n8n: cos'è, cosa costa davvero e chi lo aggiorna quando esce una falla

Chi cerca n8n di solito ha appena visto un video. In venti minuti qualcuno collega il modulo del sito a un foglio di calcolo, aggiunge un passo che fa scrivere una risposta a un modello linguistico, la manda per email, e alla fine dice la parola che fa partire tutto: gratis. Ed è vero, il programma si scarica e si installa senza pagare nessuna licenza.

Il video finisce quando l'automazione parte. Per un'azienda il conto comincia da lì, e con la licenza ha poco a che fare.

Cos'è n8n, in concreto#

n8n è un programma per costruire automazioni. Si lavora in un pannello in cui ogni passo è un riquadro: «quando arriva un'email», «leggi questa riga del foglio», «crea il contatto nel gestionale», «manda un messaggio». I riquadri si collegano con delle linee, e la sequenza che ne esce gira da sola ogni volta che succede la cosa da cui parte. Per i casi che i riquadri pronti non coprono ce n'è uno in cui si scrive codice.

Fa lo stesso mestiere di Zapier e di Make, che in ufficio è più facile aver sentito nominare, e lo fa passando dalle porte dati dei programmi, non dallo schermo come una RPA. Per un'azienda le differenze che contano sono due. La prima è che n8n si può installare su un server proprio, mentre gli altri due si usano solo come servizio in cloud. La seconda è la licenza: n8n non è open source nel senso stretto, è distribuito con una licenza sua, la Sustainable Use License, che permette di usarlo e modificarlo gratis «solo per i propri scopi aziendali interni» o per uso personale e non commerciale. Una piccola impresa che automatizza il proprio lavoro non paga niente. Chi volesse rivenderlo come servizio ad altri, invece, non può.

Negli ultimi anni ha aggiunto i riquadri che chiamano un modello linguistico, e uno dedicato agli agenti, ed è per questo che oggi compare in ogni video sull'intelligenza artificiale. Che differenza ci sia fra un'automazione con un passo di AI dentro e un agente lo spiega un altro articolo. Qui la domanda è più terra terra: quanto costa tenerlo acceso.

I due modi di usarlo#

Il primo è il cloud: il programma sta sui server di n8n, tu entri dal browser e costruisci. Sulla pagina dei prezzi, letta il 2 novembre 2026, il piano Starter costa 20 euro al mese e comprende 2.500 esecuzioni, cioè 2.500 volte in cui un'automazione parte e arriva in fondo. Il piano Pro costa 50 euro al mese per 10.000. Tutti e due con pagamento annuale. Sopra ci sono i piani per aziende più grandi.

Il secondo è installarlo su un server tuo, o su uno affittato: è la Community edition, gratuita, che n8n pubblica su GitHub. La licenza costa zero, il server quello che chiede chi te lo affitta.

Messa così sembra una scelta facile: perché pagare 240 euro l'anno quando c'è la versione gratis? La risposta sta in una riga della pagina con cui n8n stesso aiuta a scegliere. Nella tabella dei pro e dei contro, alla voce manutenzione, per il cloud c'è scritto «gestita da n8n». Per l'installazione in casa: «responsabilità tua». E a chi non ha competenze tecniche, o non vuole occuparsi dell'infrastruttura, la stessa pagina consiglia il cloud.

Cosa vuol dire «responsabilità tua»#

Un n8n installato in casa è un programma acceso giorno e notte, e spesso raggiungibile da internet, perché deve ricevere i dati del modulo del sito o le notifiche degli altri programmi. Dentro tiene le chiavi per entrare in tutti i servizi che collega: la posta, il gestionale, il CRM, il foglio dei clienti. La documentazione spiega che queste credenziali vengono cifrate con una chiave che n8n genera al primo avvio e salva in una cartella sul server. Detto in pratica: chi entra nel server di n8n ha a portata di mano anche le porte di tutto il resto.

Tenerlo in ordine vuol dire alcune cose precise. Aggiornarlo, prima di tutto: la guida di n8n dice di farlo spesso, «almeno una volta al mese», e di leggere prima le note di rilascio, perché alcune versioni cambiano il comportamento dei flussi che ci sono già. Fare i backup del database dove stanno flussi e credenziali. Tenere valido il certificato, se lo si raggiunge da internet, che scade come quello del sito. E sapere chi ha l'account proprietario: capita di scoprire che ce l'ha ancora il consulente che l'aveva installato due anni fa.

Poi c'è la privacy. Nell'informativa di n8n è scritto che, per i dati che passano nei flussi di un'istanza installata in casa, n8n non è né titolare né responsabile del trattamento: quei dati restano sulla tua infrastruttura e n8n non li riceve mai. È un vantaggio vero, ed è anche il motivo per cui il modo in cui sono protetti dipende solo da te.

Gennaio 2026: la falla da dieci su dieci#

Il 7 gennaio 2026 n8n ha pubblicato un avviso di sicurezza con il punteggio più alto della scala, 10 su 10. Il titolo, tradotto, è «accesso ai file senza autenticazione per una gestione scorretta delle richieste ai webhook». I webhook sono gli indirizzi a cui n8n riceve i dati da fuori, e sono fra le cose che si usano di più: il modulo del sito che manda una richiesta a n8n passa da lì.

L'avviso dice che un flusso vulnerabile poteva dare accesso ai file del server «a un attaccante remoto non autenticato», cioè a chiunque, senza password. Riguardava tutte le versioni dalla 1.65.0 alla 1.121.0 esclusa. Rimedi ufficiali diversi dall'aggiornamento non ce n'erano: in attesa di aggiornare, n8n suggeriva di limitare o spegnere i moduli e i webhook raggiungibili dall'esterno.

La data che conta però è un'altra. La versione che chiudeva la falla, la 1.121.0, era uscita il 18 novembre 2025, sette settimane prima dell'avviso. Chi aggiornava una volta al mese, come chiede la guida, a gennaio era già al sicuro senza aver mai saputo di essere stato in pericolo. Chi aveva installato n8n un anno prima e non l'aveva più toccato, il 7 gennaio aveva un server esposto e un problema diventato pubblico.

Non è stata l'unica#

Sulla pagina degli avvisi di sicurezza di n8n, contando dal 1° gennaio al 2 novembre 2026, gli avvisi sono 223: 19 classificati critici, 97 gravi, gli altri di gravità media o bassa. Il 28 ottobre ne sono usciti dodici in un giorno. Nello stesso mese n8n ha pubblicato su GitHub trenta versioni, contando le correzioni.

Va letto con onestà, da tutte e due le parti. Tanti avvisi dicono soprattutto che n8n è molto usato e molto studiato, e che chi ci trova un difetto lo pubblica invece di tenerlo per sé, che è come dovrebbe andare. Non dicono che sia scritto peggio di altri programmi. E non tutti sono sfruttabili da chiunque: diversi richiedono di avere già un account nel pannello.

Per chi lo tiene in casa, però, la conseguenza pratica è la stessa. Qualcuno deve leggere quella pagina, capire quali avvisi riguardano la versione installata e aggiornare, tutti i mesi. In cloud lo fa n8n: «aggiorna ogni istanza almeno ogni due settimane, così le correzioni di sicurezza arrivano a tutti», scrive la documentazione del cloud. Si può scegliere quando, non se.