Shuffle vs Tines: SOAR Gratis o 35.000$/Anno [2026]

Chi gestisce un SOC in Italia o altrove in Europa nel 2026 si scontra prima o poi con la stessa domanda: automatizzare la risposta agli incidenti con un tool open source da installare in casa, oppure pagare un abbonamento SaaS che toglie il lavoro sporco di manutenzione? Shuffle e Tines rappresentano le due risposte opposte a questa domanda, ed è per questo che i team di sicurezza li mettono a confronto quasi ogni settimana nei forum specializzati. Shuffle è gratuito e si installa on-premise o in cloud privato. Tines è a pagamento, no-code, e punta tutto sulla velocità con cui un analista costruisce un workflow senza scrivere una riga di codice. Un confronto diretto tra i due, con numeri reali su prezzi, limiti tecnici e casi d’uso, aiuta a decidere prima di firmare un contratto o di sprecare settimane di sviluppo interno.

Cos’è un SOAR e perché conta per i SOC europei nel 2026

SOAR sta per Security Orchestration, Automation and Response. In pratica è la piattaforma che collega SIEM, EDR, ticketing e feed di threat intelligence in un’unica catena automatizzata, così un analista non deve più copiare manualmente un indicatore di compromissione da uno strumento all’altro. Con il regolamento NIS2 pienamente in vigore in Italia da ottobre 2026 e con l’ACN che ha già avviato le prime ispezioni su circa 20.000 aziende, la capacità di documentare e velocizzare la risposta agli incidenti è passata da “buona pratica” a requisito quasi normativo.

Il problema è che il mercato SOAR europeo si è polarizzato attorno a due filosofie. Da un lato ci sono piattaforme enterprise chiuse, vendute a preventivo, pensate per banche e telco con budget a sei cifre. Dall’altro sono cresciuti progetti open source pensati per team più piccoli, PA locali e MSSP regionali che non possono permettersi contratti da 50.000 dollari l’anno. Shuffle e Tines occupano oggi i due estremi di questo spettro, e capire le differenze tecniche tra i due aiuta a scegliere lo strumento giusto senza sprecare un ciclo di procurement intero.

Questa polarizzazione pesa di più oggi che in passato perché il numero di soggetti obbligati a rispettare NIS2 in Italia è cresciuto in fretta. L’ambito della direttiva copre ormai settori che vanno dall’energia alla sanità, passando per la gestione delle acque e i servizi digitali, con l’ACN che ha iniziato a chiedere evidenza documentale dei processi di risposta agli incidenti già nelle prime ispezioni del 2026. Un’azienda che deve dimostrare in poche ore a un ispettore come ha gestito un incidente reale, con tanto di log e tempistiche, ha un incentivo concreto ad automatizzare quei passaggi invece di ricostruirli a mano da email e chat interne.

Va anche detto che nessuno dei due sostituisce un SIEM. Chi cerca invece un motore di raccolta log e detection può leggere il nostro confronto tra Wazuh e Splunk, mentre per la parte di endpoint detection and response resta valido il test tra CrowdStrike e SentinelOne. Un SOAR si inserisce a valle di questi strumenti, prendendo gli alert già generati e trasformandoli in azioni automatiche.

Un esempio concreto rende l’idea meglio di qualsiasi definizione teorica. Un dipendente riceve un’email di phishing e la segnala. Senza automazione, un analista deve aprire il messaggio, estrarre manualmente l’URL sospetto, controllarlo su un servizio di reputazione, verificare se altri dipendenti hanno ricevuto la stessa email e infine bloccare il mittente sul gateway di posta: un lavoro che richiede facilmente 20-30 minuti. Un playbook SOAR ben costruito esegue tutti questi passaggi in pochi secondi e lascia all’analista solo la decisione finale. Moltiplicato per le decine di segnalazioni che un SOC medio riceve ogni giorno, il risparmio di tempo diventa il motivo principale per cui un’azienda decide di investire in Shuffle o in Tines.

