A diferença entre SaaS, PaaS e IaaS está em quanto da pilha tecnológica o fornecedor opera. No IaaS (infraestrutura como serviço) você aluga máquinas virtuais, rede e armazenamento e instala o resto. No PaaS (plataforma como serviço) o fornecedor cuida também do sistema operacional e do ambiente de execução; você só publica o código. No SaaS (software como serviço) o aplicativo chega pronto pelo navegador, como o Gmail.
Em resumo
- IaaS: você recebe servidor, disco e rede virtuais e responde por sistema operacional, atualizações, banco de dados e aplicação. Máxima liberdade, máximo trabalho de operação.
- PaaS: você entrega o código e o fornecedor executa, escala e mantém o ambiente por baixo. É a camada em que uma pessoa sozinha consegue operar um produto.
- SaaS: você usa o aplicativo pronto por assinatura, sem instalar nada. O fornecedor responde por tudo; você entra com configuração, usuários e dados.
As três siglas medem quanto do trabalho fica com o fornecedor
A referência aceita mundialmente é a publicação SP 800-145 do NIST, o instituto de padrões dos Estados Unidos. Segundo o NIST, computação em nuvem tem cinco características essenciais, quatro modelos de implantação e exatamente três modelos de serviço: IaaS, PaaS e SaaS. Toda outra sigla em "aaS" é derivação comercial dessa base.
A imagem que ajuda é a de uma pilha. Embaixo ficam prédio, energia, servidores físicos e rede. No meio, sistema operacional, banco de dados e ambiente de execução. No topo, o aplicativo e os dados de quem usa. Cada modelo desenha a linha de corte em uma altura diferente dessa pilha.
Quanto mais alta a linha, menos você administra e menos você controla. Esse é o único trade-off que importa na escolha: liberdade técnica custa horas de operação, e conveniência custa flexibilidade. O guia do YOOFY sobre o que é SaaS já mostrou o topo da pilha; aqui descemos até a base.
IaaS entrega a máquina virtual e devolve o resto para você
De acordo com a definição do NIST, no IaaS o consumidor recebe processamento, armazenamento, rede e outros recursos fundamentais, podendo instalar qualquer software, inclusive o sistema operacional. Na prática é um servidor que você liga e desliga pelo painel, paga pelo tempo de uso e acessa por terminal remoto.
Exemplos que o leitor reconhece: as máquinas virtuais do Amazon EC2, do Google Compute Engine e do Microsoft Azure, além dos servidores VPS oferecidos por hospedagens brasileiras e internacionais. Um VPS de hospedagem é IaaS em escala pequena: você recebe o Linux vazio e tudo o que vier depois é responsabilidade sua.
É a camada certa quando o projeto precisa de um software específico que nenhuma plataforma gerenciada roda, de controle fino sobre rede e segurança ou de custo previsível em carga constante. O preço da liberdade aparece nas madrugadas: atualização de segurança, backup, disco cheio e reinício após falha são problemas seus.
PaaS tira o servidor do caminho de quem só quer programar
No PaaS, conforme o NIST descreve, o consumidor publica aplicações criadas com linguagens, bibliotecas e ferramentas suportadas pelo fornecedor, sem gerenciar a infraestrutura por baixo. Você envia o código; a plataforma constrói, executa, distribui e escala. Sistema operacional, atualizações e balanceamento de carga deixam de ser tarefa sua.
Heroku, Google App Engine, AWS Elastic Beanstalk e Azure App Service são os nomes clássicos; Vercel e Render seguem a mesma lógica. Bancos de dados gerenciados, como o Amazon RDS ou o Cloud SQL do Google, também são PaaS: você usa o banco sem instalar nem atualizar o servidor que o roda.
A limitação está no que a plataforma suporta. Se o projeto depende de uma versão de linguagem, de uma extensão de banco ou de um processo em segundo plano fora do cardápio, o PaaS emperra. Para a maioria das aplicações web, porém, é a camada em que uma pessoa sozinha opera um produto.
SaaS é a camada que o usuário final abre no navegador
O guia do YOOFY sobre o que é SaaS já cobriu o modelo e seus exemplos por setor. O que interessa aqui é a posição na pilha: no SaaS, o fornecedor opera absolutamente tudo, do data center ao botão da interface, e o cliente entra com login, configuração e dados.
Gmail, Google Workspace, Microsoft 365, Slack e Zoom são SaaS. No Brasil, sistemas de gestão como Conta Azul e Omie, plataformas de loja como a Nuvemshop e ferramentas de marketing como a RD Station seguem o mesmo modelo: assinatura mensal, acesso pelo navegador, nenhuma instalação em servidor próprio.
