SDI — Serviços Digitais Integrados · Blog

API oficial do WhatsApp vs Evolution API, Z-API e WAHA

Tue, 27 Oct 2026 00:00:00 GMT

Valores de outubro de 2026. Para um atendimento receptivo de porte pequeno ou médio, a API oficial do WhatsApp (Cloud API da Meta) custa de R$ 25 a R$ 330 por mês em tarifas, contra cerca de R$ 100 por mês de uma API não oficial paga, como a Z-API. A diferença de preço é pequena; a diferença de risco não é. Abaixo estão a conta, os termos de uso e quando cada caminho faz sentido.

Qual é a diferença entre API oficial e API não oficial

A API oficial é a Cloud API, hospedada pela Meta, com número verificado, modelos de mensagem aprovados e cobrança por mensagem. As APIs não oficiais, como Evolution API (no modo Baileys), Z-API e WAHA, conectam por uma sessão do WhatsApp Web, aberta com QR code: não pagam tarifa à Meta, mas operam fora dos termos de uso.

Critério	Cloud API (oficial)	Evolution API, Z-API, WAHA (modo WhatsApp Web)
Como conecta	API da Meta, com número registrado na plataforma	Sessão do WhatsApp Web, aberta com QR code
Quem cobra	Meta, por mensagem entregue (direto ou via provedor BSP)	Mensalidade do fornecedor ou só o servidor, se self-hosted
Mensagem ativa (fora da janela de 24 h)	Só por modelo aprovado pela Meta	Livre, sem controle
Limite de envio	Por portfólio, começando em 250 destinatários únicos em 24 h	Nenhum formal; o limite é o bloqueio
Risco de bloqueio do número	Baixo, se seguir as políticas	Alto, sem aviso prévio
Suporte	Meta e provedor BSP	Fornecedor ou comunidade do projeto
Mudanças no WhatsApp	Versionadas e anunciadas	Podem quebrar a conexão sem aviso

Na Z-API, por exemplo, a conexão é feita lendo um QR code ou digitando um código de pareamento no aparelho que tem o número, conforme a documentação de conexão da Z-API.

Um detalhe importante: Evolution API não é sinônimo de API não oficial. O projeto no GitHub oferece dois conectores, um baseado no WhatsApp Web (biblioteca Baileys) e outro que usa a própria Cloud API da Meta. No segundo modo, a Evolution API é só uma camada de integração, e valem as tarifas e as regras da API oficial.

Desde 23/10/2025, a Cloud API é a única forma oficial de integração: a versão On-Premises, instalada no servidor da empresa, foi descontinuada pela Meta.

Quanto custa cada caminho em outubro de 2026

Na API oficial, o custo é a tarifa da Meta por mensagem entregue, que no Brasil vai de cerca de R$ 0,035 (serviço, utilidade e autenticação) a R$ 0,32 (marketing), com 1.000 mensagens de serviço grátis por número a cada mês. Nas não oficiais, o custo é uma mensalidade fixa por número ou o servidor próprio.

Caminho	Como é cobrado	Referência em outubro de 2026
Cloud API, direto com a Meta	Por mensagem entregue, conforme a categoria	Serviço, utilidade e autenticação: R$ 0,035; marketing: R$ 0,3217
Cloud API via provedor (BSP)	Tarifa da Meta + mensalidade ou margem do provedor	Varia por provedor
Z-API	Mensalidade por instância (número conectado)	R$ 99,99/mês; R$ 89,99/mês por instância a partir de 10
Evolution API (modo Baileys), self-hosted	Servidor próprio	Código aberto, sem licença; servidor de R$ 60 a R$ 150/mês (premissa)
WAHA, self-hosted	Servidor próprio	Código aberto e gratuito, segundo a página do projeto

Fontes: preços da plataforma da Meta, página de planos da Z-API e página do WAHA, consultadas em 27/10/2026. Os valores da Meta em reais vêm de fornecedor que reproduz a tabela oficial em BRL; a tabela comparativa da página da Meta mostra cerca de 0,68 centavo (de dólar) por mensagem de utilidade para o Brasil. Desde 01/07/2026, contas brasileiras podem ser faturadas em reais, e a migração para BRL é obrigatória até 30/06/2027.

Duas regras da Meta pesam mais na conta. Desde 01/10/2026, as respostas dentro da janela de 24 horas deixaram de ser gratuitas sem limite: cada número tem 1.000 mensagens de serviço grátis por mês, e as seguintes são cobradas. E as mensagens que o cliente envia para a empresa nunca são cobradas.

Comparação em três volumes

Com atendimento receptivo, a API oficial custa menos que a Z-API até cerca de 3.900 mensagens de serviço por mês num número. Acima disso, ou com campanhas de marketing, a tarifa da Meta passa da mensalidade. Mas o volume alto é justamente onde o bloqueio de um número não oficial custa mais caro.

Premissas: os mesmos três cenários do artigo Quanto custa um agente de IA para WhatsApp, com um número de telefone, sem desconto por volume e sem anúncios de clique para o WhatsApp. Só entra o custo do canal; modelo de linguagem, servidor da automação e manutenção são iguais nos dois caminhos e ficam de fora.

Item	Pequeno	Médio	Alto volume
Atendimentos por mês	300	1.500	6.000
Mensagens de serviço no mês	1.500	9.000	36.000
Mensagens de utilidade fora da janela de atendimento (lembretes, confirmações)	200	1.500	6.000
Mensagens de marketing	nenhuma	nenhuma	5.000
Cloud API: tarifas da Meta	R$ 24,50	R$ 332,50	R$ 3.043,50
Z-API: mensalidade	R$ 99,99	R$ 99,99	R$ 99,99
Evolution API ou WAHA self-hosted: servidor	R$ 60 a R$ 150	R$ 60 a R$ 150	R$ 60 a R$ 150

Como chegamos aos valores da Cloud API: no cenário pequeno, 500 mensagens de serviço cobradas (1.500 menos a franquia de 1.000) × R$ 0,035 = R$ 17,50, mais 200 de utilidade × R$ 0,035 = R$ 7,00. No médio, 8.000 × R$ 0,035 + 1.500 × R$ 0,035. No alto volume, 35.000 de serviço e 6.000 de utilidade a R$ 0,035, mais 5.000 de marketing a R$ 0,3217 (R$ 1.608,50).

O ponto de equilíbrio com a Z-API, só com mensagens de serviço, fica em R$ 99,99 ÷ R$ 0,035 ≈ 2.857 mensagens cobradas, ou cerca de 3.857 no total com a franquia. Com marketing, o equilíbrio chega rápido: cerca de 311 mensagens de marketing por mês já custam o mesmo que a mensalidade. A calculadora de custo de agente no WhatsApp refaz essa conta com os seus volumes.

O risco de bloqueio do número

O risco das APIs não oficiais não é teórico: os termos do WhatsApp proíbem envio automatizado e em massa e o uso não pessoal sem autorização, e o próprio projeto WAHA avisa que o WhatsApp não permite clientes não oficiais. Não há estatística pública de bloqueios, então ninguém consegue prometer que um número não será bloqueado.

O que dizem as fontes primárias:

Termos de Serviço do WhatsApp. A seção de uso aceitável proíbe comunicações que envolvam “bulk messaging, auto-messaging, auto-dialing” e “qualquer uso não pessoal dos serviços, salvo autorização”, além de acesso “por meios automatizados” não autorizados (termos de serviço).
WAHA. A página do projeto diz, em tradução livre: “o WhatsApp não permite bots ou clientes não oficiais na plataforma, então isso não deve ser considerado totalmente seguro” (waha.devlike.pro).
Evolution API. A documentação do projeto descreve o modo Baileys como gratuito e baseado no WhatsApp Web, com possíveis limitações em relação à API oficial.

O que aumenta o risco, na prática: enviar mensagem ativa para quem não iniciou a conversa, disparar o mesmo texto para muitos contatos em pouco tempo, usar número recém-criado e receber denúncias de spam. Atendimento só receptivo, em número antigo e com volume baixo, tende a durar mais, mas continua fora dos termos.

O que se perde com o bloqueio: o número que os clientes já conhecem, o histórico de conversas no aparelho e o canal de atendimento até que outro número seja configurado e divulgado. Para uma empresa que vende ou agenda pelo WhatsApp, esse é o custo que a mensalidade menor precisa compensar.

O que a API oficial exige e limita

A API oficial também tem restrições: mensagens ativas só por modelo aprovado, limite de destinatários por dia para contas novas, classificação de qualidade que pode reduzir esse limite e regras de conteúdo. Em troca, as regras são públicas, versionadas e anunciadas com antecedência, o que permite planejar a operação.

Restrição	Como funciona	Fonte
Janela de atendimento	Fora das 24 horas após a última mensagem do cliente, só é possível enviar modelo aprovado	Preços da plataforma
Limite de envio	Portfólio novo começa com 250 destinatários únicos em 24 h fora da janela; sobe para 2.000 após verificação da empresa (ou volume de envio de qualidade) e análise da Meta; depois 10.000, 100.000 e ilimitado, conforme a qualidade	Limites de envio
Limite compartilhado	O limite vale para o portfólio inteiro, e todos os números dividem a mesma cota	Limites de envio
Assistentes de IA de uso geral	Proibidos na API desde 15/01/2026; agente da própria empresa, com escopo de negócio, continua permitido	TechCrunch
Mudança de preço	Só no primeiro dia de cada trimestre, com aviso mínimo de um mês	Preços da plataforma

O limite de envio só conta mensagens fora da janela de atendimento. Respostas a clientes que escreveram primeiro não consomem a cota, por isso o atendimento receptivo raramente esbarra nele.

Quando cada caminho faz sentido

Use a API oficial sempre que o WhatsApp fala com clientes: atendimento, agendamento, lembretes ou campanhas. Para testar um fluxo antes de colocá-lo em uso, um número de teste na própria Cloud API resolve. API não oficial só fica no lugar de quem aceita perder o número, e mesmo assim fora dos termos de uso.

Situação	Caminho indicado	Por quê
Atendimento comercial e agendamento com clientes	Cloud API	O número é um ativo da empresa; a franquia de serviço cobre boa parte do volume
Lembretes, confirmações e cobranças	Cloud API	Mensagem ativa exige modelo aprovado; fora disso é a principal causa de bloqueio
Campanhas de marketing	Cloud API, com segmentação	Disparo em massa por API não oficial é o uso de maior risco
Protótipo de agente antes de entrar em uso	Cloud API, com número de teste	O portfólio novo já permite testar; o fluxo validado vai para produção sem refazer a conexão
Avisos internos para a própria equipe	Cloud API, ou outro canal (e-mail, chat corporativo)	Volume baixo não muda os termos de uso; API não oficial continua fora deles

Se você já tem um projeto rodando em Evolution API no modo Baileys, a migração não precisa ser do zero: a própria Evolution API tem conector para a Cloud API, e o fluxo de automação (n8n, por exemplo) pode continuar o mesmo, trocando só a camada de envio e recebimento.

Como migrar para a API oficial

A migração para a API oficial tem quatro etapas: conta comercial verificada na Meta, registro do número na Cloud API, aprovação dos modelos de mensagem ativa e troca da conexão na automação. O prazo depende principalmente da verificação da empresa e da aprovação dos modelos, que são feitas pela Meta.

Portfólio empresarial na Meta com a empresa verificada. A verificação é um dos caminhos para subir o limite de envio para 2.000 destinatários por dia, depois da análise de qualidade da Meta.
Número na Cloud API. Um número em uso num celular comum precisa ser migrado; para números do aplicativo WhatsApp Business existe o modo de coexistência, cujas condições mudam com frequência e devem ser confirmadas na hora.
Modelos de mensagem. Cada lembrete, confirmação ou campanha vira um modelo submetido à aprovação, na categoria correta (utilidade ou marketing). Classificar errado muda a tarifa.
Troca da conexão. A automação passa a receber as mensagens por webhook da Meta e a enviar pela Cloud API. Teste com conversas reais antes de desligar a conexão antiga.

Como a SDI trabalha com WhatsApp

A SDI implanta agentes e automações de WhatsApp na API oficial, com a conta e as credenciais em nome do cliente. Não usamos API não oficial do WhatsApp, porque o risco de perder o número recai sobre o cliente. Isso vale também para protótipos.

Na automação com IA, o agente de WhatsApp tem referência de implantação a partir de R$ 3.500 e manutenção a partir de R$ 490 por mês; a automação piloto, com um processo e até três integrações, parte de R$ 3.000. Valores de referência: cada atendimento é dimensionado após levantamento do escopo, e as tarifas da Meta são pagas pelo cliente diretamente.

Backup 3-2-1-1-0 explicado para PMEs (com checklist)

Tue, 27 Oct 2026 00:00:00 GMT

Backup que nunca foi restaurado é uma hipótese, não um backup. A regra 3-2-1-1-0 existe para transformar essa hipótese em algo verificável: quantas cópias, onde, qual delas resiste a ransomware e como você sabe que funciona. Este guia explica a regra em linguagem de quem administra TI de PME, com arquiteturas de referência para três portes, custos de outubro de 2026 e um checklist para conferir o que você já tem.

O que é a regra 3-2-1-1-0

A regra 3-2-1-1-0 pede três cópias dos dados, em dois tipos de armazenamento diferentes, uma delas fora do local, uma imutável ou desconectada da rede, e zero erros no teste de restauração. É a regra 3-2-1 clássica com duas exigências a mais, criadas depois que o ransomware passou a apagar backups antes de cifrar os servidores.

Dígito	Exigência	Contra o quê protege
3	Três cópias: a produção e mais duas	Falha de um único equipamento
2	Dois tipos de armazenamento (por exemplo, NAS e nuvem de objetos)	Defeito ou bug que afeta uma tecnologia inteira
1	Uma cópia fora do local	Incêndio, furto, alagamento, queda de energia prolongada
1	Uma cópia imutável ou offline	Ransomware e administrador comprometido apagando backups
0	Zero erros na verificação de restauração	Backup que “rodou com sucesso” mas não restaura

A extensão 3-2-1-1-0 foi popularizada pela Veeam, mas a ideia não depende de fabricante. A CISA, agência de cibersegurança dos EUA, recomenda no guia contra ransomware manter backups offline e cifrados e testar a restauração com regularidade.

O “1” a mais: cópia imutável ou offline

Cópia imutável é aquela que ninguém consegue apagar ou alterar antes do fim de um prazo de retenção, nem mesmo com a senha de administrador. Cópia offline fica desconectada da rede, como um disco guardado fora do escritório. As duas resolvem o mesmo problema: o atacante que chega ao servidor de backup e apaga tudo antes de cifrar a produção.

Este é um dos pontos que mais falham em PME. É comum o backup existir e rodar toda noite, mas ficar em um NAS no mesmo domínio do Active Directory, acessível com a mesma conta de administrador. Quem invade a rede invade o backup.

Opção	Como funciona	Cuidados
Nuvem de objetos com bloqueio (Object Lock)	O bucket recusa exclusão até a data de retenção	Use o modo que nem o administrador da conta consegue desfazer; proteja a conta com MFA
Snapshots imutáveis no NAS	O NAS mantém snapshots bloqueados por N dias	O próprio NAS precisa estar fora do domínio e com acesso administrativo restrito
Repositório Linux endurecido	Servidor Linux sem acesso SSH permanente, com arquivos marcados como imutáveis pela ferramenta de backup	Exige ferramenta compatível e disciplina de acesso
Disco externo em rodízio	Dois ou mais discos alternados, um sempre fora do escritório	Depende de pessoa; falha quando alguém esquece de trocar
Fita LTO	Mídia removível, barata por TB em volume alto	Custo de entrada do drive; faz sentido acima de dezenas de TB

Para a maioria das PMEs, a combinação mais prática é nuvem de objetos com bloqueio como cópia imutável e fora do local ao mesmo tempo. Ela cumpre dois dígitos da regra com um único destino, sem depender de alguém levar disco para casa.

O “0”: zero erros no teste de restauração

O zero significa que cada backup foi verificado e restaurou sem erro. Não basta o e-mail “job concluído com sucesso”. A verificação precisa abrir o backup, montar a máquina ou os arquivos e confirmar que o conteúdo está íntegro. Sem esse teste, a empresa só descobre que o backup falhava no dia em que precisa dele.

Três níveis de teste, do mais barato ao mais completo:

Verificação automática a cada execução: a ferramenta confere a integridade do arquivo de backup. Algumas sobem a máquina virtual em ambiente isolado e checam se ela inicializa.
Restauração de arquivos por amostragem, mensal: escolha arquivos aleatórios de pastas diferentes e restaure em local separado.
Restauração completa de um sistema crítico, trimestral: ERP, servidor de arquivos ou banco de dados, cronometrada do início até o usuário conseguir trabalhar.

O tempo medido no nível 3 é o seu RTO real (tempo para voltar a operar). Compare com o que a diretoria espera. Se a expectativa é voltar em 4 horas e o teste levou 14, o problema aparece agora, e não durante um incidente. O intervalo entre backups define o RPO (quanto trabalho se perde): backup diário à meia-noite significa até um dia de trabalho perdido.

Arquiteturas de referência para três portes

A arquitetura certa depende de quanto dado existe, de quanto tempo a empresa aguenta parada e de onde os sistemas rodam. As três arquiteturas abaixo são pontos de partida, não receita: cada uma cumpre a regra 3-2-1-1-0 com o menor número de peças razoável para o porte indicado.

	Pequena (até 15 estações)	Média (15 a 60 estações)	Maior (60 a 200 estações)
Cenário típico	Arquivos, e-mail em nuvem, ERP em nuvem ou em um PC	Servidor de arquivos, ERP local, AD	Vários servidores virtualizados, bancos de dados, filiais
Cópia 1 (produção)	Microsoft 365 ou Google Workspace; PC ou servidor pequeno	Servidor(es) físicos ou virtuais	Cluster ou hosts de virtualização
Cópia 2 (local)	NAS de 2 discos fora do domínio	NAS dedicado ao backup, fora do domínio, com snapshots imutáveis	Repositório endurecido ou NAS com snapshots imutáveis
Cópia 3 (fora e imutável)	Nuvem de objetos com bloqueio	Nuvem de objetos com bloqueio	Nuvem de objetos com bloqueio e, acima de dezenas de TB, fita
SaaS (e-mail, arquivos em nuvem)	Backup independente do Microsoft 365 ou Google Workspace	Igual	Igual
Teste	Restauração por amostragem mensal	Mensal mais um sistema completo por trimestre	Verificação automática diária mais teste completo trimestral
RPO comum	24 h	4 a 24 h	1 a 4 h para sistemas críticos

Dois cuidados valem para os três portes. Primeiro, o backup não pode usar as mesmas credenciais da produção: conta separada, fora do domínio, com MFA onde der. Segundo, SaaS também precisa de backup: o provedor mantém o serviço no ar, mas a retenção nativa tem prazo e não protege contra exclusão feita por uma conta de administrador comprometida.