Shuffle: il SOAR open source che si installa gratis

Shuffle nasce come progetto open source pensato per essere installato sul proprio server, con un modello di licenza self-hosted che resta a costo zero per sempre, secondo i dati raccolti da SOAR Pricing. L’azienda che sviluppa Shuffle guadagna offrendo un livello ibrido con control plane in cloud (attorno a 155 dollari al mese secondo lo stesso listino) e un piano multi-tenant per MSSP venduto solo su preventivo.

Nel corso del 2026 Shuffle ha introdotto due piani più accessibili per chi non vuole gestire l’infrastruttura da solo: un piano Starter gratuito e un piano Scale a circa 26 dollari al mese ogni 10.000 esecuzioni di workflow, pari a poco più di 300 dollari l’anno secondo il tracker dei prezzi di Pricetrack.dev. Sul piano tecnico, Shuffle si basa su un editor drag-and-drop che però resta più vicino a un modello low-code: gli analisti più tecnici possono scrivere script personalizzati, richiamare API esterne o creare plugin propri, cosa che rende lo strumento particolarmente adatto ai team DevSecOps abituati a lavorare con pipeline CI/CD.

Il rovescio della medaglia è il costo nascosto dell’auto-gestione. Un’analisi di mercato pubblicata da SOAR Pricing stima che il costo totale di possesso (TCO) per un SOC di medie dimensioni che adotta Shuffle si aggiri tra 101.000 e 401.000 dollari l’anno, una volta sommati infrastruttura, integrazioni personalizzate, formazione del personale e manutenzione dei runbook. La licenza è gratuita, ma il tempo ingegneristico necessario per tenere tutto in piedi non lo è.

Dal punto di vista dell’implementazione, Shuffle si distribuisce tipicamente via container Docker, il che lo rende compatibile con qualunque ambiente Kubernetes già in uso in azienda. Questo approccio API-first permette a un team di orchestrare Shuffle stesso tramite pipeline di infrastructure-as-code, un dettaglio che i team più maturi apprezzano perché elimina passaggi manuali anche nella fase di deployment del SOAR, non solo nei playbook che gestisce. Chi arriva da un contesto DevOps trova quindi un percorso di adozione familiare: stesso registry container, stessi strumenti di monitoraggio, stessa logica di versioning già usata per il resto dello stack applicativo.

Tines: automazione no-code venduta come SaaS enterprise

Tines segue una strada diametralmente opposta. È un prodotto SaaS, ospitato interamente dal fornitore, costruito attorno all’idea che un analista di sicurezza possa creare automazioni complesse (chiamate “stories”) trascinando blocchi visuali senza scrivere codice. Secondo la scheda prodotto raccolta da Automation Atlas, l’azienda irlandese dietro Tines ha raggiunto una valutazione di 300 milioni di dollari, un dato che riflette quanto il mercato enterprise statunitense ed europeo abbia premiato l’approccio no-code rispetto a soluzioni che richiedono competenze di scripting.

La Community Edition di Tines è gratuita e include, secondo i dati verificati da Automation Atlas a luglio 2026, un solo builder, tre flussi attivi, utenti visualizzatori illimitati, esecuzioni illimitate, oltre 30 integrazioni ufficiali e persino il supporto SSO incluso di default. Per un piccolo team che vuole solo testare l’automazione su due o tre processi ripetitivi, questo piano gratuito è già utilizzabile in produzione.

Il salto di prezzo arriva non appena si superano quei limiti. Non esiste un listino pubblico per i piani Business ed Enterprise: tutto passa attraverso un preventivo commerciale. Le stime raccolte da diversi tracker di mercato divergono, ma convergono su un ordine di grandezza: CheckThat.ai riporta un piano Starter attorno ai 500 dollari al mese fatturati annualmente, mentre Automation Atlas e altri broker di contratti SaaS collocano i contratti enterprise reali tra 26.000 e 157.000 dollari l’anno, con un valore mediano intorno ai 50.000 dollari. Tines offre inoltre edizioni dedicate per clienti Federal, SLED e MSSP, anch’esse vendute solo su richiesta.

La società con sede a Dublino ha costruito la propria reputazione proprio sul mercato europeo, un vantaggio non da poco per i team che vogliono un fornitore con presenza legale nell’Unione Europea invece che negli Stati Uniti. Questo posizionamento spiega perché diverse banche e assicurazioni europee compaiano tra i casi di studio citati dal vendor: la promessa di Tines non è tanto il prezzo, quanto la velocità con cui un analista senza competenze di programmazione riesce a costruire ed eseguire un playbook complesso già dal primo giorno di utilizzo.

