VPS ou Vercel: a conta por requisição que eu não pago

A carteirada primeiro: eu pago conta de tráfego todo mês

Antes de eu falar mal de plataforma nenhuma, você precisa saber de onde eu estou falando, porque isso muda o peso do que vem depois. Eu administro os servidores: data center no Brasil e nos Estados Unidos e uma CDN que entrega milhões de visualizações de vídeo por dia. Eu sou técnico, boto a mão na massa, e são mais de vinte anos nisso.

Por isso eu tenho trauma de cobrança por requisição. Não é implicância de quem leu uma thread: é de quem recebe a fatura. Se eu fosse terceirizar a minha entrega de vídeo hoje numa das nuvens grandes, mesmo com o desconto alto de tabela que eles já me ofereceram internamente mais de uma vez, eu gastaria centenas de milhares por mês só pra entregar o que eu entrego. Vídeo é muito pesado. Eu já contei em detalhe por que eu migrei da nuvem pro on-premise e o que isso salvou aqui dentro.

E aí vem o argumento que eu mais escuto: "não, mas isso é vídeo, o meu caso é microsserviço, é microSaaS, é leve". É justamente aí que eu quero chegar. A conta não é sobre o seu arquivo ser grande. É sobre o que está sendo contado na sua fatura — e quase ninguém abre a tabela pra ver.

O que é uma requisição, e por que estático também conta

Se você é mais sênior e já sabe disso, pule dois parágrafos, não fique bravo comigo. Pra quem está entrando: requisição é cada pedido que o navegador faz pro servidor quando alguém abre a sua página. Dá F12, abre a aba de rede, e conta. Não é 1. É o HTML, o CSS, o pacote de JavaScript, a fonte, cada ícone, cada imagem, cada chamada da sua própria API. Uma visita só pode ser dezenas de requisições.

"Ah, mas eu estou fazendo requisição pra mim mesmo, pro meu próprio arquivo estático." Mesma coisa. "Ah, mas eu estou fazendo cache." Cobra do mesmo jeito. E isso não é achismo meu — eu fui atrás da documentação de CDN da própria Vercel, que diz com estas palavras: "Static assets and functions all incur CDN Requests". Ativo estático e função, todos, geram requisição cobrada.

A única forma de a requisição não voltar é o navegador do visitante não pedir de novo — ou seja, cache de navegador longo, tipo 30 dias. Beleza. E na hora que você precisar atualizar o site? Aí você versiona o JavaScript: versão 2, versão 3. Dá pra fazer, tem biblioteca pra isso, mas repare no tamanho do buraco: a promessa era simplicidade, e a primeira medida de economia já te devolve um problema de engenharia de build.

A tabela de São Paulo, com os números na mão

Aqui começa a apuração minha — eu não falei isso na gravação, eu fui buscar. A Vercel cobra por região, e a região que interessa pra quem atende brasileiro é São Paulo, que por acaso é a faixa mais cara da tabela dela. Estes são os valores publicados na página de preço da região de São Paulo, conferidos por mim em 30/09/2026:

Agora olha a armadilha, porque ela é contraintuitiva. Eu imaginei na gravação um caso de 5 milhões de requisições por mês. Faz a conta: 5 milhões de requisições em São Paulo custam US$ 16. Dezesseis dólares. Ninguém sente isso.

O que quebra o orçamento é a linha de baixo. Os mesmos 5.000 GiB de saída que uma VPS de US$ 48 já entrega embutidos no preço custariam, nessa tabela, algo como US$ 1.100. E aqueles US$ 300 por mês que eu citei como absurdo? A US$ 0,22 o GB, você chega lá com cerca de 1,4 TB de tráfego — o que é uma galeria de fotos, um ingest de imagem do Instagram pra landing page do cliente, ou um vídeo de apresentação que alguém resolveu servir direto. A requisição é o que aparece na vitrine. O tráfego é o que chega na fatura.