Quanto custa

O custo de um backup 3-2-1-1-0 tem três partes: o armazenamento local (NAS e discos, pago uma vez), o armazenamento em nuvem (pago por TB por mês) e as licenças da ferramenta de backup. A parte que mais engana é a nuvem, porque o volume guardado cresce com a retenção de versões, e não só com o tamanho dos dados.

Armazenamento de objetos em nuvem, valores de outubro de 2026 (sem impostos):

Fornecedor	Preço por TB/mês	Observações	Fonte
Backblaze B2	US$ 6,95	Saída gratuita até 3 vezes o volume médio armazenado	preços B2
Wasabi	US$ 7,99	Sem cobrança de saída; mínimo de 90 dias por objeto e de 1 TB por conta	preços Wasabi

Premissas da tabela abaixo: o volume armazenado é 1,5 vez o volume de dados (dados mais 30 dias de versões incrementais, com deduplicação); essa proporção é uma estimativa editorial e varia muito com o tipo de dado. Valores mensais, sem impostos e sem câmbio.

Dados protegidos	Volume armazenado	B2 (US$/mês)	Wasabi (US$/mês)
1 TB	1,5 TB	10,43	11,99
5 TB	7,5 TB	52,13	59,93
20 TB	30 TB	208,50	239,70

O que não está na tabela, e precisa entrar no orçamento:

NAS local: equipamento e discos, com capacidade para pelo menos o dobro dos dados atuais, para caber retenção e crescimento.
Ferramenta de backup: licenças por servidor, por máquina virtual ou por usuário de SaaS; algumas têm edição gratuita com limites.
Backup do Microsoft 365 ou Google Workspace: cobrado por usuário/mês nas ferramentas de mercado.
Horas de teste: o teste trimestral de restauração leva de meia hora a um dia, dependendo do sistema.
Link de internet: a primeira cópia para a nuvem de vários TB pode levar dias; dimensione o link ou faça a carga inicial fora do horário comercial.

Checklist resumido

Use esta lista para conferir o backup que você já tem. Cada item é uma pergunta de sim ou não. Se três ou mais respostas forem “não”, a empresa provavelmente não cumpre a regra 3-2-1-1-0, e o risco maior costuma estar na cópia imutável e no teste de restauração.

Existe um inventário do que precisa de backup: servidores, bancos de dados, pastas, e-mail e SaaS?
Existem três cópias de cada item crítico, contando a produção?
As cópias estão em pelo menos dois tipos de armazenamento diferentes?
Uma cópia fica fora do escritório?
Uma cópia é imutável ou offline, e alguém já tentou apagá-la para confirmar?
O backup usa credenciais separadas das contas de administrador do domínio, com MFA?
Microsoft 365 ou Google Workspace têm backup independente?
Existe alerta quando um backup falha, e alguém lê esse alerta?
Houve restauração completa de um sistema crítico nos últimos 90 dias, com tempo medido?
O RPO e o RTO medidos estão escritos e aprovados pela diretoria?

O checklist completo de backup 3-2-1-1-0 traz esses itens detalhados, com o que verificar em cada um e um modelo de registro de teste de restauração.

Erros mais comuns em PME

Os erros mais frequentes não são de tecnologia, e sim de desenho e rotina: backup que só existe no mesmo prédio, sincronização tratada como backup, conta de administrador única para tudo e nenhum teste de restauração. Todos são baratos de corrigir antes do incidente e caros depois dele.

Erro	Por que é perigoso	Correção
Sincronização (OneDrive, Google Drive) tratada como backup	Ransomware e exclusão se replicam para todas as cópias	Backup independente com versões e retenção
NAS de backup no domínio, com a mesma senha de administrador	O atacante apaga o backup antes de cifrar	NAS fora do domínio, conta própria, snapshots imutáveis
Disco externo sempre conectado	Vira mais uma unidade para o ransomware cifrar	Rodízio com disco fora do escritório, ou nuvem imutável
Nenhum teste de restauração	Falha descoberta só no incidente	Teste mensal por amostragem e trimestral completo
Alerta de falha que ninguém lê	Semanas sem backup sem que ninguém perceba	Alerta para mais de uma pessoa e revisão semanal
Chaves de criptografia do backup guardadas só no servidor	O backup cifrado fica inútil se o servidor se perde	Cópia das chaves em cofre de senhas fora da rede

Se quiser ajuda para desenhar ou revisar a política de backup, a SDI faz consultoria em TI com plano de continuidade, a partir de R$ 220 por hora ou de R$ 6.000 por projeto. A entrega inclui o desenho da arquitetura, o roteiro de teste de restauração e a documentação para a sua equipe operar.

Integração Bling com Mercado Livre e Shopee: limites e middleware

Tue, 27 Oct 2026 00:00:00 GMT

Informações de outubro de 2026. A integração nativa do Bling com Mercado Livre e Shopee resolve o básico: importa pedidos, sincroniza estoque, vincula anúncios e emite a nota. Os limites aparecem em três lugares: no plano do Bling (pedidos de marketplace por mês), na API v3 (3 requisições por segundo e 120.000 por dia) e nas regras de negócio que a integração nativa não cobre. Este artigo mostra cada limite e quando vale colocar um middleware no meio.

O que a integração nativa do Bling já faz

A integração nativa conecta a conta do marketplace ao Bling e cobre o fluxo principal de venda: importação de pedidos, sincronização de estoque, vínculo de anúncios com produtos e variações, emissão de NF-e e atualização do status de envio. Para uma loja com um CNPJ e regras simples, isso costuma bastar.

Etapa	Mercado Livre	Shopee	O que conferir
Conexão	Pela central de extensões do Bling, com conta de vendedor	Pela central de extensões do Bling	Quem é o dono da conta e do acesso
Anúncios	Vínculo de anúncios existentes ou publicação a partir do Bling	Vínculo de anúncios; categorias criadas no Bling e vinculadas às da Shopee	Variações vinculadas uma a uma
Pedidos	Importados para Vendas › Pedidos	Importados para Vendas › Pedidos	Status mapeados e loja de origem
Estoque	Atualizado no marketplace a partir do saldo do Bling	Sincronização ativada nas configurações de estoque da integração	Qual depósito alimenta cada canal
Nota fiscal	Emitida no Bling a partir do pedido	Emitida no Bling a partir do pedido	Natureza de operação e regras fiscais por canal

O blog do Bling descreve a atualização de estoque após cada venda, e o artigo sobre a Shopee mostra onde ativar a sincronização. Um cuidado prático: depois de mudar o cadastro de variações no Bling, confira o vínculo de cada variação com o anúncio no Mercado Livre antes de liberar a sincronização de estoque.

Os limites do plano do Bling

O primeiro limite é comercial: cada plano do Bling tem um teto de pedidos por mês, e só contam os pedidos vindos de marketplaces e de integrações via API. Em outubro de 2026, os tetos iam de 200 pedidos no plano de entrada a 10.000 no Diamante, com o Elite personalizável.

Plano (out/2026)	Pedidos de marketplace e API por mês	Capacidade de API	Multiempresa
Cobalto	até 200	padrão	não informado
Titânio	até 500, 2.000 ou 5.000, conforme a faixa	padrão	até 3 contas, com pelo menos uma na faixa 3
Diamante	até 10.000	padrão	até 5 contas
Elite	personalizável	“até 8x mais capacidade”	até 10 contas

Fonte: planos e preços do Bling, consultada em 27/10/2026. Os preços estavam em promoção na data da consulta, por isso não os reproduzimos; confira o valor do mês na página. Pedidos manuais, do PDV e da loja virtual do próprio Bling não consomem o limite.

Na prática, o plano é escolhido pelo volume de pedidos dos marketplaces somados. Uma loja com 1.200 pedidos no Mercado Livre e 600 na Shopee precisa da faixa de 2.000 do Titânio, mesmo que as vendas no balcão sejam muitas.

Os limites da API v3 do Bling

O segundo limite é técnico e vale para qualquer sistema que fale com o Bling pela API v3, seja um hub, um middleware ou um script: 3 requisições por segundo e 120.000 por dia por conta. Acima disso, o Bling responde HTTP 429, e excessos repetidos bloqueiam o IP de origem.

Regra (API v3)	Valor	O que acontece
Requisições por segundo	3	HTTP 429 nas seguintes
Requisições por dia	120.000	HTTP 429; a documentação não informa o horário de renovação da cota
Erros em 10 segundos	300	IP bloqueado por 10 minutos
Requisições em 10 segundos	600	IP bloqueado por 10 minutos
Pedidos de token em 60 segundos	20	IP bloqueado por 60 minutos
Reincidência	—	Bloqueio do IP por tempo indeterminado

Fonte: limites da API do Bling, consultada em 27/10/2026. Os limites são da conta, não de cada aplicativo: se a integração nativa, um hub e um script próprio usam a mesma conta, dividem a mesma cota.

Uma conta para dimensionar: 120.000 requisições por dia equivalem a 5.000 por hora, ou cerca de 1,4 por segundo em média. Um middleware que consulta o saldo de 5.000 SKUs, um por vez, a cada hora gasta a cota inteira do dia só com isso. É por esse motivo que integrações bem feitas trabalham com webhooks (o Bling avisa o que mudou) em vez de consulta periódica de tudo.

O que um middleware precisa respeitar

Quem escreve um middleware para o Bling precisa tratar autenticação OAuth 2.0 com renovação de token, webhooks com resposta em até 5 segundos, eventos fora de ordem e repetidos, e as regras de bloqueio de IP. Sem isso, a integração funciona na homologação e falha no primeiro pico de vendas.

Autenticação. O código de autorização expira em 1 minuto, e o refresh token vale 30 dias. Se o middleware ficar mais de 30 dias sem renovar o token, alguém precisa autorizar o aplicativo de novo. Alterar os escopos do aplicativo revoga o acesso de todos os usuários (documentação de aplicativos).

Webhooks. Segundo a documentação de webhooks, o Bling envia eventos de pedido de venda, produto, estoque, estoque virtual, produto fornecedor, NF-e e NFC-e, com as ações criado, alterado e excluído. As regras que mais derrubam integrações:

a resposta precisa ser HTTP 2xx em até 5 segundos; o processamento pesado vai para uma fila;
sem resposta, o Bling tenta de novo por até 3 dias e depois desabilita o webhook daquele recurso até alguém reativar à mão;
a ordem de entrega não é garantida: uma alteração pode chegar antes da criação;
o mesmo evento pode chegar duas vezes, e o sistema precisa ser idempotente;
cada requisição traz o cabeçalho X-Bling-Signature-256, um HMAC-SHA256 do corpo com o client secret do aplicativo, em hexadecimal e precedido de sha256=, que deve ser validado.

Marketplaces. O Mercado Livre também limita requisições, mas a documentação do erro 429 não publica um número: orienta recuo exponencial com variação aleatória (backoff com jitter), menos chamadas simultâneas e pedido de aumento de cota com evidência de uso.

Quando a integração nativa basta e quando usar middleware

A integração nativa basta quando há uma conta por marketplace, um CNPJ, um depósito e preço igual em todos os canais. Hub ou middleware passam a valer quando há várias contas ou CNPJs, regras de estoque por canal, kits e composições, preço por canal ou outros sistemas que também precisam dos pedidos.

Situação	Integração nativa	Hub de marketplaces	Middleware próprio
Uma conta por marketplace, regras simples	Indicada	Excesso	Excesso
Várias contas ou CNPJs no mesmo marketplace	Conferir suporte	Indicado	Possível
Estoque de segurança e reserva por canal	Limitado	Indicado	Indicado
Kits, composições e produto com vários depósitos	Conferir	Depende do hub	Indicado
Preço e promoção diferentes por canal	Limitado	Indicado	Indicado
Pedido também vai para WMS, CRM ou BI	Não cobre	Às vezes	Indicado
Regra fiscal específica por canal	No Bling	No Bling	No Bling, com apoio do middleware

Hub de marketplaces é um sistema pronto que fica entre o ERP e vários canais, com anúncios, preços e estoque centralizados; o Bling tem integração com a ANYMARKET, por exemplo. Middleware próprio é código ou workflow (em n8n, por exemplo) escrito para a regra da empresa, com fila, registro de cada evento e alerta de falha. O hub tem mensalidade e menos flexibilidade; o middleware próprio tem custo de desenvolvimento e de manutenção.

Um caso que merece atenção é o estoque em centro de distribuição do marketplace, como o Mercado Livre Full: o produto fisicamente está no armazém do marketplace, e o saldo daquele canal não deve ser misturado ao depósito da loja. Confira no Bling como a sua conta trata esse estoque antes de ativar a sincronização.

Checklist antes de integrar

Antes de ligar a integração, confirme o plano pelo volume de pedidos somados, defina qual depósito alimenta cada canal, vincule variações e categorias, decida quem é o dono das contas e das credenciais e prepare o monitoramento de falhas. Esses itens evitam a maior parte das vendas sem estoque e dos pedidos perdidos.

Volume: some os pedidos mensais de todos os marketplaces e de integrações via API, com folga para datas de pico, e escolha a faixa do plano.
Cadastro: SKU único por variação, código de barras quando houver, e o mesmo SKU no Bling e nos anúncios.
Estoque: um depósito por origem física; estoque de segurança por canal, se a integração permitir; estoque em armazém do marketplace separado.
Anúncios e categorias: variações vinculadas uma a uma no Mercado Livre; categorias do Bling vinculadas às da Shopee.
Fiscal: natureza de operação e regras de tributação por canal revisadas com a contabilidade, incluindo a adequação da NF-e ao IBS e à CBS.
Acessos: contas do marketplace e do Bling em nome da empresa; aplicativos e tokens documentados.
Cota de API: liste todos os sistemas que usam a mesma conta do Bling e estime as requisições por dia.
Monitoramento: alerta para pedido não importado, estoque divergente e webhook desabilitado.
Teste: pedido real de baixo valor em cada canal, do anúncio até a nota e o envio, antes de abrir para o volume total.

Como a SDI ajuda

A SDI configura e documenta a integração nativa quando ela basta e escreve o middleware quando a regra de negócio pede, com fila, registro de eventos, validação da assinatura dos webhooks e alerta de falha. Código, workflows e credenciais ficam em nome da empresa.

Na integração de sistemas, projetos têm referência a partir de R$ 5.000, e a sustentação mensal, a partir de R$ 400. Valores de referência: cada atendimento é dimensionado após levantamento do ambiente e do escopo, e o valor final consta na proposta. As mensalidades do Bling, dos marketplaces e de eventuais hubs são contratadas pela empresa, à parte.

LGPD técnica para pequenas empresas: 20 controles de TI

Tue, 27 Oct 2026 00:00:00 GMT

Resposta curta: a LGPD vale para pequenas empresas, e a parte técnica cabe em 20 controles de TI que uma empresa de 5 a 50 pessoas consegue implantar em cerca de três meses. A Resolução CD/ANPD nº 2/2022 flexibiliza algumas obrigações para microempresas e empresas de pequeno porte, mas mantém a exigência de medidas de segurança. Este artigo trata da parte técnica. Bases legais, política de privacidade e contratos são trabalho de assessoria jurídica, e este texto não substitui essa orientação.

O que a LGPD exige da TI

A LGPD exige que a empresa adote medidas técnicas e administrativas para proteger dados pessoais de acessos não autorizados e de perda, alteração ou vazamento (art. 46), que registre as operações de tratamento (art. 37) e que comunique incidentes relevantes à ANPD e aos titulares (art. 48). Na prática: acesso, backup, criptografia, registros e plano de resposta.

Obrigação	Onde está	O que significa para a TI
Medidas de segurança técnicas e administrativas	LGPD, art. 46	Controles de acesso, backup, criptografia, atualização, firewall
Registro das operações de tratamento	LGPD, art. 37	Saber quais sistemas guardam quais dados, de quem e por quê
Comunicação de incidente	LGPD, art. 48, e Resolução CD/ANPD nº 15/2024	Detectar, avaliar, registrar e comunicar dentro do prazo
Boas práticas e governança	LGPD, art. 50 e art. 52, § 1º	Política escrita e controles comprovados contam a favor em caso de fiscalização

O último ponto pesa. O art. 52 prevê, entre outras sanções, multa de até 2% do faturamento, limitada a R$ 50 milhões por infração, e manda considerar na dosimetria a adoção de medidas de segurança e de boas práticas. Para uma pequena empresa, ter os controles escritos e funcionando é a melhor defesa.

Quem é agente de pequeno porte

Agentes de tratamento de pequeno porte são microempresas, empresas de pequeno porte, startups, MEI, pessoas jurídicas sem fins lucrativos e pessoas naturais que tratam dados como controlador ou operador (Resolução CD/ANPD nº 2/2022, art. 2º). Ficam fora do regime simplificado quem faz tratamento de alto risco, quem passa do limite de receita ou quem pertence a grupo econômico grande.

Situação	Tem o regime simplificado?	Base
ME, EPP ou MEI com receita bruta anual até R$ 4,8 milhões	Sim, se não fizer tratamento de alto risco	Res. 2/2022, art. 2º, I e II; LC 123/2006, art. 3º
Startup nos critérios da LC 182/2021	Sim, se não fizer tratamento de alto risco	Res. 2/2022, art. 2º, III
Receita acima do limite da EPP	Não	Res. 2/2022, art. 3º, II
Parte de grupo econômico cuja receita somada passa do limite	Não	Res. 2/2022, art. 3º, III
Tratamento de alto risco	Não (com uma exceção sobre mediação de reclamações)	Res. 2/2022, art. 3º, I, e art. 8º

O tratamento é de alto risco quando reúne, ao mesmo tempo, pelo menos um critério geral e um específico (art. 4º):

Critérios gerais (um deles)	Critérios específicos (um deles)
Dados pessoais em larga escala	Uso de tecnologias emergentes ou inovadoras
Tratamento que possa afetar significativamente direitos e interesses fundamentais dos titulares	Vigilância ou controle de zonas acessíveis ao público
	Decisões tomadas só com base em tratamento automatizado, inclusive perfil de crédito, consumo ou saúde
	Dados sensíveis ou de crianças, adolescentes e idosos

Exemplo para conferir com o seu advogado: uma clínica pequena trata dados de saúde (critério específico) que podem afetar significativamente os pacientes (critério geral). Ela pode estar fora do regime simplificado mesmo sendo microempresa.