Shuffle vs Tines: la tabella comparativa completa

Ecco un confronto riga per riga delle caratteristiche più rilevanti per chi deve scegliere tra i due prodotti nel secondo semestre del 2026.

Caratteristica	Shuffle	Tines
Modello di licenza	Open source, self-hosted	SaaS proprietario
Hosting	On-premise o cloud privato (BYO infrastruttura)	Cloud gestito dal fornitore
Piano gratuito	Starter self-hosted, 0$ per sempre	Community Edition, 3 flussi attivi
Piano intermedio	Scale, circa 26$/mese ogni 10.000 run	Starter, circa 500$/mese (fatturato annuale)
Piano enterprise	Hybrid cloud ~155$/mese, MSSP su preventivo	Business/Enterprise solo su preventivo, tipicamente 35.000-157.000$/anno
Modello di costruzione workflow	Drag-and-drop low-code, script personalizzati ammessi	No-code puro, blocchi visuali (“stories”)
Integrazioni ufficiali dichiarate	Libreria community-driven, estendibile via plugin propri	30+ integrazioni ufficiali, connettori HTTP generici
SSO incluso nel piano gratuito	Non specificato dal fornitore	Sì, incluso anche in Community Edition
Edizioni dedicate	Tier MSSP multi-tenant	Federal, SLED, MSSP
Controllo del codice sorgente	Ispezionabile e personalizzabile	Non ispezionabile, black box SaaS
Competenze richieste al team	DevSecOps, scripting, gestione infrastruttura	Analista SOC senza background di programmazione
Certificazioni menzionate nel 2026	Non pubblicate	ISO 42001 per la governance AI
Adatto a	SOC interni, PA, MSSP con team tecnico	Mid-market ed enterprise con budget SaaS elevato

Chi deve gestire cosa: attacco alla superficie del SOAR stesso

Un SOAR ha accesso privilegiato a quasi tutto lo stack di sicurezza: token API del SIEM, credenziali per isolare endpoint, permessi per chiudere ticket e persino per disattivare account utente. Questo lo rende, di fatto, uno degli asset più critici da proteggere in assoluto, e la responsabilità di farlo cambia radicalmente a seconda del modello scelto.

Con Shuffle, la responsabilità della sicurezza del SOAR ricade interamente sul team che lo ospita: patching del sistema operativo, aggiornamento delle immagini container, gestione dei segreti e hardening della rete diventano compiti operativi in più per il team di sicurezza. Con Tines, questi compiti passano al vendor, che gestisce patching e hardening lato server, lasciando al cliente solo la configurazione dei permessi e delle credenziali usate nei workflow. Nessuno dei due approcci è automaticamente più sicuro: un’installazione Shuffle mantenuta bene da un team competente può risultare più solida di un SaaS mal configurato, e viceversa. Quello che conta davvero è avere chiara, fin dal primo giorno, quale parte dello stack resta sotto la propria responsabilità diretta.

La gestione dei segreti merita un discorso a parte, perché è il punto più delicato di qualunque piattaforma di automazione della sicurezza. Ogni workflow che si connette a un EDR, a un firewall o a una casella di posta ha bisogno di credenziali con permessi elevati, spesso più ampi di quelli assegnati a un singolo analista umano. Su Shuffle, queste credenziali vanno gestite con un vault esterno o con i meccanismi di secret management già presenti nell’infrastruttura aziendale, aggiungendo un ulteriore livello di configurazione da mantenere nel tempo. Su Tines, il vault delle credenziali è integrato nella piattaforma stessa, il che semplifica l’operatività quotidiana ma sposta la fiducia interamente sul fornitore per quanto riguarda la cifratura e l’isolamento di questi segreti tra i diversi clienti che condividono la stessa infrastruttura multi-tenant.

Prezzi a confronto: da 0 euro a contratti a sei cifre

Il fattore che spinge la maggior parte dei team a cercare online “Shuffle vs Tines” è quasi sempre il prezzo. La differenza tra i due prodotti non sta solo nella cifra finale, ma nella struttura stessa del costo: licenza contro abbonamento, capex contro opex.

