Costi Data Egress Cloud 2026: Guida Fin…

Aggiornato: 7 giugno 2026

I costi di data egress nel cloud sono le tariffe applicate da AWS, Azure e GCP per il trasferimento di dati in uscita verso Internet, verso altre regioni o tra zone di disponibilita: nel 2026 oscillano tipicamente tra 0,02 e 0,12 USD per GB e rappresentano in media il 7-15% della bolletta cloud di un'azienda con architettura multi-regione. In questa guida operativa analizzo i listini aggiornati dei tre hyperscaler, le tecniche FinOps per ridurli (VPC endpoint, CDN, compressione, instradamento privato) e mostro codice Terraform pronto all'uso per attivare gli endpoint che eliminano l'egress sui servizi gestiti.

L'egress su Internet costa 0,09 USD/GB su AWS (primi 10 TB) contro 0,087 USD/GB su Azure e 0,12 USD/GB su GCP Premium Tier nel 2026.
Il traffico inter-AZ all'interno della stessa regione e spesso il costo nascosto piu alto: 0,01 USD/GB in ogni direzione su AWS, fino a 0,02 USD/GB combinati.
VPC Endpoint Gateway (S3, DynamoDB) sono gratuiti e azzerano l'egress verso questi servizi quando configurati correttamente.
Il Data Act UE (in vigore da gennaio 2024) ha obbligato gli hyperscaler a offrire egress gratuito per la migrazione in uscita: AWS, Azure e GCP hanno aderito.
CloudFront, Azure Front Door e Cloud CDN riducono l'egress origin del 60-90% spostando il traffico verso edge a tariffe inferiori.
Un audit FinOps mirato sui trasferimenti dati riduce mediamente del 30-50% la voce "Data Transfer" del CUR entro 90 giorni.

Cosa sono i costi di data egress nel cloud

Per data egress si intende qualsiasi byte che lascia un confine di rete addebitato dal provider: un utente che scarica un'immagine da S3, una replica Postgres cross-region, un container che invia metriche al SaaS di osservabilita esterno, persino il traffico tra due availability zone della stessa regione. Gli hyperscaler usano questa leva di pricing perche e asimmetrica: l'ingress (dati che entrano) e sempre gratuito, ma trattenere i dati una volta dentro genera un costo recurrente di uscita che agisce, di fatto, come switching cost.

La tassonomia da memorizzare e quella usata nel AWS Cost and Usage Report e nei suoi equivalenti Azure/GCP, che distingue cinque categorie di trasferimento: Internet egress (out to public), inter-region (tra regioni dello stesso cloud), inter-AZ (tra zone della stessa regione), intra-AZ (gratuito quasi ovunque) e cross-cloud verso altri provider. Ognuna ha una tariffa diversa e una mitigation pattern diversa. Capire in quale di queste cinque categorie ricade ogni euro speso e il primo passo del cost allocation FinOps multi-cloud orientato alla rete.

Listini egress 2026: AWS vs Azure vs GCP

I prezzi sono cambiati poco nel 2025-2026 sui tier base ma hanno avuto due riduzioni significative: AWS ha portato il free tier a 100 GB/mese nel 2021 e l'ha mantenuto, mentre GCP nel 2024 ha unificato Standard e Premium Tier in alcune regioni introducendo la tariffa "Network Service Tier 0" per workload edge. La tabella seguente sintetizza i listini di riferimento per la regione europea principale (eu-west-1 / westeurope / europe-west1) a giugno 2026.

Categoria di traffico	AWS (eu-west-1)	Azure (West Europe)	GCP (europe-west1)
Egress Internet (primi 10 TB/mese)	0,09 USD/GB	0,087 USD/GB	0,12 USD/GB (Premium)
Egress Internet (oltre 150 TB/mese)	0,05 USD/GB	0,05 USD/GB	0,08 USD/GB
Free tier mensile	100 GB	100 GB	200 GB (verso alcune dest.)
Inter-region (stesso continente)	0,02 USD/GB	0,02 USD/GB	0,02 USD/GB
Inter-AZ (stessa regione)	0,01 USD/GB x2	0,01 USD/GB x2	0,01 USD/GB
Verso CDN proprio	0,00 USD/GB (a CloudFront)	0,00 USD/GB (a Front Door)	0,00 USD/GB (a Cloud CDN)
Egress per migrazione uscita	Gratuito (Data Act)	Gratuito (Data Act)	Gratuito (Data Act)