O que muda para quem é de pequeno porte

O regime simplificado dispensa a indicação de encarregado, permite registro e política de segurança simplificados e dá prazo em dobro para alguns atos, incluindo a comunicação de incidente. Ele não dispensa o resto da lei: bases legais, princípios, direitos dos titulares e medidas de segurança continuam valendo (art. 6º da Resolução CD/ANPD nº 2/2022).

Obrigação	Regra geral	Agente de pequeno porte	Artigo da Res. 2/2022
Encarregado (DPO)	Obrigatório	Dispensado, mas precisa de canal de comunicação com o titular	Art. 11
Registro das operações de tratamento	Completo	Pode ser simplificado, com modelo da ANPD	Art. 9º
Política de segurança da informação	Conforme o porte e o risco	Pode ser simplificada, considerando custo e estrutura	Art. 13
Medidas de segurança	Obrigatórias	Obrigatórias: “essenciais e necessárias”, com base em requisitos mínimos	Art. 12
Prazos de atendimento ao titular e de comunicação de incidente	Prazo normal	Em dobro	Art. 14 (inciso II com redação da Res. 15/2024)
Declaração simplificada ao titular	Imediata	Até 15 dias	Art. 15

O art. 12 diz ainda que seguir as recomendações e os guias da ANPD conta como boa prática para fins de sanção. Por isso, os controles a seguir partem do checklist de segurança da ANPD para agentes de pequeno porte.

Os 20 controles de TI

Os 20 controles abaixo cobrem as nove áreas do checklist da ANPD para agentes de pequeno porte e acrescentam três práticas que a SDI considera mínimas (marcadas com asterisco). Cada controle tem uma forma de verificar se está funcionando, porque política no papel sem evidência não protege ninguém.

#	Controle	Como verificar	Área do checklist ANPD
1	Inventário de sistemas e mapa de onde estão os dados pessoais, coletando só o necessário	Planilha com sistema, dados, finalidade, quem acessa e onde fica	Segurança dos dados armazenados
2	Política de segurança simplificada, escrita e revisada todo ano	Documento com data de revisão e ciência dos funcionários	Política de segurança da informação
3	Uma conta por pessoa, sem logins compartilhados	Lista de contas sem usuários genéricos (“recepcao”, “financeiro”)	Controle de acesso
4	MFA no e-mail, na nuvem e nos sistemas com dados pessoais	Relatório do painel do e-mail/nuvem com MFA por usuário	Controle de acesso; serviços em nuvem
5	Gerenciador de senhas da empresa e troca de todas as senhas padrão	Cofre em uso; nenhuma senha de fábrica em roteador, câmera ou impressora	Controle de acesso
6	Menor privilégio, com revisão de acessos a cada trimestre	Registro da última revisão; ninguém administrador sem necessidade	Controle de acesso
7	Desligamento com bloqueio de acessos no mesmo dia	Checklist de desligamento assinado com data e hora	Controle de acesso
8	Atualizações de sistema operacional, aplicativos e firmware com rotina definida	Relatório de atualizações pendentes perto de zero	Gerenciamento de vulnerabilidades
9	Antivírus ou antimalware ativo e atualizado em estações e servidores	Console com todos os equipamentos e data da última varredura	Gerenciamento de vulnerabilidades
10	Firewall na borda, sem portas de administração ou RDP abertas para a internet; acesso remoto só por VPN	Varredura externa sem portas de administração expostas	Segurança das comunicações
11	Rede separada para convidados, câmeras e equipamentos de terceiros*	VLANs documentadas no diagrama de rede	— (recomendação SDI)
12	Criptografia de disco em notebooks e em mídias externas	BitLocker ou FileVault ativo; pen drives com dados cifrados ou proibidos	Segurança dos dados armazenados
13	Backup com cópia offline ou imutável e teste de restauração	Registro do último teste de restauração, com data e resultado	Segurança dos dados armazenados
14	Comunicações cifradas (HTTPS/TLS) e e-mail com antispam e SPF, DKIM e DMARC*	Sites e sistemas só em HTTPS; DMARC publicado no DNS	Segurança das comunicações
15	Registro de acessos (logs) aos sistemas com dados pessoais, guardado fora do equipamento*	Logs centralizados com prazo de retenção definido	— (recomendação SDI)
16	Dispositivos móveis com bloqueio de tela, MFA e apagamento remoto	Lista de celulares e notebooks gerenciados	Dispositivos móveis
17	Fornecedores e nuvem com contrato que trate de segurança e de proteção de dados, e com local dos dados conhecido	Contratos com cláusulas de operador; lista de onde cada serviço guarda os dados	Gerenciamento de contratos; serviços em nuvem
18	Descarte seguro de discos e mídias, com registro	Registro de formatação segura ou destruição, com data	Segurança dos dados armazenados
19	Conscientização: phishing, bloqueio de tela, documentos físicos, canal para avisar incidentes	Treinamento com lista de presença, ao menos uma vez por ano	Conscientização e treinamento
20	Plano de resposta a incidentes e registro de todos os incidentes	Plano escrito com responsáveis e contatos; registro mantido por 5 anos	— (Resolução CD/ANPD nº 15/2024, art. 10)

* Controles 11, 15 e a parte de SPF, DKIM e DMARC do 14 não constam do checklist da ANPD. Entram aqui porque, sem eles, os outros controles ficam difíceis de comprovar ou fáceis de contornar.

O backup (controle 13) é o que mais falha na prática, porque costuma existir e nunca ser testado. O artigo sobre backup 3-2-1-1-0 para PMEs detalha a regra e o teste de restauração. Para o controle 10, a escolha do equipamento está em pfSense, OPNsense ou MikroTik.

Prazos quando acontece um incidente

Quando um incidente de segurança pode causar risco ou dano relevante aos titulares, a empresa tem três dias úteis para comunicar a ANPD e os titulares, contados de quando soube que dados pessoais foram afetados. Para agentes de pequeno porte, o prazo é contado em dobro: seis dias úteis. Todo incidente, comunicado ou não, precisa ser registrado.

Obrigação	Prazo geral	Agente de pequeno porte	Base na Resolução CD/ANPD nº 15/2024
Comunicar a ANPD	3 dias úteis, a partir do conhecimento de que o incidente afetou dados pessoais	6 dias úteis	Art. 6º, caput, § 1º e § 8º
Complementar a comunicação à ANPD	20 dias úteis, a partir da comunicação	40 dias úteis	Art. 6º, § 3º e § 8º
Comunicar os titulares afetados	3 dias úteis	6 dias úteis	Art. 9º, caput e § 6º
Registrar o incidente, mesmo sem comunicar	Manter por no mínimo 5 anos	Igual	Art. 10

Texto consultado: Resolução CD/ANPD nº 15/2024, em 27/10/2026.

Dois cuidados. Primeiro, a redação original da Resolução CD/ANPD nº 2/2022 previa exceções ao prazo em dobro, mas a Resolução CD/ANPD nº 15/2024 (art. 2º) reescreveu o art. 14, II, que agora só remete ao regulamento de incidentes, sem exceção (texto compilado da Res. 2/2022 no site da ANPD). Mesmo com o prazo em dobro, comunique assim que tiver os fatos: o § 3º do art. 6º permite complementar depois. Segundo, o relógio corre em dias úteis, e poucos dias passam rápido: o plano de resposta (controle 20) precisa dizer quem decide, quem fala com a assessoria jurídica e onde ficam os registros, antes de acontecer.

O que o registro do incidente deve conter, no mínimo (art. 10, § 1º):

Data em que a empresa tomou conhecimento do incidente.
Descrição geral das circunstâncias em que ele ocorreu.
Natureza e categoria dos dados afetados, e número de titulares afetados.
Avaliação do risco e dos possíveis danos aos titulares.
Medidas de correção e de mitigação, quando houver.
Forma e conteúdo da comunicação, se houve, ou os motivos de não ter havido.

Por onde começar

Comece pelo inventário (controle 1), porque não dá para proteger o que não se sabe que existe. Em seguida, MFA, backup testado e fechamento de acessos expostos (controles 4, 10 e 13), que reduzem a maior parte do risco com pouco custo. Os demais entram em um plano de 60 a 90 dias, com responsável e data.

Fase	Controles	Por quê
Semana 1 e 2	1 (inventário), 4 (MFA), 10 (nada exposto), 13 (backup testado)	Maior redução de risco por hora de trabalho
Mês 1	3, 5, 6, 7, 8, 9 (acessos, senhas, atualizações, antivírus)	Fecham as portas de entrada mais comuns
Mês 2	11, 12, 14, 15, 16 (rede, criptografia, e-mail, logs, móveis)	Limitam o estrago quando algo der errado
Mês 3	2, 17, 18, 19, 20 (política, fornecedores, descarte, treinamento, plano de incidente)	Documentação e rotina que mantêm o resto funcionando

Para cada controle, anote o responsável, a data e a evidência (print, relatório ou registro). Essa planilha simples é o que você vai mostrar se a ANPD, um cliente ou um parceiro perguntar.

O que a TI não resolve

A adequação à LGPD tem uma parte técnica e uma parte jurídica, e elas não se substituem. A TI implanta e comprova os controles. Bases legais de cada tratamento, política de privacidade, contratos com cláusulas de proteção de dados, atendimento jurídico aos titulares e decisão sobre comunicar ou não um incidente são da assessoria jurídica.

Tema	Responsável principal	Papel da TI
Bases legais e finalidades	Assessoria jurídica	Informar quais dados cada sistema coleta
Política de privacidade e avisos	Assessoria jurídica	Publicar e manter os textos nos sistemas e no site
Contratos com fornecedores (operadores)	Assessoria jurídica	Levantar quais fornecedores tratam dados e onde
Atendimento ao titular (acesso, correção, exclusão)	Encarregado ou canal da empresa, com apoio jurídico	Localizar, exportar ou excluir os dados nos sistemas
Decisão de comunicar um incidente	Direção, com assessoria jurídica	Fornecer os fatos técnicos, o registro e as evidências
Controles de segurança	TI	Implantar, documentar e comprovar

A consultoria de LGPD técnica da SDI cobre a coluna da TI: inventário, implantação e documentação dos controles e plano de resposta a incidentes. A parte jurídica não está inclusa e deve ser feita por advogado. Projetos de LGPD técnica partem de R$ 6.000, e a hora de consultoria, de R$ 220 (valores de referência de outubro de 2026; o valor final consta na proposta). O escopo está na página de consultoria em TI. Se você ainda não tem inventário nem diagrama do ambiente, o diagnóstico de TI entrega os dois em 5 dias úteis, com os riscos priorizados.

n8n vs Make vs Zapier vs Power Automate: qual usar na empresa

Tue, 27 Oct 2026 00:00:00 GMT

Se você está escolhendo uma plataforma de automação, a pergunta que define o custo não é “qual tem mais conectores”, e sim como cada uma conta o uso. Make e Zapier cobram por ação executada. O n8n cobra por execução do fluxo inteiro, ou nada, se você hospeda. O Power Automate cobra por usuário ou por robô. Este comparativo traz preços de outubro de 2026, custo em três volumes e o que muda quando você decide rodar no seu servidor.

Resposta curta: qual escolher

Escolha Power Automate se a empresa já vive no Microsoft 365 e os fluxos ficam entre Outlook, SharePoint, Teams e Excel. Escolha Zapier para poucos fluxos simples entre SaaS conhecidos. Escolha Make para fluxos visuais com ramificações a custo baixo. Escolha n8n para volume alto, fluxos longos, IA com dados internos ou exigência de manter os dados no seu servidor.

Nenhuma das quatro é a melhor em tudo. O erro mais comum é escolher pela interface na demonstração e descobrir o custo real só no terceiro mês, quando o volume cresce e cada passo do fluxo vira cobrança. Por isso, o restante do artigo é sobre modelo de cobrança, volume e operação.

Comparativo lado a lado

As quatro plataformas resolvem o mesmo problema, ligar sistemas sem escrever uma integração do zero, mas diferem em três pontos que pesam no orçamento e no risco: a unidade de cobrança, a possibilidade de rodar no seu servidor e onde os dados ficam. A tabela resume o que encontramos nas páginas oficiais em outubro de 2026.

Critério	n8n	Make	Zapier	Power Automate
Unidade de cobrança	Execução do fluxo inteiro	Crédito (em geral, 1 por módulo executado)	Tarefa (1 por ação bem-sucedida; gatilho não conta)	Usuário/mês ou robô/mês
Self-hosted	Sim (Community gratuita; Business e Enterprise pagas)	Não	Não	Não para fluxos de nuvem; o desktop roda local
Onde ficam os dados	No seu servidor (self-hosted) ou na UE (Cloud)	Zonas na UE ou nos EUA	EUA	Geografia do tenant, inclusive Brasil
Conectores prontos (segundo o fornecedor)	Mais de 400, mais nó HTTP genérico	Mais de 2.000	Mais de 7.000	Mais de 1.000 (padrão e premium)
IA	Nós de agente, LLM, memória e vetores; modelo à escolha	Módulos de IA (consomem mais créditos)	Etapas de IA cobradas por modelo e por chamada	Copilot e AI Builder, com créditos à parte
Código	JavaScript e Python dentro do fluxo	Funções limitadas	Code by Zapier (1 tarefa por execução, mais tarefas extras acima de 30 s)	Expressões; código via Azure Functions
Curva de aprendizado	Média a alta	Média	Baixa	Média (alta fora do ecossistema Microsoft)

Fontes: n8n, Make, Zapier, Power Automate. Contagens de conectores são números divulgados pelos próprios fornecedores.

Como cada plataforma cobra (valores de outubro de 2026)

Os quatro modelos de cobrança não são comparáveis direto. Zapier e Make cobram cada passo, então um fluxo de seis ações custa seis vezes mais do que um de uma. O n8n cobra a execução inteira. O Power Automate cobra a licença de quem é dono do fluxo, com limite diário de requisições. Valores sem impostos.

n8n (página oficial):

Plano	Preço (cobrança anual)	Execuções/mês	Observação
Community (self-hosted)	Sem licença	Ilimitadas	Você paga servidor e operação
Starter (Cloud)	€20/mês	2.500	Cerca de €24 na cobrança mensal
Pro (Cloud)	€50/mês	10.000	Cerca de €60 na cobrança mensal
Business (self-hosted)	€667/mês	40.000	SSO, ambientes, Git; 50% de desconto para empresas com menos de 20 funcionários
Enterprise	Sob consulta	Sob consulta	Cloud ou self-hosted

Zapier (página oficial), plano Professional:

Tarefas/mês	Anual (por mês)	Mensal
750	US$ 19,99	US$ 29,99
2.000	US$ 49,00	US$ 73,50
10.000	US$ 129,00	US$ 193,50
50.000	US$ 289,00	US$ 433,50

O plano Team começa em US$ 69/mês (anual) com 2.000 tarefas. Tarefas excedentes, quando o pagamento por tarefa está ativo, custam 1,25 vez a tarifa base no plano anual e 2,5 vezes no mensal.

Make (página oficial): a unidade de cobrança passou a ser o crédito. A página oficial não exibiu valores na nossa consulta; levantamento da Latenode, feito em setembro de 2026, aponta Core a US$ 9/mês (anual) ou US$ 10,59 (mensal) para 10.000 créditos, Pro a US$ 16 e Teams a US$ 29 no mesmo volume. Confirme na calculadora oficial antes de decidir.

Power Automate (página oficial): Premium a US$ 15 por usuário/mês, Process a US$ 150 por robô/mês e Hosted Process a US$ 215 por robô/mês, com pagamento anual. Vários planos do Microsoft 365 já incluem fluxos com conectores padrão. O consumo é limitado por requisições a cada 24 horas: 40.000 por usuário Premium e 6.000 para licenças Office 365.

Custo em três volumes

Em fluxos curtos e volume baixo, as quatro custam pouco e a diferença não decide nada. Em fluxos longos e volume alto, quem cobra por passo fica caro rápido. A tabela usa um fluxo de 1 gatilho e 5 ações (por exemplo: recebe pedido, consulta cliente, grava no ERP, gera cobrança, avisa no WhatsApp, registra log).

Premissas: 5 ações por execução; no Make, 6 créditos por execução (5 ações mais o gatilho); cobrança anual; valores em moeda original, sem impostos nem câmbio; um único dono de fluxo no Power Automate.

Volume	Pequeno: 400 execuções/mês	Médio: 2.000 execuções/mês	Alto: 10.000 execuções/mês
Consumo no Zapier (tarefas)	2.000	10.000	50.000
Consumo no Make (créditos)	2.400	12.000	60.000
n8n Cloud	€20 (Starter)	€20 (Starter)	€50 (Pro)
n8n self-hosted	Licença €0 + servidor e operação	Licença €0 + servidor e operação	Licença €0 + servidor e operação
Zapier Pro	US$ 49	US$ 129	US$ 289
Make Core	US$ 9 (10 mil créditos)	Degrau acima de 10 mil; conferir na calculadora	Conferir na calculadora
Power Automate	Incluído no M365 (só conectores padrão) ou US$ 15 (Premium)	Igual	Igual (cerca de 2.000 ações/dia, abaixo do limite)

O que a tabela mostra:

O número de passos multiplica o custo no Zapier e no Make. Se o mesmo fluxo tivesse 12 ações em vez de 5, o consumo dobraria. No n8n, não muda nada.
O Power Automate é o mais previsível dentro do Microsoft 365, mas o custo cresce com o número de pessoas que criam fluxos premium, e não com o volume.
O n8n self-hosted não é “grátis”. A licença é. O custo passa a ser servidor, backup, monitoramento, atualização e as horas de quem cuida disso. Na SDI, a gestão de servidor custa a partir de R$ 400 por servidor/mês, mais o consumo do provedor de nuvem.

