de sistemas a €50/h (nível júnior-médio UE), Tailscale Premium $18/utilizador/mês (preços de junho de 2026), Contabo Cloud VPS 4 Frankfurt €5.50/mês + um reset de hardware (~€30).

Com 10 utilizadores / 30 nós, o Headscale é 12% mais barato em TCO ao longo de 36 meses. Com 5 utilizadores, o Tailscale Premium avança ($3,240 vs ~€5,280 para o Headscale - o custo fixo do administrador de sistemas esmaga a poupança SaaS). Com 20+ utilizadores, o Headscale vence decisivamente: o Tailscale Premium atinge $12,960/36m, enquanto o Headscale permanece em ~€5,280.

O ponto doce económico do Headscale: 10-15 utilizadores. Abaixo disso, o Tailscale Free ou Premium vence. Acima disso, o Headscale vence por nocaute.

Veredicto segmentado

A pior escolha: Headscale sem um administrador de sistemas dedicado. Acabará com um plano de controlo não corrigido numa terça-feira à noite.

Para ter os comandos à mão: a nossa Tailscale & Headscale Cheat Sheet gratuita (PDF de 4 páginas em inglês, download direto, sem registo) reúne status e ping, exit node, subnet router, Serve e Funnel, a configuração do Headscale, utilizadores, chaves e ACL, e as causas de falha habituais. Descarregar a ficha.

Leitura adicional

• O que é o Tailscale e o que substitui de facto
• Subnet router Tailscale: alcançar toda a LAN sem instalar o Tailscale em todo o lado
• ZeroTier ou Tailscale: que malha escolher
• VPN num NAS Synology ou QNAP: o guia completo
• WireGuard num router OpenWrt: cliente e servidor
• Headscale auto-hospedado: guia completo de instalação 2026
• Headscale vs WireGuard: o túnel e o servidor que distribui as chaves - o que o WireGuard simples deixa por sua conta, e o que a documentação do Headscale diz que ele não é
• Tailscale vs WireGuard auto-hospedado 2026
• VPN auto-hospedada no Contabo WireGuard 2026
• Configuração passo a passo do VPS Contabo
• WireGuard vs OpenVPN - benchmarks VPS 2026
• Análise Contabo 2026: feedback honesto de produção
• Calculadora de custos de VPN auto-hospedada - modele Tailscale vs Headscale vs WireGuard TCO com o tamanho da sua equipa e taxa horária
• Comparador interativo de VPS - escolha o anfitrião Headscale certo entre Contabo, Hetzner e OVH num relance
• Tailscale Funnel: a palavra que põe a tua aplicação na internet pública

Fontes:

• Headscale - código fonte juanfont/headscale
• Cliente CLI Tailscale - código fonte
• Boletim de Segurança Tailscale & Modelo de Ameaça
• DERP - Relé Encriptado Designado para Pacotes
• Whitepaper WireGuard - Jason A. Donenfeld

Artigo publicado em 2026-06-07. As notas de desempenho são baseadas em como o Tailscale e o Headscale são projetados para funcionar (ambos usam WireGuard como plano de dados); meça a sua própria rota para obter números exatos. Preços do Tailscale obtidos de tailscale.com/pricing em junho de 2026 - verifique antes de tomar uma decisão. As poupanças reais dependem do tamanho da equipa, taxa horária do administrador de sistemas e requisitos de conformidade.

Nota: WireGuard, Tailscale e Headscale são totalmente legais na UE, EUA, Canadá. A VPNSmith publica este conteúdo para fins educacionais.