Uma precisão a mais, e essa é da documentação dela: o plano gratuito inclui 1 milhão de requisições e 100 GB por mês, e a própria Vercel traduz esse 1 milhão como "cerca de 33.000 requisições por dia". Eu falei em 5.000 por dia na gravação, ou seja, eu fui até mais conservador do que a régua real. Mas repare no que não muda: 33 mil requisições por dia, contando site público, painel interno e aplicativo pós-login, é pouquíssimo pra qualquer coisa profissional. Quem é que vai, em sã consciência, colocar um microSaaS no ar com esse teto?

Nota de cronologia: o que a Vercel mudou depois que eu gravei

Aqui eu preciso ser honesto com a data, porque a gravação é de junho de 2026 e uma coisa importante mudou depois. Em 8 de setembro de 2026 a Vercel liberou, de forma geral pra times Pro, o Flat Rate CDN: preço fixo por faixa de capacidade no lugar do preço por unidade. O Pro já vem com 1 milhão de requisições e 1 TB; acima disso, as faixas são US$ 20/mês (10 milhões / 50 TB), US$ 100/mês (50 milhões) e US$ 300/mês (150 milhões). Estourou a maior faixa, volta pro preço por unidade.

Isso melhora de verdade a parte que mais me incomodava, que é a fatura imprevisível, e eu não vou fingir o contrário. Inclusive a própria plataforma vende isso como proteção contra pico — o que, pra mim, é ela admitindo que o pico era um problema real, e não paranoia de quem mexe com infra.

Só que tem a letra miúda, e ela mantém o meu argumento inteiro de pé. O preço fixo tem uso fora de escopo declarado: distribuição de arquivo ou download em volume, entrega de mídia em larga escala quando ela é a maior parte da banda e usar a CDN como armazenamento. Nesses casos, diz o documento, a plataforma pode mover o projeto pra outra camada de rede, exigir migração pra um plano mais adequado ou limitar o serviço. Ou seja: o meu caso — vídeo — continua de fora, e o caso de quem serve imagem pesada também. Preço fixo existe pra aplicação web típica, não pra entrega de mídia.

Mais de 20% do seu tráfego não é gente. E você paga por ele

Essa é a parte que eu acho mais injusta do modelo, e o número é da própria Vercel. Em agosto de 2025 ela publicou que robôs foram mais de 20% de todo o tráfego nas hospedagens dela naquela semana, e que cerca de um quarto disso era rastreador de inteligência artificial.

E o volume absoluto é o que assusta. No levantamento "The rise of the AI crawler", somando o mês: GPTBot com 569 milhões, Claude com 370 milhões, AppleBot com 314 milhões e PerplexityBot com 24,4 milhões — quase 1,3 bilhão de buscas, contra 4,5 bilhões do Googlebot. Faço questão de ser exato aqui, porque é fácil errar: esse 1,3 bilhão é a rede dela inteira, não o seu site. Mas a proporção é a sua: de cada 5 requisições que você paga, mais de 1 não é ser humano nenhum. Você paga por quem nunca vai comprar de você.

"Então eu ligo uma proteção." Pode. E aí você descobre duas coisas, as duas na documentação: o conjunto de regras gerenciadas de proteção contra robô nasce desligado por padrão e depende de permissão do plano, e o firewall com regras gerenciadas é cobrado por requisição inspecionada — na tabela de São Paulo, US$ 1,28 por milhão. Você paga pra receber a requisição do robô e paga pra inspecioná-la.

A saída que a maioria tenta é pôr a Cloudflare na frente e limitar na camada de DNS. Só que a mesma documentação avisa: a proteção contra robô da Vercel não funciona com proxy reverso na frente — a detecção degrada e o visitante legítimo começa a tomar desafio na cara. E do outro lado tem o limite do outro fornecedor: eu prometi na gravação um vídeo sobre isso e eu cumpri — já escrevi aqui sobre os limites da Cloudflare que ninguém te conta, incluindo o rate limit que eu tomei. Você não sai do problema: você troca de problema. Se o assunto te interessa pelo outro lado, eu também contei como o meu site ficou invisível pro ChatGPT exatamente por bloquear robô sem critério.

Agora eu defendo a VPS — e digo o preço dela

O ponto central é um só: a VPS não te cobra requisição. O que se cobra numa máquina é o que sempre se cobrou: tempo de CPU ligada, espaço em disco, tipo de disco (NVMe ou HD) e tráfego — e o tráfego normalmente vem com uma franquia grande embutida.