Quando cada uma faz sentido

A escolha depende de onde estão os sistemas da empresa, de quem vai manter os fluxos e do volume esperado em 12 meses. Uma regra prática: quanto mais o fluxo depende de dados internos, APIs próprias ou rede privada, mais sentido faz o n8n; quanto mais ele liga SaaS populares entre si, mais sentido fazem Zapier e Make.

Situação	Melhor encaixe	Por quê
Fluxos entre Outlook, SharePoint, Teams e Excel	Power Automate	Já licenciado no M365; login e permissões do próprio tenant
Marketing e vendas ligando 5 a 10 SaaS, pouco volume	Zapier	Maior catálogo, menor curva de aprendizado
Fluxos visuais com ramificação, custo baixo, equipe não técnica	Make	Editor visual forte, crédito barato no volume de entrada
Integração com ERP local, banco de dados ou API interna	n8n self-hosted	Roda dentro da rede ou ligado a ela por VPN
Agente de IA com documentos internos (RAG)	n8n	Nós de agente, escolha do modelo, dados sob seu controle
Volume alto com fluxos longos	n8n	Cobrança por execução, não por passo
Exigência contratual de dados no Brasil	n8n self-hosted ou Power Automate em tenant BR	As outras opções processam fora do país

Duas situações em que não recomendamos n8n self-hosted: quando ninguém na empresa, nem um fornecedor contratado, vai cuidar do servidor; e quando os fluxos são poucos, simples e entre SaaS que o Zapier já cobre bem.

LGPD e residência de dados

A LGPD não proíbe usar ferramentas que processam dados fora do Brasil, mas exige base legal, contrato com o operador e cuidado com a transferência internacional. Em automação, isso pesa porque o fluxo costuma carregar nome, CPF, telefone e histórico de pedidos. Saber onde a plataforma processa e guarda esses dados é o primeiro passo.

Pontos práticos para cada opção:

Zapier e Make processam e guardam os dados de execução (inclusive o histórico de cada passo) nos servidores do fornecedor. Verifique o acordo de processamento de dados (DPA), o tempo de retenção do histórico e se dá para reduzi-lo.
n8n Cloud hospeda na União Europeia. n8n self-hosted guarda tudo onde você instalar: VPS no Brasil, nuvem na região São Paulo ou servidor no escritório.
Power Automate segue a geografia do tenant Microsoft 365, que pode ser o Brasil.
Em qualquer caso, mascare dados sensíveis nos logs, restrinja quem vê o histórico de execuções e defina por quanto tempo ele fica guardado.

Self-hosted ajuda a responder “onde está o dado”, mas não substitui controle de acesso, backup e registro de quem fez o quê.

Riscos do n8n self-hosted e o que ele exige de infraestrutura

Rodar n8n no seu servidor troca a mensalidade por responsabilidade operacional. Você passa a cuidar de atualização, backup do banco, certificados, credenciais e exposição à internet. Em 2026, o n8n teve falhas críticas publicadas, uma delas com nota CVSS 10, o que mostra que instância desatualizada é risco real, não teórico.

Os avisos de segurança de 2026 incluem a CVE-2026-21858, com nota CVSS 10, que afetava da versão 1.65.0 até antes da 1.121.0 (corrigida na 1.121.0) em fluxos com formulários. Quem atualizou rápido não foi afetado. Quem tinha uma instância esquecida exposta na internet, sim.

O mínimo que uma instalação de produção precisa:

Item	O que fazer
Instalação	Docker Compose com versão fixada, n8n e PostgreSQL (não SQLite em produção)
Exposição	Proxy reverso com TLS; editor acessível só por VPN ou lista de IPs; webhooks expostos só nos caminhos necessários
Atualização	Acompanhar os avisos de segurança e atualizar em janela definida, testando antes em homologação
Backup	Banco PostgreSQL, chave de criptografia (`N8N_ENCRYPTION_KEY`) e workflows exportados para Git
Credenciais	Contas de serviço com permissão mínima; nada de credencial pessoal de administrador
Monitoramento	Alerta de fluxo com erro, de disco cheio e de certificado vencendo
Escala	Modo fila (queue mode) com Redis e workers quando o volume exigir

O item mais esquecido é a chave de criptografia. Sem ela, o backup do banco restaura os fluxos, mas todas as credenciais salvas ficam ilegíveis e precisam ser recadastradas uma a uma.

É aqui que a automação encontra a infraestrutura. O n8n que fala com o ERP do escritório precisa de rota até ele, normalmente uma VPN site-to-site. O banco do n8n precisa entrar na política de backup, como qualquer outro sistema, seguindo a regra 3-2-1-1-0. Quem monta o fluxo e quem cuida do servidor precisam conversar, ou ser a mesma equipe.

Como decidir em 30 minutos

Antes de assinar qualquer plano, levante quatro números e duas restrições. Com eles, a escolha costuma ficar óbvia, e você evita migrar de plataforma seis meses depois. Faça essa conta para os três fluxos mais importantes, não para todos: eles já indicam o padrão de uso.

Execuções por mês de cada fluxo, hoje e em 12 meses.
Passos por execução, contando ramificações e repetições (um loop de 20 itens são 20 ações no Zapier e no Make).
Quantas pessoas vão criar fluxos, o que pesa no Power Automate.
Quantos sistemas internos (ERP local, banco, API sem acesso pela internet) entram nos fluxos.
Restrição de dados: existe exigência contratual ou regulatória de manter dados no Brasil?
Quem opera: existe alguém, interno ou contratado, para cuidar de servidor, atualização e backup?

Se as respostas 4, 5 ou 6 apontarem para servidor próprio, o n8n self-hosted entra na conversa. Se não, comece pela plataforma mais simples que cobre os seus SaaS e reavalie quando o volume crescer.

Se quiser ajuda com essa conta ou com a implantação, a SDI faz automação de processos com IA e n8n, incluindo o servidor, a VPN e o backup que ela exige. A entrega inclui os workflows exportados, a documentação e as credenciais em nome da sua empresa.

NF-e com IBS e CBS: o que seu ERP e suas integrações precisam ajustar

Tue, 27 Oct 2026 00:00:00 GMT

Situação em 27 de outubro de 2026. A NF-e e a NFC-e já têm campos de IBS e CBS no leiaute, e informá-los é obrigatório para empresas do regime normal desde 01/01/2026. Mas a nota emitida sem o grupo ainda não é rejeitada: a rejeição automática foi adiada sem nova data. Para o ERP e as integrações, o prazo técnico relevante agora é a entrada em produção das novas regras de devolução da versão 1.52 da Nota Técnica: 16/11/2026, segundo aviso da ENCAT (o texto da NT previa 03/11/2026). Trate 03/11 como prazo seguro.

Este texto trata da parte técnica: o que muda no XML, nos cadastros e nas integrações. A classificação tributária de cada operação é decisão da sua contabilidade.

O que muda no leiaute da NF-e

A Nota Técnica 2025.002-RTC acrescenta à NF-e (modelo 55) e à NFC-e (modelo 65) um grupo de IBS e CBS em cada item, com CST, código de classificação tributária (cClassTrib), base de cálculo, alíquotas e valores separados para IBS estadual, IBS municipal e CBS, além de totais da nota e novas finalidades de emissão.

As mudanças que afetam o sistema emissor:

Onde	O que entra	Impacto no sistema
Item (`imposto`)	Grupo `IBSCBS` com `CST` e `cClassTrib`	Cadastro de produto ou regra fiscal precisa ter os dois códigos
Item (`gIBSCBS`)	Base de cálculo; alíquota e valor de IBS UF, IBS município e CBS	Motor de cálculo com três tributos novos por item
Item (subgrupos)	Redução de alíquota, diferimento, crédito presumido, tributação regular	Regras condicionais conforme o cClassTrib
Totais	Grupo de totais de IBS e CBS	Somatório validado pela Sefaz contra os itens
Identificação	Finalidades para nota de crédito e nota de débito	Fluxos de ajuste que hoje são feitos por nota complementar
Documento referenciado	Referência por item ao documento original (`DFeReferenciado`)	Devoluções precisam apontar a chave e o item de origem
Combustíveis	Grupo da tributação monofásica (versão 1.50)	Só para quem opera com combustíveis

O CST do IBS e da CBS é um código novo, que não substitui o CST do ICMS nem o do PIS e da Cofins. Até o fim da transição, a nota carrega os tributos antigos e os novos ao mesmo tempo. O cClassTrib aponta para o dispositivo da LC 214/2025 que justifica o tratamento da operação; a Sefaz valida se a combinação de CST e cClassTrib é permitida e se os valores batem com a base e a alíquota.

O leiaute de referência é o da NT na versão vigente, publicado no Portal Nacional da NF-e e na lista de documentos do portal DF-e da SVRS. Não implemente a partir de resumos, inclusive este: a NT teve dezenas de versões desde 2025, e nomes de campo e regras de validação mudaram entre elas.

Cronograma: o que já vale e o que foi adiado

Desde 01/01/2026, empresas do regime normal devem informar IBS e CBS na nota, com alíquotas de teste e recolhimento dispensado. A rejeição de notas sem o grupo, prevista para 03/08/2026, foi suspensa sem nova data. A versão 1.52 entra em produção em 03/11 (texto da NT) ou 16/11/2026 (aviso da ENCAT).

Data	O que aconteceu ou vai acontecer	Fonte
16/01/2025	LC 214/2025 institui IBS, CBS e Imposto Seletivo	LC 214/2025 (Planalto)
22/12/2025	Ato Conjunto RFB/CGIBS nº 1/2025 define as obrigações acessórias de 2026 e afasta multas pela falta dos campos até o 1º dia do 4º mês após a publicação dos regulamentos	Sefaz-ES
01/01/2026	Campos de IBS e CBS obrigatórios em produção para o regime normal; alíquotas de teste de 0,9% (CBS) e 0,1% (IBS); recolhimento dispensado se as obrigações acessórias forem cumpridas	LC 214/2025, art. 348 (texto reproduzido; arts. 343 e 346 para as alíquotas)
30/04/2026	Publicados o Decreto nº 12.955/2026 (regulamento da CBS) e a Resolução CGIBS nº 6/2026 (regulamento do IBS)	Decreto 12.955/2026 (Planalto)
01/07/2026	Homologação obrigatória das regras para NF-e e NFC-e do regime normal; schemas adaptados ao CNPJ alfanumérico (NT 2026.004)	NT 2025.002-RTC; NT 2026.004
01/08/2026	NT 2025.002-RTC v1.51, conforme Ato Técnico Conjunto CGIBS/RFB nº 1, de 31/07/2026: a rejeição por falta do grupo IBS/CBS (regra UB12-10) passa a “implementação futura”	Portal DF-e SVRS; Projeto ACBr
01 ou 03/08/2026	Fim da tolerância de multas pela falta dos campos (1º dia do 4º mês após 30/04; 01/08 caiu num sábado)	Ato Conjunto RFB/CGIBS nº 1/2025
01/10/2026	NT 2025.002-RTC v1.52: ajustes nas regras de devolução (VC02-14 e VC02-50), sem campos novos	Portal DF-e SVRS
26/10/2026	Homologação da v1.52, conforme aviso posterior da ENCAT	migrate.info
16/11/2026	Produção da v1.52, conforme o mesmo aviso	migrate.info
01/01/2027	CBS passa a ser cobrada de fato; PIS e Cofins são extintos	EC 132/2023 e LC 214/2025

Onde as fontes divergem. Três pontos merecem atenção:

Fim da tolerância de multas. Pela regra do Ato Conjunto, o prazo terminaria em 01/08/2026; como a data caiu num sábado, várias análises falam em 03/08/2026. Uma nota da Receita Federal de 02/04/2026 fala em “90 dias” no título e em “quarto mês” no corpo. Em qualquer leitura, o art. 348, §§ 3º e 4º, da LC 214/2025 dá 60 dias, contados da intimação, para suprir a omissão apontada em auto de infração de 2026, e o atendimento extingue a penalidade.
Produção da v1.52. O texto da versão previa 03/11/2026 para a regra VC02-14, segundo a NDD. O aviso da ENCAT de 05/10/2026, citado pela migrate.info, empurrou a versão inteira para 16/11/2026. Considere a data mais cedo como limite para estar pronto.
Rejeição adiada não é obrigação adiada. A Sefaz aceita a nota sem o grupo, mas a obrigação legal de informar continua. A Sovos registra o mesmo adiamento para CT-e, BP-e, NF3-e e NFCom.

Impacto em ERP próprio

Quem mantém ERP próprio precisa atualizar os schemas XML, criar o cálculo de IBS e CBS por item, guardar CST e cClassTrib no cadastro, gerar os totais novos, tratar notas de crédito e débito e referenciar devoluções por item. Também precisa ajustar o CNPJ alfanumérico e testar tudo no ambiente de homologação da Sefaz.

O que costuma dar trabalho, em ordem de esforço:

Cadastro e regra fiscal. Cada produto ou combinação de produto e operação precisa de CST e cClassTrib. Sem esse mapeamento, feito com a contabilidade, o restante não funciona.
Motor de cálculo. São três valores novos por item (IBS UF, IBS município e CBS), com redução, diferimento e crédito presumido conforme o cClassTrib. O total da nota precisa bater com a soma dos itens, ou a Sefaz rejeita.
Devoluções. Com a v1.52, a devolução precisa referenciar o documento de origem por item, no grupo DFeReferenciado. A referência apenas no cabeçalho (refNFe) deixa de atender a regra VC02-14.
Notas de crédito e de débito. Descontos, bonificações e ajustes posteriores ganham finalidades próprias. Fluxos que hoje usam nota complementar ou carta de correção precisam ser revistos.
Schemas e versão. Atualizar os XSD a cada versão da NT e validar o XML antes do envio evita rejeição por erro de schema, que bloqueia a nota inteira.
DANFE e relatórios. Impressão, livros fiscais internos e relatórios de faturamento precisam mostrar os tributos novos sem confundir com o ICMS e o PIS/Cofins.

Impacto em ERP de mercado

Em ERP de mercado, o fornecedor atualiza o leiaute e o cálculo, mas a parametrização é responsabilidade da empresa. Sem CST e cClassTrib corretos no cadastro, o ERP atualizado gera nota com valores errados. Confirme a versão da NT que o fornecedor suporta e o calendário de atualização.

Perguntas objetivas para fazer ao fornecedor do ERP:

Pergunta	Por que importa
Qual versão da NT 2025.002-RTC a versão instalada suporta?	A v1.52 entra em produção em 16/11/2026, segundo aviso da ENCAT (a NT previa 03/11; trate 03/11 como prazo seguro)
A devolução já referencia o documento de origem por item?	Regra VC02-14
Notas de crédito e de débito estão disponíveis?	Fluxos de desconto e ajuste
O cadastro aceita CNPJ alfanumérico em clientes e fornecedores?	Novas inscrições desde julho de 2026
A API ou o banco de dados do ERP expõem os campos novos?	Integrações e relatórios externos dependem disso
Há ambiente de homologação para testar antes de atualizar a produção?	Evita parar o faturamento por uma atualização

Se o ERP é uma versão antiga, sem contrato de atualização, o caminho pode ser atualizar a versão, migrar de sistema ou terceirizar só a emissão para um serviço de NF-e por API. Cada opção tem custo e prazo diferentes; vale decidir antes de 2027, quando a CBS passa a ser cobrada de fato.

Impacto nas integrações com e-commerce e marketplaces

Nas integrações, o risco está nos sistemas que leem ou montam o XML fora do ERP: lojas virtuais, hubs de marketplace, emissores por API, importadores de XML de compra e rotinas de conciliação. Qualquer um que valide o schema de forma estrita, ou guarde o CNPJ como número, pode falhar sem aviso.

Pontos de verificação:

Pedido para nota. A loja ou o marketplace envia o pedido; o ERP ou o emissor monta a nota. Se a regra fiscal depende do tipo de operação, do destino ou do canal, esses dados precisam chegar no pedido.
Emissor terceirizado por API. Confira se o provedor já aceita os campos de IBS e CBS, em qual versão da NT, e se a sua integração envia esses campos ou deixa o provedor calcular.
XML de entrada. Notas de fornecedores já chegam com o grupo IBS/CBS. Importadores que validam o XML contra um XSD antigo rejeitam o arquivo; os que ignoram tags desconhecidas perdem a informação de crédito.
Devoluções de marketplace. O fluxo de devolução precisa da chave e do item da nota de origem para atender a regra VC02-14.
CNPJ alfanumérico. Campos numéricos no banco de dados, máscaras de tela, validação do dígito verificador e chaves de busca que tratam o CNPJ como inteiro quebram com o formato novo, conforme a IN RFB 2.229/2024 e a NT 2026.004.
Conciliação e BI. Relatórios que somam impostos por nota precisam separar IBS e CBS de ICMS, PIS e Cofins durante a transição.

Checklist de adequação

Use a lista abaixo como roteiro de trabalho entre TI, fornecedor do ERP e contabilidade. Os itens 1 e 2 dependem da contabilidade; os demais são técnicos. A ordem sugerida começa pelo que bloqueia o resto e termina nos testes em homologação e no monitoramento depois da entrada em produção.

#	Item	Responsável
1	Mapear CST e cClassTrib por produto e por tipo de operação	Contabilidade com fiscal
2	Definir regras de redução, diferimento e crédito presumido aplicáveis	Contabilidade
3	Confirmar a versão da NT suportada pelo ERP ou pelo emissor	TI / fornecedor
4	Atualizar schemas XSD e validar o XML antes do envio	TI
5	Ajustar devoluções para referência por item (`DFeReferenciado`)	TI / fornecedor
6	Revisar fluxos de desconto e ajuste para notas de crédito e de débito	TI com fiscal
7	Ajustar banco de dados, telas e validações para CNPJ alfanumérico	TI
8	Revisar importadores de XML de compra e integrações com loja e marketplace	TI
9	Emitir notas de teste em homologação para cada tipo de operação	TI com fiscal
10	Monitorar rejeições na primeira semana após cada nova versão em produção	TI
11	Acompanhar o Portal NF-e e o portal DF-e da SVRS a cada nova versão da NT	TI

Se a sua empresa tem ERP próprio ou integrações feitas sob medida e não sabe por onde começar, a integração de sistemas da SDI começa por um levantamento dos pontos que montam, leem ou transformam o XML, e entrega a lista do que precisa mudar, com estimativa de esforço para cada item. A parte tributária continua com a sua contabilidade.

pfSense, OPNsense ou MikroTik: qual firewall para pequena empresa

Tue, 27 Oct 2026 00:00:00 GMT

Resposta curta, com versões de outubro de 2026: OPNsense ou pfSense quando a empresa quer um firewall com interface web completa, IDS/IPS e relatórios; MikroTik quando o centro do problema é roteamento, múltiplos links, VLANs e VPN entre unidades, com hardware barato. Os três são bons. O erro mais comum não é escolher o produto errado, e sim instalar qualquer um deles sem documentação, sem atualização e sem ninguém responsável.