Piano	Shuffle	Tines
Ingresso gratuito	0$ (self-hosted, per sempre)	0$ (Community, 3 flussi)
Fascia entry-paid	~26,10$/mese per 10.000 run (Scale)	~500$/mese fatturati annualmente (Starter)
Fascia cloud ibrida	~155$/mese (control plane cloud)	Non disponibile a questo livello
Contratto enterprise tipico	Solo su preventivo (MSSP)	35.000$-157.000$/anno, mediana ~50.000$
TCO stimato SOC medio/anno	101.000$-401.000$ (licenza + infrastruttura + personale)	Non pubblicato separatamente dal canone

Il messaggio da portare a casa per chi fa i conti in un ufficio acquisti italiano è semplice: Shuffle sposta il costo dalla licenza al personale interno, Tines sposta il costo dal personale interno al canone annuale. Nessuno dei due è “gratis” in senso assoluto, ma il punto di rottura si trova più o meno quando un SOC supera i tre o quattro workflow critici in produzione contemporaneamente.

Benchmark e valutazioni indipendenti: cosa dicono i dati di mercato

Non esistono benchmark di velocità pura per strumenti SOAR come per una GPU o un motore di database, perché il tempo di esecuzione dipende quasi sempre dalle API di terze parti richiamate nel workflow. Per questo motivo, il confronto più utile arriva da tre fonti indipendenti che tracciano prezzi, contratti reali e percezione del mercato.

• SOAR Pricing colloca Shuffle come l’unica piattaforma della categoria con un floor di licenza pubblicato a 0$, mentre classifica Tines tra i prodotti “free tier + quote-only” tipici del segmento SaaS enterprise, secondo la sua analisi comparativa dei prezzi SOAR 2026.
• Automation Atlas assegna a Tines un punteggio di 7,8 su 10 nella sua recensione 2026, evidenziando la facilità del no-code ma segnalando ripetutamente il costo elevato per i team più piccoli.
• Vendr, piattaforma che aggrega contratti SaaS reali negoziati dai clienti, riporta per Tines un prezzo di listino che parte tipicamente tra 1.500 e 2.500 dollari al mese per implementazioni piccole (fino a 50.000 azioni al mese), fino a 5.000-15.000 dollari al mese per deployment enterprise con funzionalità avanzate.

La convergenza di tre fonti indipendenti su numeri simili rende questi dati più affidabili di una singola recensione isolata. Va segnalato che nessuna delle fonti pubblica benchmark di performance tecnica (tempo di esecuzione dei workflow, throughput di eventi al secondo), perché entrambi i vendor evitano di pubblicare cifre di questo tipo pubblicamente. Chi deve fare una valutazione tecnica approfondita dovrebbe quindi programmare un proof of concept di due o tre settimane con i propri playbook reali, invece di affidarsi solo ai materiali di marketing dei due fornitori.

Un altro punto emerso dal confronto tra le fonti riguarda la trasparenza dei prezzi come indicatore indiretto della filosofia aziendale. Shuffle pubblica un listino chiaro fino al tier hybrid cloud, lasciando solo il tier MSSP a preventivo. Tines, al contrario, nasconde ogni cifra reale dietro al modulo “contattaci” a partire dal secondo gradino di utilizzo, una scelta comune tra i SaaS enterprise ma che costringe ogni potenziale cliente europeo a passare da una trattativa commerciale prima di poter fare un confronto economico serio con le alternative open source.

Community Edition contro self-hosted: cosa si ottiene davvero a costo zero

Il piano gratuito di Tines limita l’utente a tre flussi attivi contemporaneamente. Va benissimo per un proof of concept, ma un SOC che gestisce anche solo il triage di phishing, l’arricchimento IOC e la chiusura automatica dei ticket duplicati supera quel limite quasi subito. A quel punto scatta l’upgrade a pagamento, e senza un listino pubblico il costo reale si scopre solo parlando con il commerciale.