Pra você não achar que eu estou chutando, eu fui olhar uma tabela pública. Na tabela de máquinas da DigitalOcean, US$ 48 por mês dão 4 vCPU, 8 GiB de memória, 160 GB de SSD e 5.000 GiB de saída de dados. O excedente é cobrado a US$ 0,01 por GiB, e a entrada é de graça. Em nenhuma linha da fatura aparece "requisição". É exatamente o porte daquele cenário que a gente estava discutindo, e é uma ordem de grandeza mais barato — não porque a máquina seja melhor, mas porque a unidade de cobrança é outra.

Agora a parte que eu não vou esconder, porque senão eu viro o afiliado que eu critico. A VPS tem uma desvantagem séria: você precisa entender um pouquinho de infraestrutura. A sua VPS pode cair, pode dar pau, pode ser invadida e pode sofrer um ataque de negação de serviço. E aqui eu quero matar um mito: "ah, mas a empresa onde eu contratei tem proteção contra DDoS". Beleza — mete 80 GB de ataque na sua máquina de 50 dólares e vê o que acontece. O provedor vai aspirar aquele tráfego pra proteger a infraestrutura dele, e o que sobra pra você depende da política daquela empresa. Tem provedor que declara, na página oficial, que a proteção contra DDoS não aumentou preço e está disponível pra todos os clientes. Tem outro que trata diferente. Leia o contrato do seu antes, não depois — porque ataque de negação de serviço não é fora da realidade, é cada dia mais comum, e eu vejo gente brincando com isso.

E tem um degrau abaixo da VPS que quase ninguém considera: máquina local. Eu escrevi sobre parar de pagar VM na nuvem e rodar Proxmox em casa pra automação e laboratório — não serve pra tudo, mas o exercício de fazer a conta muda a sua cabeça.

O problema de verdade não é o preço. É a saída

Se fosse só dinheiro, a conversa terminava na tabela. Mas o que me tira o sono é o vendor lock-in. É o mesmo argumento que eu já usei no caso do backend as a service: quando você programa orientado à plataforma em vez de orientado à sua arquitetura, você fica travado no vendedor. Na hora de crescer e tirar o projeto de lá, você não migra: você reescreve. Eu detalhei esse raciocínio em por que eu não uso GitHub, Supabase ou Firebase em produção, e ele vale igual aqui.

E migração de verdade quebra gente grande. O Abacate Pay publicou o relatório do próprio incidente de 16 e 17 de janeiro de 2026: mais de 36 horas de impacto numa migração de versão da plataforma. O relatório é honesto e diz o que importa — apesar do multicloud, nem todos os componentes críticos estavam replicados entre provedores, e por isso o rollback rápido não existiu. Eles registram que não houve perda de dados financeiros, e eu respeito muito a decisão de publicar tudo em vez de esconder. Meu resumo é curto e eu já falei na gravação: faltou alguém de infraestrutura naquela história. Eu tirei um artigo inteiro só das lições de backup e restore desse caso — se é isso que você quer, está aqui: eu testo restore e derrubo a produção de propósito.

Agora desloca a escala: se aconteceu com uma operação daquele porte, com milhões em trânsito e time dedicado, o que você acha que acontece com o microSaaS que subiu em três dias em cima de uma plataforma que você não sabe explicar? É por isso que eu repito até cansar: não monte o seu negócio em castelo de areia. A aguinha vem e leva.

LGPD: dá, mas o risco não está onde você pensa

Tem um segundo motivo pelo qual eu nem cogito, e ele é jurídico. Eu transaciono dado de governo e dado de cliente brasileiro. Hospedar dado sensível de brasileiro fora do Brasil seguindo a LGPD: tem como? Tem. Mas vou te falar: é um trampo e um risco.