Qual a diferença em uma frase para cada um

pfSense e OPNsense são distribuições de firewall baseadas em FreeBSD, instaladas em um computador x86 dedicado, com interface web completa. O OPNsense nasceu como derivação do pfSense em 2015 e hoje segue caminho próprio. O MikroTik RouterOS é um sistema de roteador, vendido junto com o hardware da própria MikroTik.

	pfSense	OPNsense	MikroTik RouterOS
O que é	Firewall/roteador sobre FreeBSD	Firewall/roteador sobre FreeBSD	Sistema operacional de roteador
Edições	CE (gratuita, código aberto) e Plus (assinatura, EULA)	Community (gratuita, BSD 2 cláusulas) e Business (assinatura)	Uma só, com nível de licença por equipamento
Versão atual (out/2026)	CE 2.9.0 (20/08/2026); Plus 26.07 (13/08/2026)	26.7 (15/07/2026), correção 26.7.7 (13/10/2026)	7.24.5 (01/10/2026); long-term 7.23.8 (09/10/2026)
Onde roda	PC x86 ou appliance Netgate (Plus também em ARM)	PC x86 ou appliance Deciso	Roteadores MikroTik (ARM, MIPS, x86) ou CHR em máquina virtual
Configuração	Interface web	Interface web, com API	Terminal (CLI), WinBox e interface web
Mantido por	Netgate (EUA)	Deciso (Países Baixos)	MikroTik (Letônia)

Fontes: tabela de versões da Netgate, notas da série 26.7 do OPNsense, histórico de versões do RouterOS e changelogs da MikroTik, consultados em 27/10/2026.

Quanto custa a licença de cada um

Em outubro de 2026, pfSense CE e OPNsense Community são gratuitos, inclusive para uso comercial. As edições pagas cobram assinatura anual por instalação. No MikroTik, a licença já vem no roteador e não expira. O custo real de qualquer um dos três está no hardware, na configuração inicial e em quem mantém o equipamento depois.

Produto	Edição	Preço	Observação
pfSense	CE	Gratuito	Sem suporte do fabricante
pfSense	Plus com TAC Lite	US$ 129 por ano, por instância	Gratuito em appliances Netgate
pfSense	Plus com TAC Pro	US$ 399 por ano, por instância	Suporte 24/7, chamados ilimitados
pfSense	Plus com TAC Enterprise	US$ 799 por ano, por instância	Suporte 24/7, chamados ilimitados, nível mais alto
OPNsense	Community	Gratuito	Atualizações públicas
OPNsense	Business Edition	€ 149 por ano, por instalação	Repositório comercial com atualizações mais conservadoras; suporte vendido à parte
MikroTik	Licença do roteador (nível 4, 5 ou 6)	Inclusa no hardware	Atualizações ilimitadas; o nível define limites de túneis e usuários
MikroTik	CHR (máquina virtual)	Gratuita até 1 Mbit/s por interface; P1 US$ 45, P10 US$ 95, ilimitada US$ 250	Pagamento único; o nível limita a velocidade de envio por interface

Fontes: assinaturas do pfSense Plus, OPNsense Business Edition na loja oficial e chaves de licença do RouterOS, consultadas em 27/10/2026. Valores em moeda estrangeira, sem impostos de importação.

Para uma empresa com um escritório, a diferença de licença entre os três é pequena perto do custo de horas de configuração e manutenção. Ela passa a pesar quando há várias filiais, cada uma com seu equipamento.

Comparação de recursos que importam para uma PME

Os três fazem firewall de estados, NAT, VLANs, múltiplos links de internet e VPN. A diferença está em inspeção de tráfego (IDS/IPS), relatórios, filtro de DNS e facilidade de operar pela interface. Nesses pontos, pfSense e OPNsense entregam mais pela interface web; o MikroTik entrega mais em roteamento e em preço do hardware.

Recurso	pfSense CE	OPNsense	MikroTik RouterOS 7
Firewall de estados, NAT, VLAN	Sim	Sim	Sim
Múltiplos links com failover	Sim (gateway groups)	Sim (gateway groups)	Sim (rotas com distância e verificação)
WireGuard	Pacote	No núcleo	Nativo
IPsec e OpenVPN	Sim	Sim	Sim
IDS/IPS	Pacotes Suricata ou Snort	Suricata integrado à interface	Não tem nativo
Bloqueio de domínios por lista (DNS)	Pacote pfBlockerNG	Unbound com listas, na interface	Recurso limitado; em geral, feito em outro equipamento
Relatórios de tráfego	Pacotes	Insight (NetFlow) integrado	Traffic Flow para coletor externo
Alta disponibilidade (dois equipamentos)	CARP + pfsync	CARP + pfsync	VRRP, sem sincronizar estados
Roteamento dinâmico (OSPF, BGP)	Pacote FRR	Plugin FRR	Nativo
Calendário de versões	Irregular	Duas versões principais por ano	Frequente, com canal long-term

O calendário de versões pesa na prática. O OPNsense publica duas versões principais por ano (numeradas .1 e .7) e correções frequentes entre elas. O pfSense CE teve longos intervalos sem versão nova nos últimos anos, enquanto a Netgate concentra o ritmo no Plus. O RouterOS recebe versões com frequência, e a MikroTik mantém um canal long-term para quem prefere mudar menos.

Quando escolher cada um

A escolha depende de três perguntas: a empresa precisa inspecionar tráfego (IDS/IPS e filtro de conteúdo)? Tem mais de uma unidade para ligar por VPN? Quem vai manter o equipamento conhece FreeBSD ou RouterOS? Com essas respostas, a decisão costuma ficar clara antes de olhar preço.

Cenário	Escolha mais comum	Por quê
Escritório único, até 30 pessoas, sem servidor exposto à internet	Qualquer um dos três	O que mais protege é configuração correta, atualização e backup
Escritório com servidor ou sistema acessado de fora	OPNsense ou pfSense	IDS/IPS e relatórios ajudam a ver tentativas de acesso
Matriz e filiais ligadas por VPN	MikroTik nas filiais; MikroTik, OPNsense ou pfSense na matriz	Hardware de filial barato e WireGuard nativo
Dois ou mais links de internet com balanceamento	MikroTik ou OPNsense	Roteamento flexível; no OPNsense, pela interface
Exigência de suporte do fabricante em contrato	pfSense Plus ou OPNsense Business	Assinatura com canal de suporte formal
Equipe de TI interna que já domina um deles	O que a equipe domina	Firewall mal mantido é pior que firewall simples bem mantido

Uma combinação frequente em empresas com filiais: roteadores MikroTik nas unidades, com VPN site-to-site em WireGuard, e um OPNsense ou pfSense na matriz, onde ficam os servidores e onde vale a pena inspecionar o tráfego.

Hardware e dimensionamento

pfSense e OPNsense rodam em qualquer computador x86 de 64 bits com duas ou mais placas de rede. O MikroTik roda no próprio hardware da marca, do modelo mais simples ao de data center. O que define o tamanho do equipamento é a velocidade do link, o uso de VPN e, principalmente, se o IDS/IPS vai ficar ligado.

Item	Requisito ou referência	Fonte
OPNsense, mínimo	Processador dual-core de 1 GHz, 3 GB de RAM	Documentação do OPNsense
OPNsense, razoável	Dual-core de 1 GHz, 4 GB de RAM, SSD de 40 GB	idem
OPNsense, recomendado	Multinúcleo de 1,5 GHz, 8 GB de RAM, SSD de 120 GB	idem
Placas de rede (pfSense e OPNsense)	Prefira Intel; algumas placas de outros fabricantes têm drivers instáveis no FreeBSD	Recomendação geral das comunidades; conferir o modelo antes de comprar
MikroTik	Escolha o modelo pela tabela de desempenho do fabricante, olhando a linha com firewall e VPN, não a de roteamento puro	Página de cada produto em mikrotik.com

Três cuidados de dimensionamento:

IDS/IPS consome processador. Com Suricata ativo em links acima de 500 Mbit/s, um equipamento de entrada vira gargalo. Teste com o tráfego real antes de fechar o modelo.
VPN também consome. WireGuard é mais leve que IPsec e OpenVPN, mas, em equipamentos pequenos, a vazão da VPN fica bem abaixo da vazão sem criptografia.
Reserva para crescer. Dimensione para o link que a empresa terá em dois anos, não para o de hoje.

O que não muda com o produto escolhido

Firewall nenhum compensa configuração ruim. Os incidentes mais comuns em pequenas empresas vêm de acesso remoto exposto (RDP aberto na internet), senhas fracas sem MFA, sistemas desatualizados e backup que nunca foi testado. Esses pontos valem para os três produtos e devem estar resolvidos antes de discutir IDS ou marca.

Lista mínima, para qualquer um dos três:

Nenhuma porta de administração aberta para a internet. Nem a do firewall, nem RDP, nem SSH. Acesso remoto só por VPN.
Senha de administrador trocada e guardada em cofre de senhas da empresa, com MFA no que suportar.
Atualização em dia, com janela definida e cópia da configuração antes de cada atualização.
Rede separada para convidados, câmeras e equipamentos de terceiros (VLANs).
Backup da configuração do firewall fora do próprio equipamento, a cada mudança.
Documentação: diagrama de rede, regras com descrição e motivo, e credenciais em nome da empresa.
Logs enviados para fora do equipamento, para que um incidente possa ser investigado mesmo se o firewall for reiniciado.

A configuração do firewall é só uma parte da continuidade. Ela precisa de backup em local separado, como explicamos no artigo sobre backup 3-2-1-1-0 para PMEs.

Quando contratar

Contrate quando ninguém na empresa vai manter o firewall depois da instalação, quando há filiais, servidores expostos ou mais de um link, ou quando a troca precisa acontecer sem parar o expediente. O valor de um projeto está no levantamento, na documentação e no plano de volta atrás, mais do que na instalação em si.

O que um projeto de firewall da SDI entrega:

Etapa	Entregável
Levantamento	Inventário de links, equipamentos, regras atuais e acessos remotos
Projeto	Escolha do produto com justificativa, diagrama de rede e plano de VLANs
Implantação	Configuração documentada, janela de troca combinada e plano de volta atrás
Entrega	Runbook, backup da configuração e credenciais em nome da empresa

Projetos de redes e segurança da SDI partem de R$ 2.500 (valor de referência de outubro de 2026; o valor final consta na proposta, após o levantamento). O escopo, incluindo o que não fazemos, está na página de redes e segurança. Se você ainda não sabe o que existe hoje na sua rede, comece pelo diagnóstico de TI: em 5 dias úteis, ele entrega inventário, diagrama de rede e riscos priorizados.

Quanto custa um agente de IA para WhatsApp em 2026

Tue, 27 Oct 2026 00:00:00 GMT

Valores de outubro de 2026. Um agente de IA para WhatsApp com a API oficial custa, em custos de terceiros, de R$ 120 a R$ 240 por mês numa operação pequena (cerca de 300 atendimentos) e de R$ 680 a R$ 1.020 por mês numa operação média (cerca de 1.500 atendimentos). A isso se somam a implantação, paga uma vez, e a manutenção mensal da equipe técnica. Os cálculos, com todas as premissas, estão abaixo.

Quais são os componentes do custo

O custo de um agente de IA no WhatsApp tem cinco partes: a tarifa da Meta por mensagem entregue, o modelo de linguagem cobrado por token, o servidor onde roda a automação, a implantação paga uma vez e a manutenção mensal. As três primeiras são custos de terceiros e variam com o volume; as duas últimas são o trabalho técnico.

Componente	Como é cobrado	Quem cobra	Varia com o volume?
API oficial do WhatsApp (Cloud API)	Por mensagem entregue, conforme a categoria	Meta (direto ou via provedor BSP)	Sim
Modelo de linguagem (LLM)	Por milhão de tokens de entrada e de saída	Provedor do modelo (Anthropic, OpenAI, Google etc.)	Sim
Servidor	Valor mensal fixo	Provedor de VPS ou nuvem	Pouco
Implantação	Uma vez, por projeto	Quem desenvolve o agente	Não
Manutenção	Mensal	Quem desenvolve ou mantém o agente	Pouco

Se você contratar uma plataforma pronta (SaaS), os três primeiros itens costumam vir embutidos numa mensalidade com limite de respostas. A Aurora Inbox, por exemplo, divulga plano de entrada de US$ 99 por mês com 800 respostas de IA. No modelo self-hosted, que é o que descrevemos aqui, cada custo aparece separado na fatura de quem o cobra.

Quanto a Meta cobra por mensagem em outubro de 2026

Desde julho de 2025, a Meta cobra por mensagem entregue, não mais por conversa. A partir de 01/10/2026, no Brasil, a mensagem de marketing custa cerca de R$ 0,32 e as de utilidade, autenticação e serviço custam cerca de R$ 0,035. As mensagens que o cliente envia para a empresa não são cobradas.

Tarifas para destinatários com número do Brasil, sem impostos e sem a taxa de eventual provedor (BSP):

Categoria	Quando se usa	Tarifa por mensagem entregue	Observação
Marketing	Promoção, campanha, reengajamento	R$ 0,3217	Sem desconto por volume
Utilidade	Confirmação de pedido, lembrete de agenda, boleto	R$ 0,035	Desconto por volume de até 25%
Autenticação	Código de acesso (OTP)	R$ 0,035	Desconto por volume de até 25%
Serviço	Resposta dentro da janela de 24 horas aberta pelo cliente	R$ 0,035 a partir da 1.001ª mensagem do mês	As primeiras 1.000 por número, por mês, são grátis

As regras que mais pesam no cálculo, conforme a documentação de preços da Meta e a página de mudanças de preço:

A janela de serviço deixou de ser gratuita sem limite. Até 30/09/2026, as respostas dentro da janela de 24 horas não eram cobradas. Desde 01/10/2026, cada número tem franquia de 1.000 mensagens de serviço por mês, sem acúmulo; da 1.001ª em diante, cada mensagem é cobrada.
Utilidade dentro da janela voltou a ser cobrada na mesma data.
A empresa precisava ter forma de pagamento cadastrada até 30/09/2026, ou a Meta interromperia a entrega de mensagens de serviço.
Anúncios de clique para o WhatsApp abrem uma janela gratuita para as respostas da empresa.

Onde as fontes divergem. A página oficial da Meta mostra as tarifas em uma tabela interativa e em planilhas para download, e no texto cita apenas cerca de US$ 0,0068 por mensagem de utilidade ou autenticação para o Brasil. Os valores em reais da tabela acima vêm de fornecedor que reproduz a tabela oficial em BRL e são coerentes com o valor em dólar ao câmbio de outubro de 2026. Para marketing, encontramos fontes em dólar com US$ 0,0625 e US$ 0,075. Antes de fechar orçamento, baixe a planilha “BRL list rates” na página da Meta.

Uma restrição a mais: desde 15/01/2026, os termos da plataforma proíbem distribuir assistentes de IA de uso geral (do tipo ChatGPT) pela API do WhatsApp Business, segundo a TechCrunch. Um agente que atende os clientes da própria empresa, com escopo de negócio, continua permitido.

Quanto custa o modelo de linguagem e o servidor

O modelo de linguagem custa centavos por atendimento: com as tabelas públicas de outubro de 2026, de R$ 0,11 a R$ 0,22 para um atendimento de cinco respostas, sem cache. O servidor é custo fixo, de dezenas a poucas centenas de reais por mês, e depende mais da disponibilidade exigida do que do volume.

Premissas do cálculo do modelo:

5 respostas do agente por atendimento;
3.000 tokens de entrada por resposta (instruções, histórico da conversa e trechos da base de conhecimento) e 250 tokens de saída;
portanto, 15.000 tokens de entrada e 1.250 de saída por atendimento;
câmbio de US$ 1 = R$ 5,10.

Modelo (tabela da Anthropic, out/2026)	Entrada / saída por milhão de tokens	Custo por atendimento
Claude Haiku 4.5 (menor e mais barato)	US$ 1 / US$ 5	US$ 0,021 ≈ R$ 0,11
Claude Sonnet 5.5 (intermediário)	US$ 2 / US$ 10	US$ 0,043 ≈ R$ 0,22

Com 6 respostas por atendimento (18.000 tokens de entrada e 1.500 de saída), o custo sobe para US$ 0,026 ≈ R$ 0,13 no Haiku 4.5 e US$ 0,051 ≈ R$ 0,26 no Sonnet 5.5.

Usamos a Anthropic como exemplo porque publica a tabela completa. Modelos equivalentes de outros provedores ficam na mesma ordem de grandeza. O cache de prompt, que reaproveita as instruções fixas entre respostas, reduz o custo de entrada de forma relevante; não o consideramos, para não subestimar o valor.

No servidor rodam o n8n, o banco de dados com o histórico e, se houver, a base vetorial para busca em documentos (RAG). Para uma operação pequena, uma VPS com 4 GB de memória costuma bastar. Operações maiores pedem mais memória, fila de processamento e backup monitorado. Nas contas abaixo usamos de R$ 60 a R$ 600 por mês, conforme o cenário; o valor exato depende do provedor.

API oficial ou API não oficial

A API oficial (Cloud API da Meta) cobra por mensagem, mas tem número verificado, modelos de mensagem aprovados, estabilidade e suporte. As APIs não oficiais, como Evolution API, Z-API e WAHA, conectam pelo protocolo do WhatsApp Web, não pagam tarifa à Meta, mas expõem o número a bloqueio e contrariam os termos do WhatsApp.