Le voci da attenzionare per chi disegna architetture nuove sono due. La prima: il traffico inter-AZ su AWS e bidirezionale, ovvero pagate sia l'uscita dalla zona A sia l'ingresso nella zona B; di fatto 0,02 USD/GB totali. Questa e la ragione per cui un cluster Kafka mal posizionato puo generare migliaia di euro al mese in egress invisibile (mi e capitato in un cliente fintech: 9.400 EUR/mese solo per chatter tra broker in tre AZ). La seconda: GCP applica il Premium Tier di default, ma il Standard Tier (instradamento via ISP locale invece che backbone Google) costa il 20-35% in meno per workload che non richiedono latenza globale ottimizzata.

Dove si nascondono i costi di trasferimento dati

Nel 90% delle review FinOps che conduco, il primo "egress sorpresa" non e il traffico verso gli utenti finali ma uno di questi cinque pattern interni che restano invisibili senza tag dedicati. Onestamente, e la parte piu noiosa dell'audit, ma anche la piu remunerativa. Conoscerli a memoria accelera l'analisi di una nuova architettura e permette al team di rete di prioritizzare le mitigation con il maggior ROI prima di sprecare sprint su micro-ottimizzazioni.

NAT Gateway: ogni byte processato costa 0,045 USD/GB su AWS in EU oltre alla tariffa di egress. Container che fanno polling continuo su API esterne possono spendere migliaia di euro al mese solo in NAT processing fee.
Cross-AZ load balancer: un ALB con target in tre AZ riceve traffico dall'AZ del client e lo instrada uniformemente, generando 2/3 di traffico inter-AZ a pagamento. La feature "Cross-zone load balancing disabled" lo elimina ma cambia la distribuzione.
Repliche RDS/Aurora cross-AZ: la replica sincrona Multi-AZ e inclusa, ma le repliche read in altre AZ pagano l'egress. Aurora Global Database paga il cross-region a 0,02 USD/GB.
Backup verso bucket in altra regione: la cross-region replication di S3 e uno dei top driver di spesa di chi adotta DR geografico senza una policy di sampling o esclusione dei prefix verbosi.
Container che parlano fuori VPC: pod EKS/AKS/GKE che colpiscono S3 senza VPC endpoint pagano egress Internet anche se la destinazione e nello stesso cloud.

Per scoprire questi pattern uso la query Athena standard sul CUR raggruppata per lineItem/UsageType filtrando DataTransfer-Out-Bytes, ed esportata in una dashboard QuickSight settimanale. E lo stesso framework che descrivo nella mia guida al rilevamento anomalie dei costi cloud, adattato alla dimensione network anziche compute.

Come usare VPC Endpoint e Private Link per azzerare l'egress

I VPC Endpoint sono lo strumento piu efficace, e meno conosciuto, per ridurre l'egress verso servizi gestiti dello stesso provider. Su AWS esistono due tipi: Gateway Endpoint (S3, DynamoDB) completamente gratuiti, e Interface Endpoint basati su PrivateLink che costano 0,01 USD/ora per AZ piu 0,01 USD/GB processato, comunque meno della meta del NAT Gateway. Su Azure si parla di Private Endpoint, su GCP di Private Service Connect. La logica e identica: tunnel privato dentro la rete del cloud che bypassa l'Internet pubblico e la relativa tariffa.

Esempio Terraform che attiva un Gateway Endpoint per S3 e DynamoDB sulla VPC principale, la configurazione tipica di un cluster EKS che legge oggetti S3:

resource "aws_vpc_endpoint" "s3" {
  vpc_id            = aws_vpc.main.id
  service_name      = "com.amazonaws.${var.region}.s3"
  vpc_endpoint_type = "Gateway"
  route_table_ids   = aws_route_table.private[*].id

  policy = jsonencode({
    Version = "2012-10-17"
    Statement = [{
      Effect    = "Allow"
      Principal = "*"
      Action    = ["s3:GetObject", "s3:ListBucket"]
      Resource  = [
        "arn:aws:s3:::data-lake-prod",
        "arn:aws:s3:::data-lake-prod/*"
      ]
    }]
  })

  tags = {
    Name       = "vpce-s3-gateway"
    CostCenter = "data-platform"
  }
}

resource "aws_vpc_endpoint" "dynamodb" {
  vpc_id            = aws_vpc.main.id
  service_name      = "com.amazonaws.${var.region}.dynamodb"
  vpc_endpoint_type = "Gateway"
  route_table_ids   = aws_route_table.private[*].id
}