Shuffle capovolge il problema. La versione self-hosted non ha limiti artificiali sul numero di workflow attivi, perché tecnicamente gira sulla propria infrastruttura. Il vincolo reale diventa la capacità del server e le competenze del team che lo mantiene. Un’azienda pubblica con un solo tecnico part-time dedicato alla sicurezza rischia di trovarsi con un SOAR installato ma sotto-utilizzato, mentre un MSSP con personale DevOps dedicato può spingere Shuffle molto oltre quello che un piano gratuito di Tines permetterebbe mai.

Chi vuole toccare con mano la differenza tra un approccio self-hosted e uno gestito nel mondo della sicurezza cloud può leggere anche la nostra guida su audit di sicurezza cloud con Prowler e Trivy, che segue la stessa logica open source applicata al cloud security posture management.

Integrazioni e connettori: quanto velocemente si collega al resto dello stack

Tines dichiara oltre 30 integrazioni ufficiali mantenute direttamente dal vendor, più la possibilità di collegarsi a qualsiasi servizio tramite connettori HTTP generici. Questo approccio ibrido copre la maggior parte dei casi comuni (SIEM, ticketing, threat intel feed) senza richiedere sviluppo custom, ma per integrazioni non standard l’utente deve comunque configurare manualmente le richieste HTTP.

Shuffle punta sulla community open source per ampliare la libreria di integrazioni. Il vantaggio è che un team con competenze di sviluppo può scrivere il proprio connettore in poche ore e contribuirlo al progetto, cosa impossibile su una piattaforma SaaS chiusa come Tines. Lo svantaggio è che la qualità e la manutenzione di questi connettori dipende dalla community, non da un team dedicato pagato dal vendor. In pratica, prima di affidarsi a un connettore community per un’integrazione critica conviene sempre leggere il codice sorgente e testarlo in un ambiente di staging, invece di fidarsi ciecamente della descrizione pubblicata.

Per i team che devono automatizzare anche l’esposizione delle proprie API verso l’esterno, vale la pena confrontare questo approccio con quanto emerso nel nostro test tra Kong e KrakenD come API gateway, dove emerge lo stesso compromesso tra soluzione gestita e soluzione open source da mantenere in autonomia.

Curva di apprendimento: quanto tempo serve per diventare produttivi

La velocità con cui un team diventa autonomo nella costruzione di nuovi playbook è spesso il fattore decisivo quanto il prezzo, ma viene sottovalutato durante la fase di valutazione dello strumento. Con Tines, un analista SOC senza esperienza di programmazione riesce tipicamente a costruire un primo workflow funzionante nell’arco di una singola sessione di training, grazie all’interfaccia visuale e alla libreria di modelli già pronti che il vendor mette a disposizione. Questo abbassa drasticamente la barriera d’ingresso per team che ruotano frequentemente il personale o che non possono permettersi di formare uno specialista dedicato all’automazione.

Con Shuffle, il tempo di apprendimento dipende molto dal background del team. Chi ha già dimestichezza con Python, Docker e chiamate API riesce a diventare produttivo in pochi giorni, mentre un analista che non ha mai scritto una riga di codice fatica molto di più a costruire playbook che vadano oltre i template già pronti. Questo non significa che Shuffle sia riservato solo a sviluppatori: l’editor drag-and-drop copre la maggior parte dei casi d’uso comuni senza scripting, ma per sbloccare davvero il valore dello strumento serve almeno una persona nel team capace di intervenire quando un’integrazione non standard richiede una soluzione su misura.

Il consiglio pratico per chi deve decidere è testare entrambi gli strumenti con la stessa persona e lo stesso playbook di riferimento, cronometrando quanto tempo impiega a costruirlo da zero. Questo semplice esercizio, ripetuto durante la fase di proof of concept, dice più di qualunque scheda tecnica su quale strumento si adatta davvero alle competenze già presenti in azienda.

NIS2, GDPR e sovranità del dato: cosa cambia per i SOC italiani

Per un’azienda soggetta a NIS2 in Italia, il luogo fisico dove risiedono i log e gli artefatti di incident response non è un dettaglio tecnico, è materia di conformità. Con Shuffle, self-hosted per definizione, i dati restano dove il team decide di installare il server, tipicamente in un data center italiano o comunque nell’Unione Europea, con pieno controllo su backup e cifratura.