Critério	API oficial (Cloud API)	API não oficial (Evolution API, Z-API, WAHA)
Tarifa da Meta	Sim, por mensagem entregue	Não
Risco de bloqueio do número	Baixo, se seguir as políticas	Alto, sem aviso prévio
Mensagens ativas (fora da janela de 24 h)	Por modelo aprovado	Sem controle; principal causa de bloqueio
Suporte e estabilidade	Da Meta e do BSP	Depende do projeto e de atualizações do WhatsApp Web
Indicado para	Atendimento comercial em produção	Testes internos e volumes baixos sem dependência crítica

Com a tarifa de serviço a R$ 0,035, mil respostas além da franquia custam R$ 35. Na maior parte das pequenas e médias operações, a economia da API não oficial não paga o risco de perder o número que o cliente já conhece. Vamos tratar essa comparação em detalhe em um artigo próprio.

Três cenários com premissas abertas

Nos três cenários, a operação usa a API oficial, um número de telefone, n8n self-hosted e as tarifas de outubro de 2026. Os totais são de custos de terceiros: Meta, modelo de linguagem e servidor. A implantação e a manutenção ficam fora da soma e são tratadas na seção seguinte.

Premissas comuns: as respostas do agente (5 no cenário pequeno, 6 nos demais) são todas mensagens de serviço; as mensagens de utilidade e de marketing são envios de modelo aprovado, separados das respostas do agente; a coluna de alto volume inclui uma campanha de marketing de 5.000 mensagens; as mensagens do cliente não são cobradas; nenhuma mensagem vem de anúncio de clique para o WhatsApp; não há desconto por volume.

Item	Pequeno	Médio	Alto volume
Atendimentos por mês	300	1.500	6.000
Respostas do agente por atendimento	5	6	6
Mensagens de serviço no mês	1.500	9.000	36.000
Mensagens de serviço cobradas (após 1.000 grátis)	500	8.000	35.000
Meta: serviço (R$ 0,035)	R$ 17,50	R$ 280,00	R$ 1.225,00
Meta: utilidade (lembretes e confirmações)	200 msg = R$ 7,00	1.500 msg = R$ 52,50	6.000 msg = R$ 210,00
Meta: marketing (R$ 0,3217)	nenhuma	nenhuma	5.000 msg = R$ 1.608,50
Subtotal Meta	R$ 24,50	R$ 332,50	R$ 3.043,50
Modelo de linguagem por atendimento	R$ 0,11 a R$ 0,22 (5 respostas)	R$ 0,13 a R$ 0,26 (6 respostas)	R$ 0,13 a R$ 0,26 (6 respostas)
Modelo de linguagem no mês	R$ 33 a R$ 66	R$ 195 a R$ 390	R$ 780 a R$ 1.560
Servidor	R$ 60 a R$ 150	R$ 150 a R$ 300	R$ 300 a R$ 600
Total de terceiros por mês	R$ 118 a R$ 241	R$ 678 a R$ 1.023	R$ 4.124 a R$ 5.204

Três leituras da tabela:

No cenário pequeno, a Meta é o menor custo. A franquia de 1.000 mensagens de serviço absorve quase tudo, e o servidor pesa mais que as mensagens.
No cenário médio, Meta e modelo têm peso parecido. Reduzir o tamanho do contexto enviado ao modelo e usar cache passam a valer o esforço.
No alto volume, a campanha de marketing domina. As 5.000 mensagens de marketing custam mais que as 35.000 de serviço. Rever a segmentação da campanha economiza mais do que trocar de modelo.

A calculadora de custo de agente no WhatsApp refaz essa conta com os seus números, e todas as premissas podem ser editadas.

Quanto custam a implantação e a manutenção

A implantação é paga uma vez e depende de quantas integrações e regras de negócio o agente terá. No mercado, os valores vão de algumas centenas a dezenas de milhares de reais. Na SDI, a referência é a partir de R$ 3.500 para implantar e a partir de R$ 490 por mês para manter.

O que entra na implantação de um agente com escopo de negócio:

configuração da conta na API oficial, verificação do número e aprovação dos modelos de mensagem;
fluxo no n8n com as regras de atendimento e a passagem para um atendente humano;
integração com os sistemas necessários (agenda, ERP, CRM ou planilha);
base de conhecimento com os documentos da empresa;
testes com conversas reais e critério de aceite medido antes de entrar em produção;
documentação, workflows exportados e credenciais em nome do cliente.

A manutenção mensal cobre monitoramento, ajuste de respostas, atualização da base de conhecimento, correção de integrações que mudaram e acompanhamento das regras da Meta.

Referência	Implantação	Mensal
Mercado (fornecedores e blogs consultados em outubro de 2026, sem metodologia declarada)	R$ 500 a R$ 60.000	R$ 99 a R$ 1.200
SDI, agente de WhatsApp	a partir de R$ 3.500	a partir de R$ 490
SDI, automação piloto (1 processo, até 3 integrações, 2 a 3 semanas)	a partir de R$ 3.000	—

Valores de referência. Cada atendimento é dimensionado após levantamento do ambiente e do escopo; o valor final consta na proposta. Os custos de terceiros (Meta, modelo de linguagem e servidor) são cobrados à parte, em nome do cliente, e não fazem parte do honorário.

O que encarece um agente de IA no WhatsApp

Os fatores que mais aumentam o custo são as campanhas de marketing, o contexto longo enviado ao modelo a cada resposta, o número de integrações com sistemas internos e a exigência de atendimento humano em paralelo. A maior parte deles se resolve no desenho do fluxo, antes de escrever a primeira linha de código.

Mensagens de marketing. A R$ 0,3217, cada mensagem de marketing custa cerca de nove vezes uma de utilidade. Lembrete de agenda e confirmação de pedido são utilidade; oferta é marketing. Classificar mal o modelo de mensagem encarece a fatura.
Contexto longo. Enviar o histórico inteiro e documentos grandes em cada resposta multiplica os tokens de entrada. Resumir o histórico e buscar só os trechos relevantes da base reduz o custo sem piorar a resposta.
Modelo maior do que o necessário. Triagem, perguntas frequentes e agendamento funcionam bem com modelos menores. O modelo maior pode ficar reservado para os casos que precisam dele.
Integrações. Cada sistema conectado (ERP, agenda, CRM) é mais uma parte para testar, documentar e manter quando o fornecedor mudar a API.
Disponibilidade exigida. Atendimento 24 horas com fila, redundância e alerta custa mais em servidor e em monitoramento.
Atendimento humano em paralelo. Painel para atendentes, transferência com histórico e horário de cobertura aumentam o escopo da implantação.

Como começar sem comprometer o orçamento

O caminho de menor risco é automatizar um processo só, com escopo e critério de aceite fechados, e medir o resultado antes de ampliar. Um bom primeiro processo tem volume alto e regras claras: agendamento, segunda via de boleto, status de pedido ou triagem antes do atendente.

Na automação piloto da SDI, um processo com até três integrações é entregue em duas a três semanas, com workflows exportados, documentação e medição antes e depois. Se o piloto não atingir o critério combinado, você sabe disso com custo limitado e com os dados na mão.

Quanto custa um software sob medida em 2026

Tue, 27 Oct 2026 00:00:00 GMT

Consulta em outubro de 2026; faixas de mercado referentes a 2025. Nas estimativas de software houses brasileiras reunidas em um texto da comunidade Sebrae/PR, um sistema web simples custa de R$ 15.000 a R$ 40.000; uma plataforma com vários módulos, de R$ 40.000 a R$ 100.000; um aplicativo móvel com painel, de R$ 70.000 a R$ 150.000 ou mais. Na SDI, projetos partem de R$ 15.000, e a hora de desenvolvimento, de R$ 160. Abaixo, de onde vêm esses números e como montar um orçamento que dê para comparar.

Quanto custa em 2026

As faixas publicadas vão de R$ 15.000 para um sistema simples a R$ 300.000 ou mais para software corporativo de alta escala. A maior parte dos projetos de pequenas e médias empresas fica entre R$ 15.000 e R$ 100.000. Os números são estimativas de mercado, sem metodologia declarada, e servem como ordem de grandeza.

Tipo de sistema	Exemplo	Faixa de mercado (2025)	Referência SDI
Sistema simples	Cadastro, login, permissões e relatórios para uma área da empresa	R$ 15.000 a R$ 40.000	a partir de R$ 15.000
Plataforma web com vários módulos	Pedidos, estoque e financeiro integrados, com perfis de acesso	R$ 40.000 a R$ 100.000	R$ 40.000 a R$ 100.000
Aplicativo móvel com painel de gestão	App para equipe de campo ou clientes, com painel web	R$ 70.000 a R$ 150.000 ou mais	sob levantamento
Software corporativo de alta escala	Muitos usuários simultâneos, alta disponibilidade, vários sistemas integrados	R$ 150.000 a R$ 300.000 ou mais	sob levantamento

Fonte das faixas de mercado: texto de autor publicado na Comunidade Sebrae/PR, “fatores que influenciam no orçamento de um software sob medida”, que apresenta os valores como estimativas médias praticadas por software houses brasileiras em 2025 (não é pesquisa do Sebrae). Consultado em 27/10/2026.

Valores da SDI são de referência. Cada projeto é dimensionado após levantamento do escopo; o valor final consta na proposta.

Como o preço é calculado

Quase todo orçamento de software é, no fundo, horas estimadas vezes valor da hora. O que muda entre fornecedores é o que entra nas horas: só programação, ou também levantamento, desenho de telas, testes, implantação, documentação e gestão. Uma proposta barata quase sempre deixou alguma dessas etapas de fora.

O valor da hora tem um piso: o custo de quem desenvolve. Medianas nacionais do Guia Salarial 2026 da Robert Half para desenvolvedor full-stack (valor mensal presumido; a página não informa o período), com a premissa de 1,8 vez o salário para encargos e benefícios CLT e 160 horas por mês:

Nível	Salário mediano	Custo estimado por hora (× 1,8 ÷ 160)
Júnior	R$ 6.850	≈ R$ 77
Pleno	R$ 12.400	≈ R$ 140
Sênior	R$ 16.250	≈ R$ 183

Sobre esse custo entram impostos, ferramentas, horas não faturáveis e margem. Por isso, se a hora de uma proposta ficar muito abaixo de R$ 140, vale perguntar o que ficou de fora.

Etapas que devem aparecer, com horas, em qualquer proposta:

Etapa	O que entrega	Sinal de alerta se faltar
Levantamento	Lista de funcionalidades, regras de negócio e critérios de aceite	O escopo vira discussão no meio do projeto
Desenho de telas	Protótipo navegável validado antes de programar	Retrabalho depois que o usuário vê o sistema
Desenvolvimento	Código, integrações e banco de dados	—
Testes	Testes automatizados e roteiro de homologação	Erros descobertos em produção
Implantação	Servidor, domínio, backup, monitoramento e migração de dados	O sistema fica pronto, mas não vai ao ar
Documentação e repasse	Manual técnico, credenciais e treinamento	Dependência total do fornecedor

Três exemplos com premissas

Os três exemplos usam a mesma regra: horas estimadas para todas as etapas, multiplicadas pela hora de referência da SDI, de R$ 160. As horas são premissa editorial, só para ilustrar a conta: não são orçamento da SDI. Integrações com sistemas sem API documentada, migração de dados antigos e regras fiscais podem dobrar a estimativa.

Cenário	O que inclui	Horas estimadas (premissa)	Conta ilustrativa a R$ 160/h	Faixa de mercado
A. Controle interno	Cadastro, login, 3 perfis de acesso, 5 relatórios, 1 importação de planilha	150 a 250 h	R$ 24.000 a R$ 40.000	R$ 15.000 a R$ 40.000
B. Plataforma de operação	4 módulos (pedidos, estoque, financeiro, cadastros), 2 integrações com API documentada (ERP e e-mail), painel	300 a 600 h	R$ 48.000 a R$ 96.000	R$ 40.000 a R$ 100.000
C. App de campo com painel	App para Android e iOS com uso sem internet, fotos e assinatura, painel web, 1 integração	450 a 900 h	R$ 72.000 a R$ 144.000	R$ 70.000 a R$ 150.000 ou mais

O que mais move a estimativa dentro de cada faixa:

Integrações. Uma API documentada e estável custa pouco. Um sistema antigo sem API, que exige leitura de banco de dados ou arquivos, pode custar mais que o resto do projeto. Veja também o que envolve uma integração de sistemas.
Regras de negócio. Cálculo de comissão, preço por tabela, regras fiscais: cada exceção é código e teste.
Perfis de acesso e auditoria. Registrar quem fez o quê, com histórico, é trabalho a mais, e às vezes exigência legal.
Uso sem internet em aplicativos, com sincronização depois, é um dos itens que mais encarecem um app.
Migração de dados. Limpar e importar dados de planilhas ou de um sistema antigo raramente leva menos de alguns dias.

Custos depois da entrega

Software pronto continua custando. Há infraestrutura (servidor, banco de dados, backup, domínio, e-mail transacional) e há horas de manutenção para correções, atualizações de segurança das bibliotecas e pequenas mudanças. Esses custos precisam estar estimados antes de contratar, separados do valor do projeto.

Custo recorrente	O que é	Quem costuma pagar
Servidor ou nuvem	Máquina virtual ou serviço gerenciado onde o sistema roda	Empresa contratante, em conta própria
Banco de dados e backup	Banco gerenciado ou no servidor, com cópia fora dele	Empresa contratante
Domínio, certificado e e-mail transacional	Endereço do sistema e envio de e-mails automáticos	Empresa contratante
Serviços de terceiros	Mapas, SMS, WhatsApp, emissão fiscal, assinatura eletrônica	Empresa contratante, conforme o uso
Manutenção corretiva e de segurança	Correção de erros, atualização de bibliotecas e do sistema operacional	Banco de horas ou contrato mensal
Evolução	Funcionalidades novas	Banco de horas ou nova fase com preço fechado

Dois cuidados. Primeiro, as contas de infraestrutura devem ficar em nome da empresa, não do fornecedor, para que uma troca de fornecedor não vire uma migração forçada. Segundo, um sistema sem atualização de bibliotecas acumula vulnerabilidades conhecidas: reserve horas de manutenção mesmo nos meses sem funcionalidade nova. Na SDI, evoluções são orçadas pela hora de desenvolvimento (a partir de R$ 160), e os custos de terceiros aparecem separados do nosso honorário.

Modelos de contratação

Há três modelos comuns: preço fechado por escopo, cobrança por hora (ou por sprint) e alocação mensal de equipe. Nenhum é melhor em todos os casos. Preço fechado protege o orçamento quando o escopo é pequeno e claro; cobrança por hora acompanha melhor um produto que muda conforme o uso real.

Modelo	Como funciona	Bom para	Cuidado
Preço fechado	Valor fixo para um escopo descrito, pago por marcos	Primeira versão, escopo pequeno e bem definido	Toda mudança vira aditivo; o fornecedor embute margem de risco
Por hora ou por sprint	Horas registradas, com relatório e prioridades revistas a cada ciclo	Evolução contínua, escopo que vai sendo descoberto	Exige acompanhamento e relatório de horas por tarefa
Alocação mensal	Uma ou mais pessoas dedicadas, valor mensal	Produtos com fila constante de mudanças	Custo fixo mesmo em meses com pouca demanda

Um caminho que reduz risco: fechar a primeira fase (a menor versão que já resolve o problema principal) com preço fixo e critérios de aceite, colocar em uso e só então decidir as próximas fases com base no uso real.

Sob medida ou sistema pronto

Antes de orçar um sistema, confira se um produto pronto (SaaS ou ERP de mercado) resolve 80% do problema. Desenvolver faz sentido quando o processo é o diferencial da empresa, quando os produtos prontos exigem contornos manuais diários ou quando a integração entre sistemas é o que falta.

Critério	Sistema pronto (SaaS ou ERP)	Software sob medida
Custo inicial	Baixo: implantação e mensalidade	Alto: projeto completo
Custo recorrente	Mensalidade por usuário, que cresce com a equipe	Infraestrutura e manutenção, que não crescem por usuário
Prazo para começar a usar	Dias ou semanas	Semanas ou meses
Aderência ao processo	A empresa se adapta ao sistema	O sistema segue o processo
Dependência	Do fornecedor do produto	Do código e da documentação, que devem ser da empresa
Quando escolher	Processos padrão (contabilidade, folha, CRM comum)	Processo próprio, integração entre sistemas, regra que nenhum produto cobre

Uma terceira opção, muitas vezes a mais barata: manter os sistemas prontos e desenvolver só a integração ou a automação entre eles.

O que exigir na proposta

Uma boa proposta de software lista as funcionalidades com critério de aceite, as horas por etapa, o que não está incluso, os custos de terceiros separados e quem é dono do código. Sem esses itens, o preço não diz nada, e duas propostas não podem ser comparadas.

Itens que devem estar escritos:

Escopo com critérios de aceite. Cada funcionalidade com uma frase que permita dizer “está pronto” ou “não está”.
Horas por etapa, incluindo levantamento, testes, implantação e documentação.
Lista do que não está incluso. Licenças, infraestrutura, migração de dados, integrações não listadas.
Código-fonte em repositório da empresa contratante, com acesso desde o primeiro dia.
Cessão dos direitos patrimoniais do software para a contratante. A Lei do Software (Lei 9.609/1998) trata da titularidade no art. 4º, mas o caminho seguro é cláusula expressa no contrato.
Ambientes e credenciais em nome da empresa: nuvem, domínio, banco de dados, lojas de aplicativo.
Período de garantia para correção de erros sem custo, com prazo definido.
Valor da hora para mudanças fora do escopo e para a manutenção depois da entrega.
Plano de saída: documentação técnica suficiente para outro fornecedor continuar.

Na SDI, todo projeto é entregue com diagrama, documentação e credenciais em nome do cliente, e os custos de terceiros aparecem separados. Projetos de desenvolvimento partem de R$ 15.000; sistemas médios ficam entre R$ 40.000 e R$ 100.000. O escopo, incluindo o que não fazemos, está na página de desenvolvimento de software, e as faixas de todos os serviços estão em preços.

Quanto custa suporte de TI terceirizado: por usuário, máquina ou fixo

Tue, 27 Oct 2026 00:00:00 GMT

Valores de outubro de 2026. Nos preços publicados por empresas brasileiras de suporte, a cobrança por estação fica entre R$ 80 e R$ 180 por mês, com mínimo mensal entre R$ 450 e R$ 1.500; servidores custam de R$ 300 a R$ 800 por mês cada. Na SDI, a referência é a partir de R$ 90 por estação e de R$ 900 por mês. O que separa uma proposta da outra é o escopo, e é dele que este artigo trata.