A parte do "tem como" é apuração minha e vale você saber o nome da coisa: a transferência internacional de dado pessoal tem regulamento próprio, a Resolução CD/ANPD nº 19, de 23 de agosto de 2024, com cláusulas-padrão contratuais de adoção obrigatória e sem alteração, além de cláusulas equivalentes, cláusulas específicas com aprovação prévia da autoridade e normas corporativas globais. Traduzindo: não é proibido — é um requisito que alguém precisa cumprir e manter. Se você não sabe quem faz isso no seu projeto, a resposta é que ninguém faz.

Mas o risco maior, pra mim, não está na camada técnica. Sabe onde é? É na hora que você toma um processo. "Mas, J, eu estou respondendo direitinho." Cara, cabeça de juiz é igual cabeça de juiz de futebol: cada cabeça, uma interpretação; cada cabeça, uma sentença. Você não tem nenhuma certeza absoluta de que ganha o processo mesmo estando certo. Eu tenho empresa há muitos anos, eu tenho jurídico integral, e pouca gente fala desse tipo de coisa: a pior coisa que existe pra uma empresa é mexer com a justiça. O custo aparece em energia da equipe muito antes de aparecer em sentença — a gente para, filtra, olha, junta documento. Aí o juiz decide, depois vem a segunda instância, depois STJ, depois eventualmente STF. Não mexa com justiça, acredite em mim.

E tem o pedaço que eu falei com dúvida na gravação, então eu fui conferir: eu estava certo, e é pior do que eu lembrava. A própria Vercel publicou o boletim do incidente de segurança de abril de 2026. A entrada foi o comprometimento de uma ferramenta de IA de terceiro usada por um funcionário, e a orientação ao cliente foi tratar chave de API, token, credencial de banco e chave de assinatura como potencialmente expostos. A empresa também identificou um número pequeno de contas de cliente com sinais de comprometimento anterior e separado desse incidente — e, sendo justo com ela, diz que isso não parece ter se originado nos sistemas dela. Eu não uso isso pra dizer que a plataforma é ruim. Eu uso pra dizer o que eu sempre digo: o dado do seu cliente numa casa que não é sua é um risco que continua sendo seu. É o mesmo raciocínio de quando eu escrevi que o ChatGPT te vigia 24x7 — e ninguém assina o processo no seu lugar.

Então quando dá pra usar, e como não se prender

Não é proibido, e eu não sou radical. É seguro pra aprender, testar e prototipar. Você está entrando, não entende nada de desenvolvimento, quer usar abstração e no-code, quer integrar um n8n com o resto e ver a coisa funcionando: vai lá, testa, sem problema. Aprendizado é o que mais importa nisso, e a facilidade de subir é uma qualidade real — é por isso que a galera do no-code adora, e está certa.

O que muda é a hora de vender pro cliente e botar em produção pra valer. Aí entra a conta por requisição e por tráfego, entra robô que você não vendeu, entra LGPD, e entra a pergunta que ninguém faz no dia 1: como eu saio daqui? Então, se você for usar de qualquer forma, faça o seguinte:

• Construa pra poder sair. Nada de detalhe da plataforma vazando pra dentro da sua regra de negócio. Se amanhã você tem que ir pra uma VPS, isso tem que ser mudança de deploy, não reescrita.
• Abra a tabela da região que você usa, não a manchete da landing page. Se você atende brasileiro, o preço de São Paulo é o seu preço.
• Meça o seu tráfego antes, não depois. Requisição por visita, GB por mês. Sem isso você não está escolhendo, está apostando.
• Depois uma VPS, depois duas, com redundância. Alta disponibilidade é assunto grande e merece outro papo, mas o primeiro passo é parar de depender de uma casa só.
• Se você é vibe coder, esse é o seu risco maior. Sem saber o que tem atrás do código, a migração é onde o bicho pega — e é exatamente o ponto do sabor programador: entrega que roda e ninguém sabe explicar.

Eu não estou aqui pra te dizer que tecnologia usar. Eu estou aqui pra te dizer que conta olhar antes — porque no quinto dia útil quem paga a folha sou eu, e é isso que me faz abrir tabela em vez de repetir tutorial. Se quiser continuar comigo nessa linha, tem mais coisa no blog, e onde eu realmente sento pra ensinar o caminho de colocar isso em produção de forma escalável é nas minhas imersões. Um abraço, e até a próxima.

Perguntas frequentes