Tines, essendo un SaaS gestito centralmente, richiede di verificare in che regione cloud vengono effettivamente processati i dati e quali garanzie contrattuali offre il fornitore per il trasferimento extra-UE. Il fatto che nel 2026 Tines venga associato a una certificazione ISO 42001 per la governance dell’intelligenza artificiale, secondo i dati raccolti da The AI Agent Index, è un segnale che il vendor sta investendo su fiducia e compliance per convincere anche i clienti enterprise europei più esigenti.

Per chi deve capire quali obblighi normativi si applicano concretamente alla propria azienda, il nostro confronto tra NIS2 e DORA resta il punto di partenza più utile prima di scegliere qualunque strumento di automazione della sicurezza.

5 casi d’uso reali per capire quale SOAR conviene

Ecco cinque scenari concreti che aiutano a capire quale dei due strumenti si adatta meglio al proprio contesto operativo.

• SOC interno di una banca regionale italiana con team di 4 analisti. Il budget consente un contratto enterprise, ma la priorità è ridurre il time-to-value. Tines vince perché gli analisti costruiscono workflow senza aspettare uno sviluppatore dedicato, e la certificazione ISO 42001 sulla governance AI aiuta a superare più in fretta la due diligence del fornitore richiesta dal risk management interno.
• MSSP che gestisce la sicurezza di 15 comuni e piccole aziende pubbliche. Il budget per cliente è troppo basso per giustificare un canone SaaS enterprise. Shuffle, installato una volta sull’infrastruttura del MSSP e replicato su più tenant tramite il tier MSSP, abbassa drasticamente il costo per cliente gestito, permettendo di offrire automazione anche a comuni con budget IT annuale sotto i 20.000 euro.
• Team DevSecOps di una fintech con pipeline CI/CD già automatizzate. Chi già scrive script Python per il deployment preferisce Shuffle, perché può integrare la logica SOAR direttamente nei propri repository, versionare i playbook come codice e testarli con gli stessi strumenti di CI/CD già in uso per il resto dell’infrastruttura applicativa.
• Ospedale universitario con personale IT ridotto e requisiti di audit stringenti. La mancanza di personale tecnico dedicato spinge verso Tines Community Edition per i primi tre workflow critici (triage ransomware, isolamento endpoint, notifica al DPO), rimandando l’upgrade a pagamento solo quando il numero di flussi cresce oltre le esigenze immediate del reparto IT.
• E-commerce paneuropeo che deve dimostrare conformità NIS2 in più paesi contemporaneamente. La necessità di controllare esattamente dove risiedono i dati di incident response, paese per paese, rende Shuffle self-hosted più semplice da giustificare davanti a un auditor rispetto a un SaaS centralizzato negli Stati Uniti, soprattutto quando il DPO richiede evidenza documentale della localizzazione dei log.
• Startup cybersecurity italiana che offre incident response come servizio a clienti PMI. Con margini ridotti su ogni contratto cliente, il piano Scale di Shuffle a circa 26 dollari al mese ogni 10.000 esecuzioni permette di scalare il numero di clienti serviti senza far lievitare i costi fissi, mantenendo comunque la possibilità di personalizzare ogni playbook per le esigenze specifiche di ciascun cliente.

Guida alla migrazione: come passare a un SOAR senza fermare il SOC

Che si scelga Shuffle o Tines, il percorso di adozione segue più o meno gli stessi passaggi. Ecco come strutturarlo per evitare interruzioni del servizio di monitoraggio.

1. Mappare i tre o quattro playbook manuali più ripetitivi già in uso nel SOC (triage phishing, arricchimento IOC, blocco IP malevoli, chiusura ticket duplicati).
2. Aprire un account di test: Community Edition per Tines, oppure un’istanza Docker self-hosted per Shuffle su un server di staging.
3. Ricostruire il primo playbook nel nuovo strumento mantenendo in parallelo il processo manuale esistente per almeno due settimane, confrontando gli output.
4. Collegare le integrazioni critiche una alla volta: prima il SIEM, poi il ticketing, infine i feed di threat intelligence esterni.
5. Definire ruoli e permessi granulari prima di dare accesso a tutto il team, per evitare che un workflow mal configurato blocchi asset in produzione.
6. Documentare ogni playbook migrato in un runbook leggibile anche da chi non ha costruito il workflow originale, requisito che diventa centrale per gli audit NIS2.
7. Solo dopo aver validato i primi playbook critici, pianificare la migrazione dei processi meno urgenti e valutare l’eventuale upgrade a un piano a pagamento.