# Interface endpoint per ECR (necessario per pull immagini container)
resource "aws_vpc_endpoint" "ecr_dkr" {
  vpc_id              = aws_vpc.main.id
  service_name        = "com.amazonaws.${var.region}.ecr.dkr"
  vpc_endpoint_type   = "Interface"
  subnet_ids          = aws_subnet.private[*].id
  security_group_ids  = [aws_security_group.vpce.id]
  private_dns_enabled = true
}

Il break-even di un Gateway Endpoint S3 e immediato: zero costo, beneficio dal primo GB trasferito. L'Interface Endpoint conviene quando elaborate piu di circa 75 GB/mese verso quel servizio, soglia oltre la quale il fisso orario e ammortizzato dal risparmio per-GB rispetto al NAT. Per ECR e quasi sempre conveniente perche il pull di un'immagine container puo essere centinaia di MB ripetuti su ogni nodo a ogni scale-out, generando facilmente decine di GB al giorno per cluster. Ho visto bollette ECR andare da 380 USD a 12 USD/mese cambiando solo questa configurazione.

Come ridurre i costi di egress su AWS con CloudFront

Per workload che servono contenuti a utenti finali, un CDN e la leva piu potente. Il trasferimento da S3 (o ALB) verso CloudFront e gratuito grazie a un accordo di peering interno, e CloudFront fattura l'egress verso Internet a tariffe simili ma con un free tier permanente di 1 TB/mese (dal 2021). Tradotto in pratica: una landing page che serve 800 GB/mese di asset statici da S3 passa da circa 72 USD/mese di egress diretto a 0 USD con CloudFront davanti.

Il pattern equivalente su Azure e Azure Front Door con caching abilitato; su GCP e Cloud CDN agganciato a un HTTPS Load Balancer. In tutti e tre i casi i requisiti per ottenere il risparmio sono: TTL della cache ragionevole (almeno 300 s sugli asset statici), Cache-Control headers corretti dall'origin, e una strategia di invalidazione che non azzeri la cache ad ogni deploy. Un errore frequente che vedo e impostare Cache-Control: no-store su tutto il sito "per sicurezza", vanificando il CDN e raddoppiando l'egress.

Per traffico API dinamico, anche un hit-ratio del 20% riduce l'origin egress del 20%. Quando l'API e puramente write-through, valutate invece Lambda@Edge o CloudFront Functions per fare manipolazioni di header senza colpire l'origin. Su payload JSON di grandi dimensioni la combinazione CDN piu compressione Brotli all'edge taglia ulteriormente il volume fatturato, perche CloudFront addebita i byte effettivamente trasmessi dopo la compressione.

Data Act UE ed egress gratuito per uscita dal cloud

Il Data Act dell'Unione Europea (Regolamento UE 2023/2854), entrato in applicazione l'11 gennaio 2024, obbliga i provider di servizi cloud a non addebitare costi di switching ai clienti che migrano i loro dati verso un altro provider o on-premise. Tutti e tre gli hyperscaler hanno annunciato programmi conformi: AWS con il "Free Data Transfer Out to Internet" su richiesta, Azure con la procedura "Egress Cost Waiver", GCP con la "Network Egress Waiver". La condizione comune e che si tratti di una migrazione completa di un workload, documentata, eseguita una tantum.

Il riflesso pratico per chi pianifica una migrazione cross-cloud o un consolidamento: stimate sempre l'egress di uscita prima al listino, poi aprite un ticket per richiedere il waiver. Su un'esfiltrazione di 50 TB potete passare da 4.500 USD a 0. La policy non copre invece i transfer ordinari verso CDN di terzi o backup multi-cloud continui, quindi non e un'arma per architetture ibride permanenti. Documentate sempre la motivazione con un piano di migrazione, perche l'audit dei provider e rigoroso e una richiesta non motivata viene respinta (l'ho visto succedere).

Playbook FinOps in 7 passi per ridurre il data transfer

Questo e il playbook che applico nei primi 90 giorni di un'iniziativa FinOps focalizzata sull'egress. E deliberatamente ordinato per ROI decrescente: i primi tre passi spesso catturano il 70% del risparmio possibile, e dovrebbero essere implementati prima di toccare il codice applicativo o aprire trattative commerciali con il provider.