Quais são os modelos de cobrança

Há cinco modelos comuns: por usuário, por estação ou ativo, valor fixo mensal, banco de horas e hora avulsa. Os quatro primeiros são contratos mensais; o último é sob demanda. Nenhum é melhor em si. O modelo certo é o que a sua empresa consegue conferir todo mês sem depender da palavra do fornecedor.

Modelo	Como é calculado	Bom para	Cuidado
Por usuário	Número de pessoas atendidas × valor unitário	Equipes com vários dispositivos e contas em nuvem por pessoa	Definir o que é “usuário” (contas de serviço, estagiários, terceiros)
Por estação ou ativo	Estações × valor + servidores × valor + outros ativos	Escritórios com um computador por pessoa e servidores locais	Manter o inventário atualizado, ou a fatura diverge do parque
Valor fixo mensal	Valor único para um escopo descrito	Ambientes estáveis e bem documentados	Escopo vago vira discussão a cada chamado
Banco de horas	Pacote de horas por mês, com saldo e excedente	Demanda variável ou projetos pequenos recorrentes	Horas não usadas expiram? Como o tempo é registrado?
Hora avulsa	Horas trabalhadas × valor/hora, com mínimo por chamado	Empresas com pouca demanda ou para cobrir picos	Sem prevenção: o técnico só chega depois do problema

Os contratos por estação e por usuário costumam incluir monitoramento e manutenção preventiva; o banco de horas e a hora avulsa, em geral, só cobrem o que for chamado. Ao comparar propostas de modelos diferentes, converta todas para o mesmo parque de ativos e o mesmo período.

Quanto custa em outubro de 2026

Os preços publicados variam de R$ 80 a R$ 180 por estação por mês e de R$ 300 a R$ 800 por servidor, com mínimo mensal de R$ 450 a R$ 1.500. A hora avulsa vai de R$ 60 a R$ 400, com mediana entre R$ 150 e R$ 200. Quase nenhuma fonte declara metodologia.

Item	Faixa de mercado	Referência SDI
Estação por mês (remoto)	R$ 80 a R$ 180	a partir de R$ 90
Estação por mês com visitas presenciais	—	a partir de R$ 120 (Uberlândia)
Servidor por mês	R$ 300 a R$ 800	a partir de R$ 350
Mínimo mensal do contrato	R$ 450 a R$ 1.500	a partir de R$ 900
Hora avulsa remota	R$ 60 a R$ 400 (mediana R$ 150 a R$ 200)	a partir de R$ 150
Hora avulsa presencial	—	a partir de R$ 200, mínimo de 2 horas
Contrato mensal, empresa de 10 usuários	R$ 600 a R$ 1.500 (FreelaSemCrise)	conforme o parque

De onde vêm os números e qual o peso de cada um:

Faixas por estação, por servidor e mínimo mensal: preços publicados por empresas brasileiras de suporte e por guias de precificação, consultados em outubro de 2026. São fontes de fornecedores, sem metodologia declarada.
Contrato de 10 usuários e hora avulsa: a tabela 2026 da FreelaSemCrise informa R$ 80 a R$ 200 por hora e R$ 600 a R$ 1.500 por mês para dez usuários. É um guia para prestadores autônomos, o que puxa os valores para baixo.
Piso de exequibilidade: em licitação de 2025, o MPRS só exigiu composição de custos para propostas com hora técnica abaixo de R$ 136,14. É um indicador de quanto custa, no mínimo, uma hora de técnico com encargos.

Valores da SDI são de referência. Cada atendimento é dimensionado após levantamento do ambiente e do escopo; o valor final consta na proposta. Deslocamento fora de Uberlândia é orçado à parte.

Três exemplos de cálculo

Nos três exemplos, aplicamos a mesma regra: estações × valor unitário, mais servidores × valor unitário, respeitando o mínimo mensal. A faixa de mercado usa os extremos da tabela anterior; a coluna SDI usa as referências publicadas. Os exemplos não incluem licenças, equipamentos nem projetos, que são cobrados à parte.

Cenário	Parque	Faixa de mercado por mês	Referência SDI por mês
A. Escritório pequeno, remoto	8 estações, sem servidor	R$ 640 a R$ 1.440 (ou o mínimo do fornecedor)	R$ 900 (8 × R$ 90 = R$ 720, abaixo do mínimo)
B. Empresa com servidor local	15 estações e 1 servidor	R$ 1.500 a R$ 3.500	R$ 1.700 (15 × R$ 90 + R$ 350)
C. Empresa com visitas presenciais em Uberlândia	30 estações e 2 servidores	R$ 3.000 a R$ 7.000	R$ 4.300 (30 × R$ 120 + 2 × R$ 350)

O cenário A mostra por que o mínimo mensal existe: abaixo de certo volume, o tempo de gestão do contrato (inventário, relatórios, monitoramento) custa o mesmo, com ou sem chamados. No cenário C, o valor por estação sobe porque inclui visitas presenciais programadas; em atendimento só remoto, o mesmo parque ficaria em R$ 3.400 (30 × R$ 90 + 2 × R$ 350). A faixa de mercado desse cenário usa valores por estação de atendimento remoto, e a coluna SDI usa o valor com visitas (R$ 120); compare a faixa com os R$ 3.400, não com os R$ 4.300.

A calculadora de custo de TI refaz esse cálculo com o seu parque e compara com o custo de uma equipe interna.

O que precisa estar no contrato

Um contrato de suporte de TI precisa dizer o que está coberto, em que horário, em quanto tempo o fornecedor responde e resolve, como isso é medido e o que não está incluso. Sem esses números, “SLA” é só uma palavra. Exija também credenciais em nome da empresa e documentação do ambiente.

Itens que devem estar escritos:

Escopo por ativo. Estações, servidores, rede, impressoras, contas de e-mail, backup. O que não estiver na lista não está coberto.
Janela de atendimento. Dias e horários, e quanto custa o atendimento fora dela.
SLA com números por severidade, medido a partir de um registro com data e hora (sistema de chamados, não mensagem solta).
Relatório mensal com chamados abertos e fechados, tempos medidos e pendências.
“Não incluso” explícito. Projetos, compra de equipamentos, licenças, cabeamento, deslocamento fora da área.
Credenciais e documentação. Senhas de administrador, contas em nuvem e domínio em nome da empresa; inventário e diagrama de rede entregues e atualizados.
Saída. Prazo de aviso, entrega de documentação e de credenciais no encerramento, sem multa por levar o ambiente para outro fornecedor.
Reajuste. Índice e periodicidade.

Exemplo de formato de SLA com números. Os valores abaixo ilustram como a tabela deve ser escrita; os números de cada contrato são definidos na proposta.

Severidade	Exemplo	Primeira resposta	Meta de solução ou contorno
Crítica	Servidor parado, empresa sem acesso ao sistema principal	1 hora útil	4 horas úteis
Alta	Um setor sem trabalhar	2 horas úteis	1 dia útil
Média	Um usuário com problema, com alternativa de trabalho	4 horas úteis	2 dias úteis
Baixa	Dúvida, instalação programada, ajuste	1 dia útil	5 dias úteis

Terceirizado ou equipe interna

Para empresas pequenas, terceirizar quase sempre custa menos que contratar. A mediana de um analista de suporte pleno no Guia Salarial 2026 da Robert Half é R$ 6.500 por mês; com encargos e benefícios, o custo passa de R$ 11.000. A equipe interna se justifica quando há demanda presencial diária para uma pessoa em tempo integral.

Medianas nacionais do Guia Salarial 2026 da Robert Half, sem bônus nem benefícios, e custo estimado com a premissa de 1,8 vez o salário para encargos e benefícios de um contrato CLT:

Cargo	Salário mediano	Custo mensal estimado (× 1,8)
Analista de suporte júnior	R$ 4.400	R$ 7.920
Analista de suporte pleno	R$ 6.500	R$ 11.700
Analista de suporte sênior	R$ 8.400	R$ 15.120
Analista de infraestrutura pleno	R$ 8.250	R$ 14.850
Analista de infraestrutura sênior	R$ 12.250	R$ 22.050

A comparação não é só de preço:

Critério	Equipe interna	Suporte terceirizado
Presença física	Diária	Remota, com visitas conforme contrato
Conhecimento do negócio	Alto, com o tempo	Depende da documentação e do tempo de contrato
Cobertura de férias, doença e desligamento	Precisa de substituto	Responsabilidade do fornecedor
Amplitude técnica	Uma pessoa, um conjunto de habilidades	Rede, servidores, nuvem e segurança na mesma equipe
Ferramentas (chamados, monitoramento, acesso remoto)	Custo adicional da empresa	Em geral, incluídas no contrato
Custo para 15 estações e 1 servidor	A partir de R$ 7.920 (um júnior)	Perto de R$ 1.700 (cenário B)

Um modelo comum em empresas médias é o misto: uma pessoa interna para o atendimento de primeiro nível e o dia a dia, e um fornecedor para servidores, rede, segurança e projetos. Nesse caso, o contrato precisa dizer com clareza quem faz o quê, para que nenhum chamado fique sem dono.

Como comparar duas propostas

Coloque as propostas lado a lado com o mesmo parque, a mesma janela de atendimento e o mesmo período. Depois compare o que cada uma deixa de fora, os números do SLA e o que acontece se você trocar de fornecedor. Muitas vezes, a diferença de preço está na lista do que não está incluso.

Perguntas que ajudam a comparar:

O valor por estação inclui monitoramento e manutenção preventiva, ou só atendimento a chamados?
Qual é o mínimo mensal e o que acontece se o parque crescer ou diminuir?
Os tempos de resposta e de solução são medidos por qual sistema, e eu recebo o relatório?
O backup está no escopo? Quem testa a restauração, e com que frequência?
Visitas presenciais estão incluídas? Quantas por mês, e quanto custa a extra?
As credenciais de administrador e as contas em nuvem ficam em nome da minha empresa?
Recebo inventário e diagrama de rede? Em quanto tempo após o início?
Quais são o prazo de aviso e as condições para encerrar o contrato?

Se você não tem inventário nem diagrama do ambiente atual, comece por eles: sem isso, nenhuma proposta pode ser comparada com outra. O diagnóstico de TI da SDI entrega, em 5 dias úteis, inventário de ativos, diagrama de rede, riscos priorizados e plano de 90 dias, e o valor é abatido se você fechar contrato. As faixas de todos os serviços estão em preços, e o escopo do suporte mensal, incluindo o que não fazemos, está na página de suporte de TI.

RAG para empresas: assistente que responde com seus documentos

Tue, 27 Oct 2026 00:00:00 GMT

RAG é a técnica que permite a um assistente responder com base nos documentos da sua empresa (manuais, políticas, contratos-modelo, perguntas frequentes) em vez de responder só com o que o modelo aprendeu na internet. O sistema busca os trechos relevantes, entrega ao modelo de linguagem e pede uma resposta que cite a fonte. Com os preços de outubro de 2026, o custo por pergunta fica em frações de centavo a alguns centavos de real; o trabalho está em preparar a base e medir a qualidade.

O que é RAG, em uma resposta

RAG (Retrieval-Augmented Generation, geração aumentada por recuperação) junta uma busca nos seus documentos com um modelo de linguagem. A cada pergunta, o sistema encontra os trechos mais relevantes e pede ao modelo que responda usando apenas esses trechos. O modelo não é treinado de novo, e atualizar o conhecimento é atualizar os documentos.

Três consequências práticas dessa arquitetura:

A resposta pode citar a fonte. Como o sistema sabe de quais trechos tirou a resposta, mostra o documento e a seção. Quem pergunta consegue conferir.
Atualizar é simples. Trocou a política de devolução? Reindexa o documento novo, e a próxima resposta já usa a versão certa.
Dá para controlar quem vê o quê. Cada trecho guarda a permissão do documento de origem, e a busca só devolve o que o usuário pode ler.

Casos de uso típicos em pequenas e médias empresas: atendimento interno de RH (férias, benefícios, políticas), suporte técnico de primeiro nível com base em manuais, consulta de procedimentos operacionais e respostas a clientes sobre produtos, prazos e condições.

Como funciona, passo a passo

Um assistente com RAG tem duas etapas. Na indexação, os documentos são divididos em trechos, cada trecho vira um vetor numérico (embedding) e vai para um banco vetorial. Na consulta, a pergunta também vira vetor, o banco devolve os trechos mais parecidos, e o modelo de linguagem escreve a resposta com eles.

Etapa	O que acontece	Decisões que pesam na qualidade
Coleta	Documentos saem das pastas, do drive ou do sistema de origem	Quais fontes entram; quem é o dono de cada documento
Extração	O texto é extraído de PDF, DOCX, planilhas e páginas	PDF escaneado precisa de OCR; tabelas precisam virar texto legível
Divisão em trechos	Cada documento vira trechos de algumas centenas de tokens	Dividir por seção e título, não por número fixo de caracteres
Embeddings	Cada trecho vira um vetor que representa o sentido do texto	Modelo com bom desempenho em português
Banco vetorial	Vetores ficam guardados com a origem, a data e a permissão	Pode ser o próprio PostgreSQL com a extensão pgvector
Busca	A pergunta vira vetor, e o banco devolve os trechos mais próximos	Filtro de permissão; busca por palavra-chave junto (híbrida); reordenação (rerank)
Geração	O modelo responde só com os trechos recebidos e cita a fonte	Instrução para dizer “não encontrei” quando a base não tem a resposta

O ponto que mais diferencia um assistente útil de um frustrante não é o modelo de linguagem, e sim a preparação dos documentos: extração limpa, divisão por seção e remoção de versões antigas e duplicadas.

RAG, fine-tuning ou contexto longo

São três formas de dar conhecimento da empresa a um modelo. RAG busca trechos a cada pergunta e serve para bases grandes e que mudam. Fine-tuning ajusta o modelo e serve para estilo e formato, não para fatos. Contexto longo envia os documentos inteiros a cada pergunta e serve quando a base é pequena.

Critério	RAG	Fine-tuning	Contexto longo com cache
Tamanho da base	De dezenas a milhares de documentos	Não se aplica a fatos	Até algumas dezenas de páginas
Atualizar um documento	Reindexar o documento	Treinar de novo	Trocar o texto enviado
Cita a fonte	Sim	Não	Sim, se instruído
Controle de acesso por usuário	Na busca, por trecho	Não	Montando um contexto por perfil
Custo por pergunta	Baixo (só os trechos relevantes)	Baixo, mas com custo de treino	Baixo com cache; alto sem cache
Complexidade	Média: indexação, banco e busca	Alta: dados de treino e avaliação	Baixa

O contexto longo merece atenção porque costuma ser esquecido. Com cache de prompt, um conjunto de 50 páginas (cerca de 25.000 tokens) lido do cache custa cerca de US$ 0,00025 por pergunta no Claude Haiku 5.5 (preço válido para prompts de até 100 mil tokens), pela tabela da Anthropic de outubro de 2026, sem contar a gravação do cache, que é mais cara. Se a base é pequena e muda pouco, vale testar esse caminho antes de montar um RAG.

Quanto custa por pergunta e por mês

O custo variável de um assistente com RAG é baixo: indexar alguns milhões de tokens de documentos custa centavos de dólar, e cada pergunta custa de frações de centavo a alguns centavos de real, conforme o modelo. O que pesa no orçamento é o servidor, a implantação e a manutenção da base de documentos.

Premissas (outubro de 2026):

base com 2.000 documentos de cerca de 2.500 tokens cada, ou 5 milhões de tokens;
cada pergunta envia ao modelo ~4.000 tokens de entrada (1.000 de instruções, 6 trechos de 500 tokens e a pergunta) e recebe 400 de saída;
3.000 perguntas por mês;
câmbio de US$ 1 = R$ 5,10, sem cache de prompt e sem impostos.

Indexação (paga uma vez e de novo só para os documentos que mudarem):

Modelo de embeddings	Preço por milhão de tokens	Indexar 5 milhões de tokens
OpenAI text-embedding-3-small	US$ 0,02	US$ 0,10
OpenAI text-embedding-3-large	US$ 0,13	US$ 0,65
Voyage AI voyage-4-lite	US$ 0,02	US$ 0,10 (dentro da franquia grátis de 200 milhões)
Voyage AI voyage-4	US$ 0,06	US$ 0,30 (dentro da franquia grátis de 200 milhões)

Fontes: preços da OpenAI e preços da Voyage AI, consultados em 27/10/2026. O embedding de cada pergunta (algumas dezenas de tokens) tem custo desprezível.

Geração da resposta:

Modelo de linguagem	Entrada / saída por milhão de tokens	Custo por pergunta	3.000 perguntas por mês
Claude Haiku 5.5 (menor; preço para prompts de até 100 mil tokens)	US$ 0,10 / US$ 0,50	US$ 0,0006 ≈ R$ 0,003	≈ R$ 9,18
Claude Sonnet 5.5 (intermediário)	US$ 2 / US$ 10	US$ 0,012 ≈ R$ 0,06	≈ R$ 183,60

Usamos a Anthropic como exemplo porque publica a tabela completa; para outros provedores, confira a tabela de cada um. Com o banco vetorial no próprio PostgreSQL, o servidor costuma ser o mesmo da automação (premissa: de R$ 60 a R$ 300 por mês, conforme a disponibilidade exigida). Se o assistente responde pelo WhatsApp, somam-se as tarifas da Meta, detalhadas em quanto custa um agente de IA para WhatsApp.

Permissões, LGPD e onde ficam os dados

Um assistente com RAG só é seguro se respeitar as mesmas permissões dos documentos de origem e se a empresa souber para onde cada trecho viaja. Os trechos usados na resposta vão para o provedor do modelo, e os documentos inteiros passam pelo provedor de embeddings na indexação.

Cuidados que entram no projeto desde o início:

Permissão por trecho. Cada trecho guarda quem pode lê-lo, e o filtro é aplicado na busca, antes de o modelo receber qualquer texto. Instruir o modelo a “não mostrar” informação restrita não é controle de acesso.
Classificação dos documentos. Defina o que pode ir para provedores externos e o que não pode (dados pessoais sensíveis, dados de saúde, segredos comerciais). O que não pode fica fora da base ou é atendido por modelo executado no próprio servidor.
Política de cada provedor. Confira, na página do provedor e no contrato, se os dados enviados pela API são retidos, por quanto tempo, em que região são processados e se podem ser usados para treino.
Registro. Guarde quais perguntas foram feitas e quais trechos foram usados, com prazo de retenção definido, para auditar respostas erradas e atender pedidos de titulares.
Atualização e exclusão. Um documento removido da origem precisa sair do banco vetorial também. Isso vira uma rotina, não uma tarefa manual.

