Las claves en 30 segundos
- La edición Community sale gratis, sin límite de ejecuciones, pero no es código abierto. Lo dice la propia n8n: usa la Sustainable Use License, que limita el uso a fines internos de la empresa.
- No puedes ofrecerla a tus clientes para que conecten sus cuentas y creen flujos. Para eso hace falta otro acuerdo.
- Lo gratis tiene un borde claro: sin SSO, sin proyectos, sin compartir flujos ni credenciales, sin entornos y sin Git. El plan autoalojado que los trae, Business, cuesta 667 € al mes con pago anual.
- La parte cara no es el VPS: son las copias, las actualizaciones y la guardia. n8n ha publicado 59 versiones estables en 90 días, y CISA tiene un fallo suyo en el catálogo de vulnerabilidades explotadas.
- Autoalojar no resuelve solo el RGPD: cada flujo sigue enviando datos a los servicios que conecta, y por defecto la instancia manda telemetría a n8n.
n8n es la herramienta que suele salir cuando alguien se harta de pagar a Zapier o a Make por tarea. Tiene sentido: un flujo de cien pasos cuenta como una sola ejecución, y además te lo puedes instalar. De ahí nace la comparativa típica, que pone «0 € de licencia y un VPS de 10 €» frente a cientos de euros de suscripción.
Esa cuenta se deja fuera casi todo lo que importa en una empresa. Hemos arrancado la versión 2.46.6 en Docker y leído la licencia, la documentación de operación y el historial de seguridad para rehacerla con datos.
Qué permite la licencia, y qué no
n8n estuvo bajo Apache 2.0 con Commons Clause hasta marzo de 2022 y luego creó su propia licencia, la Sustainable Use License. Permite usar, modificar y redistribuir el código con tres límites, y los dos que importan son estos: solo para fines internos de tu empresa o para uso personal o no comercial, y solo puedes distribuirlo gratis y con fines no comerciales.
La compañía es clara con la etiqueta. Como la definición de código abierto no admite restricciones de uso, «no nos llamamos código abierto», y usa el término fair-code. Traducido a casos reales:
| Uso | ¿Cabe en la licencia? |
|---|
| Automatizar tus propios procesos internos | Sí |
| Sincronizar tu CRM con tu ERP o tu correo | Sí |
| Dar a tus clientes una instancia para conectar sus cuentas | No, según la propia n8n |
| Incrustar n8n en tu producto de pago | No sin acuerdo; tienen vía OEM |
| Revenderlo como servicio gestionado | No sin acuerdo |
Hay dos matices más. Los archivos con .ee en el nombre requieren licencia Enterprise, aunque estén en el repositorio. Y el acuerdo que firma quien contribuye permite a n8n cambiar la licencia sin pedir más permisos, algo que ya hemos visto en MinIO. Si tu caso está en la frontera, n8n pide escribir a [email protected], y es mejor hacerlo antes de construir encima.
Dónde se acaba lo gratis
Las ediciones son cuatro: Community, Community registrada (gratis, con carpetas y poco más), Business y Enterprise. La lista de lo que falta en Community es corta pero muy concreta:
- SSO (SAML y LDAP).
- Proyectos y compartir flujos o credenciales: solo acceden el propietario de la instancia y quien los creó.
- Entornos y control de versiones con Git.
- Secretos externos y variables personalizadas.
- Envío de registros a sistemas externos.
- Almacenamiento externo de datos binarios.
- Modo multi-main. El modo cola, ojo, sí está incluido.
Para una persona que automatiza lo suyo no pasa nada. Para un equipo de diez, no poder compartir una credencial ni entrar con la cuenta corporativa es el límite real, y una auditoría lo va a preguntar. Estos son los precios publicados a 4 de noviembre de 2026:
| Plan | Precio (facturación anual) | Dónde corre | Incluye |
|---|
| Community | 0 € | Tuyo | Sin límite de ejecuciones, sin SSO ni colaboración |
| Starter | 20 €/mes | n8n | 2.500 ejecuciones, 5 concurrentes |
| Pro | 50 €/mes | n8n | 10.000 ejecuciones, hasta 50 concurrentes |
| Business | 667 €/mes | Solo autoalojado | 40.000 ejecuciones, SSO y LDAP, 6 proyectos compartidos, entornos y Git; para menos de 100 empleados |
| Enterprise | A medida | Según contrato | Ejecuciones a medida, 200 o más concurrentes |
Son 8.004 € al año por tener SSO en tu propia infraestructura, y encima pones tú el servidor. Con menos de 20 empleados, n8n anuncia un descuento del 50 % sobre Business si cumples sus condiciones. El dato explica por qué muchas instancias empiezan en Community y acaban con una cuenta compartida entre varias personas, que es justo lo que no debería pasar en la herramienta que guarda las claves de todo.