Un errore comune è provare a migrare tutti i playbook in un’unica sessione. I team che procedono per lotti da due o tre workflow alla volta segnalano molti meno rollback rispetto a chi tenta una migrazione completa in un weekend.

Vale anche la pena pianificare in anticipo il piano B. Chi parte da Shuffle e scopre che il carico di manutenzione supera le capacità del team può sempre esportare la logica dei playbook e ricostruirla su un SaaS come Tines, anche se il lavoro di conversione da un modello low-code a uno no-code puro richiede quasi sempre una riscrittura parziale piuttosto che un semplice import. Allo stesso modo, chi cresce oltre i limiti della Community Edition di Tines e vuole riprendere il controllo dei costi può valutare una migrazione verso Shuffle, ma deve mettere in conto settimane di lavoro per ricreare da zero le integrazioni che sul SaaS erano già pronte all’uso.

Pro e contro di Shuffle

Vantaggi

• Licenza self-hosted gratuita per sempre, nessun limite artificiale sul numero di workflow
• Controllo totale su dove risiedono i dati, punto a favore per la conformità NIS2 e GDPR
• Codice ispezionabile e personalizzabile, ideale per team DevSecOps
• Piano cloud ibrido a basso costo (~155$/mese) per chi non vuole gestire tutta l’infrastruttura

Svantaggi

• Richiede competenze tecniche interne per installazione, manutenzione e aggiornamenti
• TCO reale può salire fino a 400.000$/anno una volta contati infrastruttura e personale
• Libreria di integrazioni dipendente dalla community, meno uniforme di un catalogo ufficiale
• Supporto commerciale meno strutturato rispetto a un vendor enterprise tradizionale

Pro e contro di Tines

Vantaggi

• Zero manutenzione infrastrutturale, il vendor gestisce hosting e aggiornamenti
• Time-to-value rapido grazie al builder no-code accessibile anche ad analisti junior
• 30+ integrazioni ufficiali mantenute direttamente dal fornitore
• SSO incluso già nel piano Community gratuito

Svantaggi

• Community Edition limitata a soli tre flussi attivi
• Nessun listino pubblico per i piani Business/Enterprise, contratti reali spesso sopra i 35.000$/anno
• Nessun controllo sul codice sorgente, dipendenza totale dal vendor
• Necessario verificare contrattualmente la localizzazione dei dati per la conformità UE

Verdetto: quale SOAR scegliere nel 2026

Non esiste un vincitore assoluto tra Shuffle e Tines, esiste solo la scelta più coerente con le risorse che un’azienda ha già a disposizione. Se il team ha già competenze DevSecOps interne, un budget IT limitato e requisiti stringenti sulla sovranità del dato imposti da NIS2, Shuffle offre un percorso a costo iniziale zero che si ripaga in ore di lavoro del proprio personale, con un TCO stimato tra 101.000 e 401.000 dollari l’anno per un SOC di medie dimensioni una volta contate infrastruttura e formazione.

Se invece il team vuole automatizzare in fretta senza assumere sviluppatori dedicati, e il budget annuale può assorbire un canone che tipicamente parte da 35.000 dollari e arriva fino a 157.000 dollari per contratti enterprise, Tines riduce il tempo tra l’idea di un playbook e la sua messa in produzione da settimane a ore. La scelta finale, più che tecnica, è organizzativa: quanto vale, per la propria azienda, un dollaro speso in canone SaaS rispetto a un’ora di lavoro ingegneristico interno.