A adequação à LGPD depende do conjunto: base legal, contratos com operadores, controle de acesso, registro e retenção. Hospedar o banco vetorial no próprio servidor ajuda no controle, mas não resolve sozinho.

Como medir se o assistente responde bem

A qualidade de um assistente com RAG se mede antes de liberar para os usuários, com um conjunto de perguntas reais e respostas esperadas. Sem esse conjunto, cada ajuste vira opinião, e um erro de extração ou de divisão de trechos só aparece quando alguém reclama.

Um roteiro de avaliação que funciona para começar:

Reúna de 50 a 100 perguntas reais, tiradas do atendimento, do e-mail ou do RH, com a resposta correta e o documento de onde ela sai.
Inclua perguntas sem resposta na base. O comportamento esperado é o assistente dizer que não encontrou, não inventar.
Meça duas coisas separadas: se a busca trouxe o trecho certo (recuperação) e se a resposta usou corretamente esse trecho (geração). Erros de recuperação se corrigem nos documentos e na busca; erros de geração, nas instruções ou no modelo.
Rode o conjunto a cada mudança de modelo, de divisão de trechos ou de documentos, e compare com a rodada anterior.
Depois de liberar, registre as perguntas sem resposta e as respostas marcadas como erradas: elas mostram o que falta na base.

Quando não usar RAG

RAG não é a ferramenta certa quando a resposta está num sistema estruturado, quando a base cabe inteira no contexto do modelo ou quando a pergunta exige cálculo exato. Nesses casos, consulta direta ao sistema, contexto longo ou uma regra programada respondem melhor e com menos peças para manter.

Situação	Melhor caminho	Por quê
“Qual o status do pedido 4521?”	Consulta à API do ERP ou do e-commerce	O dado está numa tabela e muda a cada minuto
“Quanto vendemos em setembro?”	Relatório ou consulta ao banco de dados	Exige soma exata, não texto parecido
Base com poucas páginas, que muda pouco	Contexto longo com cache	Menos peças: sem indexação e sem banco vetorial
Regra fixa (prazo, tabela de frete)	Regra programada no fluxo	Resposta determinística e testável
Documentos em constante mudança, em volume	RAG	É o caso para o qual a técnica existe

Na prática, muitos assistentes combinam os caminhos: RAG para políticas e manuais, consulta à API para pedidos e estoque, e regras fixas para prazos. Um orquestrador como o n8n decide qual caminho cada pergunta segue; veja o comparativo n8n vs Make vs Zapier vs Power Automate.

Como a SDI implanta um assistente com RAG

A SDI começa por um recorte: uma área, um conjunto de documentos e um conjunto de perguntas de teste com critério de aceite. A base é preparada, o assistente é medido contra esse conjunto e só depois é liberado. Código, workflows, banco e credenciais ficam em nome da empresa.

Na automação com IA, automações com IA têm referência a partir de R$ 5.000, e a automação piloto, com um processo e até três integrações, parte de R$ 3.000; a manutenção parte de R$ 300 por mês. Valores de referência: cada atendimento é dimensionado após levantamento do escopo. Os custos de terceiros (modelo de linguagem, embeddings e servidor) são cobrados à parte, em nome do cliente.

VPN site-to-site com MikroTik e WireGuard: passo a passo

Tue, 27 Oct 2026 00:00:00 GMT

Ligar duas unidades da empresa, sede e filial, ou escritório e data center, é uma das tarefas mais comuns em rede corporativa. Com dois MikroTik no RouterOS 7, o WireGuard resolve isso com menos comandos e menos pontos de falha do que IPsec. Este guia mostra a configuração completa e comentada dos dois lados, com firewall, MTU, testes e erros comuns.

O que você vai montar

O objetivo é uma VPN corporativa site-to-site: as estações da filial acessam os servidores da sede pela rede interna, como se estivessem no mesmo prédio, e o tráfego entre as duas redes passa cifrado pela internet. Cada roteador MikroTik ganha uma interface WireGuard, um peer apontando para o outro lado e uma rota para a rede remota.

Item	Sede	Filial
Rede interna (LAN)	192.168.10.0/24	192.168.20.0/24
IP do roteador na LAN	192.168.10.1	192.168.20.1
IP público (WAN)	203.0.113.10	198.51.100.20
Interface WireGuard	`wg-filial`	`wg-sede`
IP no túnel	10.255.255.1/30	10.255.255.2/30
Porta UDP	13231	13231

Os IPs públicos são de documentação (RFC 5737) e as redes internas seguem a RFC 1918. Troque pelos da sua rede. As duas LANs não podem se sobrepor: se as duas unidades usam 192.168.0.0/24, renumere uma delas antes de começar.

Pré-requisitos

Você precisa de dois roteadores MikroTik com RouterOS 7, acesso administrativo aos dois e pelo menos um lado alcançável pela internet em UDP. Confira também se as LANs não se sobrepõem e se a CPU dos modelos aguenta a banda cifrada que você espera, porque o WireGuard no MikroTik roda na CPU.

RouterOS 7 nos dois lados, de preferência na mesma versão estável (/system package update check-for-updates). O RouterOS 6 não tem WireGuard.
IP público em pelo menos um lado, ou encaminhamento da porta UDP no equipamento da operadora. Se a filial estiver atrás de CGNAT, veja a seção da variante mais abaixo.
Backup da configuração antes de mexer: /export file=antes-da-vpn e /system backup save name=antes-da-vpn.
Acesso fora de banda ou de recuperação (alguém no local, ou Safe Mode com Ctrl+X no terminal) caso uma regra de firewall corte seu acesso.
Relógio e DNS corretos ajudam no diagnóstico pelos logs, embora o WireGuard não dependa de certificados.

Passo 1: criar as interfaces e trocar as chaves públicas

Cada lado cria uma interface WireGuard, e o RouterOS gera o par de chaves automaticamente. A chave privada nunca sai do roteador. O que você copia de um lado para o outro é só a chave pública. Use a mesma porta nos dois lados para simplificar o firewall e o diagnóstico.

Na sede:

# Cria a interface WireGuard. A chave privada é gerada automaticamente.
/interface wireguard
add name=wg-filial listen-port=13231 mtu=1420 comment="VPN site-to-site: sede <-> filial"

# Mostra a chave pública desta ponta. Copie o valor para usar na filial.
/interface wireguard print proplist=name,listen-port,public-key

Na filial:

/interface wireguard
add name=wg-sede listen-port=13231 mtu=1420 comment="VPN site-to-site: filial <-> sede"

/interface wireguard print proplist=name,listen-port,public-key

Trate a saída de print sem proplist com cuidado: ela pode exibir a chave privada. Não cole essa saída em chamados, conversas ou documentação compartilhada.

Passo 2: cadastrar o peer de cada lado

O peer diz ao roteador quem é o outro lado (chave pública), onde encontrá-lo (endpoint) e quais redes podem chegar por ele (allowed-address). O allowed-address funciona ao mesmo tempo como filtro de origem e como tabela de destinos do túnel: rede que não estiver ali é descartada.

Na sede:

/interface wireguard peers
add interface=wg-filial \
    public-key="" \
    endpoint-address=198.51.100.20 endpoint-port=13231 \
    allowed-address=10.255.255.2/32,192.168.20.0/24 \
    persistent-keepalive=25s \
    comment="Filial: aceita o IP de túnel e a LAN da filial"

Na filial:

/interface wireguard peers
add interface=wg-sede \
    public-key="" \
    endpoint-address=203.0.113.10 endpoint-port=13231 \
    allowed-address=10.255.255.1/32,192.168.10.0/24 \
    persistent-keepalive=25s \
    comment="Sede: aceita o IP de túnel e a LAN da sede"

O persistent-keepalive=25s mantém o estado de NAT aberto no caminho. Em links com IP público dos dois lados, ele é opcional, mas acelera a detecção de queda. Se quiser uma camada extra de proteção, gere uma chave pré-compartilhada e configure o mesmo valor em preshared-key nos dois peers.

Passo 3: endereços do túnel e rotas

Com o peer cadastrado, cada interface recebe um IP no túnel e cada roteador ganha uma rota estática para a LAN do outro lado, apontando para a interface WireGuard. Sem a rota, o túnel sobe, o handshake acontece, mas nenhum pacote da LAN entra nele.

Na sede:

# IP da sede dentro do túnel (/30 = só dois endereços úteis)
/ip address
add address=10.255.255.1/30 interface=wg-filial comment="Túnel WG: lado sede"

# Tudo que for para a LAN da filial sai pelo túnel
/ip route
add dst-address=192.168.20.0/24 gateway=wg-filial comment="LAN da filial via WireGuard"

Na filial:

/ip address
add address=10.255.255.2/30 interface=wg-sede comment="Túnel WG: lado filial"

/ip route
add dst-address=192.168.10.0/24 gateway=wg-sede comment="LAN da sede via WireGuard"

Com várias filiais, cada uma recebe seu próprio /30 (ou um /24 de túnel compartilhado, com /32 por peer no allowed-address) e sua própria rota. Para muitas unidades, vale considerar OSPF sobre os túneis em vez de rotas estáticas.

Passo 4: firewall de entrada, encaminhamento e NAT

O firewall precisa de três ajustes: aceitar o handshake na porta UDP do WireGuard (chain input), permitir o tráfego entre as duas LANs (chain forward) e garantir que esse tráfego não seja mascarado pelo NAT. As regras precisam ficar acima das regras de descarte da configuração padrão.

Na sede:

/ip firewall filter
# Aceita o handshake WireGuard vindo do IP público da filial
add chain=input action=accept protocol=udp dst-port=13231 src-address=198.51.100.20 \
    comment="WG: handshake da filial" place-before=0

# Permite tráfego entre as LANs nos dois sentidos
add chain=forward action=accept src-address=192.168.20.0/24 dst-address=192.168.10.0/24 \
    comment="WG: filial -> sede" place-before=0
add chain=forward action=accept src-address=192.168.10.0/24 dst-address=192.168.20.0/24 \
    comment="WG: sede -> filial" place-before=0

/ip firewall nat
# Impede que o tráfego entre as LANs seja mascarado (só necessário se o masquerade
# não estiver restrito a out-interface-list=WAN)
add chain=srcnat action=accept src-address=192.168.10.0/24 dst-address=192.168.20.0/24 \
    comment="WG: sem NAT entre LANs" place-before=0

Na filial, o espelho:

/ip firewall filter
add chain=input action=accept protocol=udp dst-port=13231 src-address=203.0.113.10 \
    comment="WG: handshake da sede" place-before=0
add chain=forward action=accept src-address=192.168.10.0/24 dst-address=192.168.20.0/24 \
    comment="WG: sede -> filial" place-before=0
add chain=forward action=accept src-address=192.168.20.0/24 dst-address=192.168.10.0/24 \
    comment="WG: filial -> sede" place-before=0

/ip firewall nat
add chain=srcnat action=accept src-address=192.168.20.0/24 dst-address=192.168.10.0/24 \
    comment="WG: sem NAT entre LANs" place-before=0

Depois de aplicar, confira a ordem com /ip firewall filter print e /ip firewall nat print. Se a política da empresa exigir, troque as regras de forward amplas por regras por serviço (por exemplo, só TCP 445 e 3389 para os servidores da sede).

MTU e MSS: o erro que só aparece em produção

O WireGuard adiciona cabeçalho a cada pacote. Se o MTU do túnel for grande demais para o caminho, ping funciona, mas páginas web, compartilhamento de arquivos e RDP travam em transferências maiores. O padrão de 1420 bytes do RouterOS cobre WAN de 1500; em PPPoE, reduza e ajuste o MSS.

WAN	MTU da WAN	Overhead WireGuard	MTU sugerido do túnel
Ethernet / IPoE	1500	60 (IPv4) a 80 (IPv6)	1420 (padrão)
PPPoE	1492	60 a 80	1412
Caminho com outro túnel ou MTU desconhecido	medir	60 a 80	medir com ping sem fragmentação

Para evitar que conexões TCP negociem segmentos maiores do que o túnel aguenta, ajuste o MSS nos dois roteadores:

/ip firewall mangle
# Ajusta o MSS dos pacotes SYN que saem e que entram pelo túnel
add chain=forward action=change-mss new-mss=clamp-to-pmtu protocol=tcp tcp-flags=syn \
    out-interface=wg-filial passthrough=yes comment="WG: MSS saída"
add chain=forward action=change-mss new-mss=clamp-to-pmtu protocol=tcp tcp-flags=syn \
    in-interface=wg-filial passthrough=yes comment="WG: MSS entrada"

Na filial, troque wg-filial por wg-sede. Se o clamp-to-pmtu não resolver, use um valor fixo: MTU do túnel menos 40 (por exemplo, new-mss=1380 para MTU 1420).

Variante: filial sem IP público (CGNAT)

Quando a filial está atrás de CGNAT ou de um modem que você não controla, ela não pode ser alcançada de fora. A solução é inverter a iniciativa: a filial chama a sede e mantém o túnel aberto com keepalive. A sede só precisa aceitar a conexão e aprender o endereço de origem.

Na sede, cadastre o peer sem endpoint-address (no lugar do comando do Passo 2) e crie a regra de entrada sem src-address, porque o IP público da filial muda:

/interface wireguard peers
# Sem endpoint: a sede aprende o IP de origem da filial no primeiro handshake
add interface=wg-filial \
    public-key="" \
    allowed-address=10.255.255.2/32,192.168.20.0/24 \
    comment="Filial (atrás de CGNAT)"

/ip firewall filter
# Aceita o handshake de qualquer origem na porta do WireGuard
add chain=input action=accept protocol=udp dst-port=13231 \
    comment="WG: handshake da filial (origem dinâmica)" place-before=0

Para conferir o endereço aprendido, veja current-endpoint-address em /interface wireguard peers print detail.

Na filial, mantenha endpoint-address=203.0.113.10 e persistent-keepalive=25s. Abrir a porta UDP 13231 para qualquer origem é aceitável no WireGuard: o roteador não responde a pacotes que não venham de um peer com chave válida. Se o IP da sede for dinâmico, use um nome DNS no endpoint-address da filial.

Teste e diagnóstico

Teste em camadas: primeiro o handshake, depois o ping entre os IPs de túnel, depois o ping entre as LANs e, por fim, uma transferência grande. Cada camada que falha aponta para uma parte diferente da configuração, e pular etapas é o que transforma dez minutos de diagnóstico em uma tarde.

# 1. Handshake: last-handshake deve ser de poucos segundos ou minutos atrás,
#    e rx/tx devem crescer
/interface wireguard peers print detail

# 2. Ping entre os IPs de túnel (na sede)
/ping 10.255.255.2 count=5

# 3. Ping entre LANs, usando o IP da LAN como origem
/ping 192.168.20.1 src-address=192.168.10.1 count=5

# 4. Caminho: o primeiro salto deve ser o túnel
/tool traceroute 192.168.20.1 src-address=192.168.10.1

# 5. MTU: deve passar com 1420 e falhar acima disso
/ping 192.168.20.1 src-address=192.168.10.1 size=1420 do-not-fragment count=3

# 6. Os pacotes UDP estão chegando na WAN?
/tool sniffer quick port=13231

# 7. Logs do WireGuard (desative depois do diagnóstico)
/system logging add topics=wireguard action=memory
/log print

Por fim, teste de uma estação da filial: acesse um compartilhamento ou sistema da sede e copie um arquivo de algumas centenas de megabytes. Se o ping passa e a cópia trava, volte à seção de MTU e MSS.

Erros comuns

As causas mais frequentes de problema com WireGuard no MikroTik são cinco: chave trocada, allowed-address incompleto, rota faltando, firewall bloqueando ou MTU grande demais. A tabela relaciona cada sintoma com a causa provável e o comando ou ponto da configuração onde olhar primeiro, na ordem em que vale a pena verificar.

Sintoma	Causa provável	Onde olhar
`last-handshake` vazio, `rx` zerado	Chave pública trocada, porta bloqueada na operadora ou firewall `input`	Chaves dos dois peers; `/tool sniffer quick port=13231` na WAN
Handshake ok, ping entre túneis falha	IP do túnel errado ou ausente em `allowed-address`	`/ip address print`; peers
Ping entre túneis ok, LANs não se falam	Rota faltando ou LAN ausente em `allowed-address`	`/ip route print`; peers
Só um sentido funciona	Regra de forward ou rota só de um lado; firewall do Windows no destino	Os dois roteadores; perfil de rede da estação
Ping ok, SMB/RDP/HTTPS travam	MTU ou MSS	Seção de MTU e MSS
Funciona e cai depois de minutos	NAT expirando sem keepalive; IP dinâmico mudou	`persistent-keepalive`; endpoint por DNS
Acesso funciona, mas o destino vê o IP do roteador	Masquerade aplicado ao tráfego da VPN	Regra `srcnat` de exceção
Nada funciona e as LANs são iguais	Sobreposição de redes	Renumerar uma das LANs

Quando contratar

Configurar um túnel entre duas unidades é tarefa que um técnico com acesso aos dois roteadores faz em uma tarde, seguindo este guia. Vale chamar ajuda quando há muitas unidades, redes sobrepostas, sistemas críticos dependendo do link, ou quando ninguém vai documentar e monitorar o túnel depois.

Situações em que o projeto pede mais do que este passo a passo:

Cinco ou mais unidades, em que rotas estáticas viram manutenção e OSPF ou um desenho em estrela com redundância fazem diferença.
Link redundante com failover entre duas operadoras.
Redes sobrepostas que exigem renumeração ou NAT entre sites.
Segmentação: a filial só pode acessar o ERP, e não a rede inteira da sede.
Monitoramento e documentação: alerta quando o túnel cai e diagrama atualizado para quem vier depois.

A SDI faz projeto e implantação de redes e segurança com MikroTik e Cisco, incluindo VPN corporativa site-to-site e acesso remoto de colaboradores. A entrega inclui o diagrama da rede, o export comentado da configuração e as credenciais em nome da sua empresa.