Zapier y Make cobran con otra unidad: Zapier por tarea, cada paso que se completa, y Make por créditos. No ponemos aquí sus cifras porque dependen del volumen y de cómo diseñes el flujo, pero la consecuencia general se sostiene: cuantos más pasos tiene un proceso, mejor sale cobrar por ejecución.
Lo que hemos visto al arrancarlo
Un docker run de la imagen oficial, versión 2.46.6, respondía a /healthz en unos segundos, mientras seguía aplicando migraciones de base de datos. Esto es lo que deja esa instalación por defecto:
| Comprobación | Resultado |
|---|
| Memoria recién arrancada, sin flujos | Unos 840 MiB |
| Tamaño de la imagen en local | 1,9 GB |
| Base de datos | SQLite, en database.sqlite |
| Clave de cifrado | Generada sola y guardada en ~/.n8n/config |
La prueba es en ARM dentro de Docker Desktop, así que tómalo como orden de magnitud. Basta para ver que el VPS de 1 GB de las comparativas se queda corto en cuanto tengas flujos reales.
El segundo dato es el más delicado: esa clave cifra las credenciales. Si restauras la base de datos sin ella, las credenciales guardadas dejan de servir, y si la copia incluye ambas cosas juntas y alguien se la lleva, se lleva todo. Conviene fijarla tú con N8N_ENCRYPTION_KEY y guardarla fuera de la copia normal.
Producción no es un contenedor
Para probar basta con lo anterior. Para depender de ello, la arquitectura crece:
- PostgreSQL en lugar de SQLite. n8n soporta las dos últimas versiones mayores mantenidas, 17 y 18 cuando escribimos esto, y no recomienda el modo cola con SQLite.
- Modo cola: una instancia principal recibe los disparadores, Redis mantiene la cola y los workers ejecutan. Si te planteas qué poner ahí, en otro post repasamos Redis y Valkey.
- Copias de la base de datos y de la clave, consistentes y restauradas alguna vez.
- Limpieza de ejecuciones: se borran por defecto a los 14 días o al pasar de 10.000. Con SQLite, el espacio no se libera solo.
- Alta disponibilidad: el multi-main es de pago, así que en Community la instancia principal es un punto único de fallo.
- Monitorización de las ejecuciones fallidas, porque un flujo roto no se queja. Simplemente deja de facturar o de avisar.
Lo que más se subestima es la cadencia. Hemos contado en GitHub 59 versiones estables en los últimos 90 días, y aunque no hay que instalarlas todas, sí hay que leerlas.
La seguridad es el coste que nadie mete en la tabla
n8n guarda tokens de tu correo, tu CRM, tu banco y tu nube, y además ejecuta código. Es un objetivo apetecible, y 2026 lo ha demostrado:
- CVE-2026-21858, conocido como Ni8mare: fallo en el tratamiento de webhooks y formularios, puntuado con 10,0, que permitía tomar el control sin autenticación si había un flujo público adecuado. Corregido en la 1.121.0.
- CVE-2026-21877: ejecución remota de código por un usuario autenticado, corregida en la 1.121.3.
- CVE-2025-68613: inyección en expresiones, con 9,9. CISA la añadió el 11 de marzo de 2026 a su catálogo de vulnerabilidades explotadas.
Los 100 avisos más recientes de su página de seguridad son todos de 2026. No es un argumento contra n8n, que los publica y los corrige, pero sí es un ritmo que alguien tiene que seguir. Si usas su nube, eso lo hacen ellos. Si es tuyo, lo haces tú, y una instancia sin parchear con webhooks públicos es la peor combinación posible.
Lo mínimo que haríamos:
- El editor no se publica. Solo los webhooks que hagan falta, y el panel detrás de una VPN.
- 2FA para todos, porque sin SSO es lo que queda.
- Una ventana semanal de actualización con prueba previa de los flujos críticos.
- El servidor con su línea base de seguridad y nada más conviviendo en él.
- Credenciales de mínimo privilegio: si un flujo solo lee, que la clave solo lea.