C’è anche una terza strada, spesso trascurata: iniziare con la Community Edition di Tines per validare i primi playbook senza alcun investimento, e nel frattempo far crescere internamente le competenze necessarie per valutare con cognizione di causa se passare a Shuffle self-hosted una volta superata la fase di proof of concept. Questo approccio ibrido riduce il rischio di scegliere lo strumento sbagliato basandosi solo su un foglio di calcolo dei prezzi, e permette al team di sicurezza di testare concretamente quale modello di lavoro (no-code o low-code) si adatta meglio alle proprie abitudini quotidiane prima di firmare un contratto pluriennale o di dedicare un intero trimestre alla messa in produzione di un’infrastruttura self-hosted.

Per chi deve ancora costruire il piano di risposta agli incidenti prima di scegliere lo strumento di automazione, conviene partire dalla nostra guida al piano di incident response per un CSIRT, che definisce i processi da automatizzare prima ancora di guardare il prezzo di una piattaforma. Solo dopo aver messo per iscritto quei processi ha senso confrontare i due strumenti sul campo, con un test pilota reale invece che sulla base di una scheda comparativa.

Domande frequenti su Shuffle e Tines

Shuffle è davvero gratuito o ci sono costi nascosti?
La licenza self-hosted di Shuffle è gratuita per sempre. Il costo nasce dall’infrastruttura necessaria per farlo girare e dal tempo del personale che lo configura e lo mantiene, stimato fino a diverse centinaia di migliaia di dollari l’anno per un SOC di medie dimensioni una volta contati tutti i fattori.

Quanto costa Tines per una piccola azienda italiana?
La Community Edition è gratuita fino a tre flussi attivi. Oltre quel limite, i prezzi non sono pubblici: le stime di mercato indicano contratti reali che partono da circa 500 dollari al mese sul piano Starter fino a decine di migliaia di dollari l’anno per i piani Business ed Enterprise.

Shuffle e Tines sono conformi al GDPR?
Nessuno dei due è “conforme” o “non conforme” di per sé: la conformità dipende da come vengono configurati, dove risiedono i dati e quali garanzie contrattuali offre il fornitore. Shuffle self-hosted semplifica il controllo diretto sulla localizzazione dei dati, mentre con Tines occorre verificare i termini contrattuali sul trattamento dati del vendor.

Serve sapere programmare per usare Shuffle?
Non è obbligatorio grazie all’editor drag-and-drop, ma per sfruttare integrazioni personalizzate e plugin avanzati è utile avere competenze di scripting in Python o simili all’interno del team.

Tines può essere usato da un MSSP con più clienti?
Sì, Tines offre un’edizione dedicata MSSP, così come Shuffle offre un tier multi-tenant pensato per gli stessi fornitori di servizi gestiti. In entrambi i casi il prezzo per questo tier è disponibile solo su preventivo.

Quale dei due si integra meglio con un SIEM come Wazuh o Splunk?
Entrambi si collegano a qualsiasi SIEM tramite API o webhook. Shuffle richiede più configurazione manuale ma offre maggiore flessibilità per integrazioni non standard, mentre Tines punta su connettori HTTP generici e integrazioni ufficiali già pronte per i sistemi più diffusi.

Conviene migrare da un processo manuale direttamente a un SOAR enterprise?
No. La pratica più sicura è partire dai piani gratuiti di entrambi gli strumenti, migrare due o tre playbook alla volta e validare i risultati prima di sottoscrivere un contratto a pagamento o di scalare l’infrastruttura self-hosted.

Cosa succede se si supera il limite della Community Edition di Tines?
I flussi aggiuntivi oltre i tre inclusi nel piano gratuito richiedono l’upgrade a un piano a pagamento. Non esiste un modo per superare il limite restando sul piano Community.

Shuffle è adatto anche a una PMI con un solo tecnico IT?
È tecnicamente possibile, ma richiede che quel tecnico abbia già familiarità con Docker e con la gestione base di un server Linux. Se questa competenza manca, i costi di formazione o di consulenza esterna possono azzerare il vantaggio economico della licenza gratuita.

Esistono alternative a Shuffle e Tines da considerare?
Sì, il mercato SOAR include anche piattaforme come Cortex XSOAR e Splunk SOAR, entrambe orientate al segmento enterprise con prezzi generalmente superiori a quelli di Tines. Per un primo confronto sul lato SIEM, la nostra analisi tra Wazuh e Splunk offre un termine di paragone utile sui costi delle piattaforme enterprise di sicurezza.