Audit del CUR ultimi 90 giorni raggruppando per UsageType che contiene "DataTransfer". Identificate i top 10 servizi e regioni.
Attivate VPC Endpoint Gateway per S3 e DynamoDB ovunque ci sia una VPC con NAT Gateway. Costo zero, beneficio immediato.
Mettete CloudFront/Front Door/Cloud CDN davanti agli origin S3/blob pubblici. Tipico risparmio 60-90% sull'egress origin.
Disabilitate il cross-zone load balancing dove la latenza extra e tollerabile e abilitate la topology-aware routing su EKS/AKS/GKE per ridurre il chatter inter-AZ.
Audit dei NAT Gateway: ogni NAT che processa piu di 1 TB/mese va analizzato; c'e probabilmente un Interface Endpoint che lo sostituirebbe con risparmio.
Comprimete a livello applicativo: gzip/zstd sulle risposte HTTP, parquet+snappy invece di JSON sui data lake. Una compressione 4x equivale a una riduzione 75% dell'egress di quella pipeline.
Negoziate Private Pricing Agreement: oltre 500 TB/mese di egress, AWS e Azure offrono sconti negoziabili che possono arrivare al 40%.

Per workload Kubernetes in particolare, i passi 4-5 si intrecciano con il rightsizing dei pod: vedere la guida all'ottimizzazione costi Kubernetes 2026 per i pattern di topology spread constraint che riducono sia CPU che egress simultaneamente.

Monitoraggio: CUR, Cost Explorer e dashboard egress

Ridurre l'egress una volta non basta: senza un monitoraggio continuo il costo rientra entro un trimestre. La dashboard minima che configuro nei miei progetti FinOps ha tre widget. Primo: trend giornaliero del costo "Data Transfer" totale segmentato per servizio (NAT, EC2, S3, RDS); qualsiasi spike maggiore del 20% giornaliero genera un alert. Secondo: top 10 risorse per egress dell'ultima settimana con tag CostCenter, cosi identificate i team responsabili. Terzo: rapporto CDN hit-ratio vs origin egress; un drop del hit-ratio e un leading indicator di costo in crescita.

Su AWS uso Athena+QuickSight perche il CUR ha la granularita per-resource che Cost Explorer non espone. Su Azure il Cost Management API serve dati equivalenti, su GCP il BigQuery billing export e lo standard. Le query base le pubblica AWS stessa nella documentazione ufficiale del CUR, da cui partire e adattare i filtri ai propri tag di allocazione.

Domande frequenti

Quanto costa il data transfer AWS verso Internet nel 2026?

Il listino On-Demand per la regione eu-west-1 e 0,09 USD/GB per i primi 10 TB mensili, 0,085 USD/GB tra 10 e 50 TB, 0,07 USD/GB tra 50 e 150 TB e 0,05 USD/GB oltre. I primi 100 GB/mese sono gratuiti su tutti gli account AWS dal 2021.

I VPC Endpoint riducono davvero i costi di egress?

Si, e in modo significativo. I Gateway Endpoint per S3 e DynamoDB sono gratuiti e azzerano l'egress verso questi servizi quando l'origine e dentro la VPC. Gli Interface Endpoint (PrivateLink) costano 0,01 USD/ora per AZ ma sostituiscono il NAT Gateway che addebita 0,045 USD/GB.

Perche il traffico inter-AZ viene addebitato due volte su AWS?

AWS applica 0,01 USD/GB sia in uscita dalla zona sorgente sia in ingresso nella zona destinazione, per un totale di 0,02 USD/GB sul traffico cross-AZ. E la voce nascosta che inflaziona i cluster Kafka, Cassandra e ElasticSearch mal distribuiti.

Posso uscire da AWS senza pagare l'egress grazie al Data Act UE?

Si, per migrazioni complete e documentate di un workload verso un altro provider o on-premise. AWS, Azure e GCP offrono procedure conformi al Regolamento UE 2023/2854 dal 2024 con waiver dei costi di egress su richiesta. Non copre invece i transfer ordinari di un'architettura ibrida permanente.

Conviene usare il Network Service Tier Standard di GCP?

Conviene per workload geograficamente concentrati o batch che non richiedono latenza globale ottimizzata: lo Standard Tier costa il 20-35% in meno del Premium Tier perche instrada via ISP locali invece che sul backbone Google. Per servizi user-facing globali resta consigliato il Premium.