Autoalojar no es cumplir el RGPD
Tener n8n en tu servidor te da control sobre una parte, no sobre todas:
- Los datos pasan por los servicios que conectas. Si un nodo llama a una API de IA o a un SaaS, esos datos salen, y ese proveedor sigue siendo encargado del tratamiento. Si ese es tu problema, en el post de IA privada vemos qué significa cada nivel.
- Las ejecuciones guardan lo que procesan. Si el flujo mueve datos personales, quedan en la base de datos hasta la limpieza, así que hay que ajustar la retención a tu registro de actividades.
- La telemetría va activada por defecto. Según n8n, recoge qué nodos usas y cómo están conectados, pero no la información que pasa por ellos, y guarda la IP truncada. Para esos datos, n8n es responsable del tratamiento. Si quieres aislar la instancia:
N8N_DIAGNOSTICS_ENABLED=false
N8N_VERSION_NOTIFICATIONS_ENABLED=false
N8N_TEMPLATES_ENABLED=false
Quitar el aviso de versiones tiene una contrapartida obvia: alguien tiene que vigilarlas por otro lado.
Cuándo compensa cada opción
Community en tu servidor si son procesos internos, lo lleva una o dos personas, cabe en un solo administrador y hay alguien con tiempo real para mantenerlo.
n8n Cloud si el volumen cabe en 2.500 o 10.000 ejecuciones y no te importa que los datos pasen por su nube. Por 20 o 50 € al mes te quitas la guardia, y es difícil de batir si lo que cuesta es el tiempo de tu gente.
Business o Enterprise autoalojado si necesitas SSO, separación de equipos o entornos, y el dato no puede salir. A 8.004 € al año más la infraestructura, hay que justificarlo con cumplimiento, no con ahorro.
Infraestructura propia gestionada cuando n8n se convierte en algo crítico. Si un flujo caído para la facturación, ya no es una herramienta de oficina: necesita copias probadas, parches y alguien mirando, igual que cualquier otra aplicación de producción.
Antes de decidir, conviene contar lo que hoy pagas por tareas y lo que te costaría de verdad una persona dedicando unas horas al mes a mantenerlo. El ahorro suele existir, pero rara vez es el que sale en la tabla.
Preguntas frecuentes
¿n8n es de código abierto?
No. El código está disponible y puedes usarlo gratis, pero la Sustainable Use License limita el uso, así que la propia n8n no se llama código abierto y usa el término fair-code.
¿Puedo usar n8n gratis en mi empresa?
Sí, para procesos internos de la empresa. La edición Community no tiene coste de licencia ni límite de ejecuciones, aunque le faltan SSO, proyectos y compartir flujos o credenciales.
¿Puedo ofrecer n8n a mis clientes?
No con la licencia gratuita si tus clientes van a conectar sus cuentas o crear flujos. n8n contempla una vía OEM y conviene consultarla antes de construir el producto.
¿Cuánta memoria necesita n8n?
En nuestra prueba con la versión 2.46.6 ocupaba unos 840 MiB recién arrancada, sin flujos. En producción depende del volumen y de los datos que muevas, y con el modo cola hay que sumar PostgreSQL, Redis y los workers.
¿El modo cola es de pago?
No. Según la documentación, Community incluye el modo cola. Lo que requiere plan de pago es el multi-main, que da alta disponibilidad a la instancia principal.
¿Qué pasa si pierdo la clave de cifrado?
Las credenciales guardadas en la base de datos dejan de poder usarse aunque tengas la copia, así que tendrías que volver a darlas de alta una a una. Por eso la clave debe tener su propia custodia.
Fuentes
- n8n, Sustainable Use License y preguntas frecuentes: docs.n8n.io/sustainable-use-license.
- n8n, comparación de ediciones: docs.n8n.io/hosting/community-edition-features.
- n8n, precios (consultados el 4 de noviembre de 2026): n8n.io/pricing.
- n8n, modo cola, bases de datos admitidas, clave de cifrado, datos de ejecución, privacidad y aislamiento.
- n8n, versiones y avisos de seguridad en GitHub: releases y security advisories.
- NIST, CVE-2026-21858.
- Gobierno de Australia Occidental, aviso sobre vulnerabilidades críticas de n8n.
- CISA, catálogo de vulnerabilidades explotadas.
¿Tus automatizaciones ya mueven datos que no deberían salir, o se han vuelto críticas para el negocio? En Cloud Privado te ayudamos a decidir dónde deben correr y a dejarlas en una infraestructura con copias, parches y gestión a la altura.