Quase todo SaaS é construído sobre PaaS ou IaaS de outra empresa. A plataforma de loja que o comerciante assina roda em máquinas alugadas de um provedor de nuvem. A pilha se empilha: a decisão de camada de uma empresa vira o produto pronto da outra.
A responsabilidade compartilhada é o que muda de verdade
Os grandes provedores publicam um documento chamado modelo de responsabilidade compartilhada. Segundo a documentação oficial da AWS, o provedor responde pela segurança "da" nuvem, isto é, instalações, hardware e rede, enquanto o cliente responde pela segurança "na" nuvem, o que inclui dados, acessos e configuração. A linha de corte muda com a camada.
| Camada | O fornecedor cuida de | Você cuida de |
|---|---|---|
| IaaS | Prédio, energia, hardware, rede física e virtualização | Sistema operacional, atualizações, ambiente de execução, banco, aplicação, dados e acessos |
| PaaS | Tudo do IaaS mais sistema operacional, ambiente de execução e escala | Aplicação, dados e acessos |
| SaaS | Tudo do PaaS mais a própria aplicação | Dados, usuários e configuração |
Repare que dados e acessos nunca saem da sua coluna. Vazar uma senha de administrador ou deixar um arquivo público no armazenamento é falha do cliente em qualquer camada, inclusive no SaaS. A Lei Geral de Proteção de Dados reforça isso: quem coleta os dados continua sendo o controlador; quem hospeda é apenas operador.
Na hora de comparar propostas, peça esse documento por escrito. Fornecedor sério tem a divisão publicada; quem responde "a gente cuida de tudo" sem detalhar costuma deixar para o cliente justamente backup e recuperação, que são as partes que doem quando algo falha.
HaaS, FaaS e DBaaS são variações, não uma quarta camada
Muita gente busca a diferença entre SaaS, IaaS, PaaS e HaaS. HaaS, hardware como serviço, é o aluguel de equipamento físico com manutenção inclusa, como notebooks ou servidores locados por mensalidade. Não é nuvem no sentido do NIST: o equipamento fica na sua sala, não em um data center compartilhado.
Outras siglas que aparecem em propostas comerciais:
- DBaaS (banco de dados como serviço): um banco gerenciado pelo fornecedor; tecnicamente é PaaS especializado.
- FaaS (função como serviço), também chamado de serverless: você envia funções isoladas que rodam sob demanda, como no AWS Lambda e no Google Cloud Functions. É PaaS levado ao extremo.
- BaaS (backend como serviço): autenticação, banco e armazenamento prontos para aplicativos, caso do Firebase e do Supabase.
- XaaS: guarda-chuva de marketing para "qualquer coisa como serviço", sem definição técnica própria.
Quando encontrar uma sigla nova, pergunte só uma coisa: até onde na pilha o fornecedor vai? A resposta encaixa o produto em uma das três camadas de referência, e o restante é embalagem comercial.
Para um projeto pequeno, comece na camada mais alta que resolve
A regra prática para quem tem pouca gente e pouco tempo é subir na pilha até onde o problema permitir. Precisa de e-mail, planilha e emissão de nota? SaaS pronto. Vai publicar um aplicativo próprio? PaaS. Só desça ao IaaS se houver exigência técnica que as camadas de cima não atendem.
Critérios para decidir antes de criar a conta em qualquer fornecedor:
- Tempo de operação: há alguém para acordar de madrugada quando o servidor cair? Se não, evite IaaS.
- Exigência técnica: algum componente obrigatório não roda em plataforma gerenciada? Só então o IaaS se justifica.
- Custo em repouso: PaaS e SaaS costumam ter faixa gratuita ou barata para pouco uso; confira os limites na página oficial do fornecedor antes de contar com isso.
- Portabilidade: quanto mais alto na pilha, mais difícil migrar; programe exportações regulares dos seus dados.
- Conformidade: dados pessoais de clientes exigem contrato claro com o fornecedor, em qualquer camada.
- Alerta de orçamento: ative o alerta de gasto do provedor no primeiro dia; conta surpresa por máquina esquecida ligada é o erro mais comum de quem começa em IaaS.
Um exemplo brasileiro típico: um MEI que presta serviço de design monta o site em um construtor SaaS, guarda arquivos na nuvem e emite notas pelo portal da prefeitura. Não há uma linha de IaaS nessa operação. O Sebrae oferece orientação gratuita a pequenos negócios que estão digitalizando processos.
O próximo passo é desenhar a pilha do seu projeto em uma folha: liste cada componente, do e-mail ao banco de dados, e marque em qual camada ele vai viver. Depois leia o modelo de responsabilidade compartilhada de cada fornecedor cotado antes de criar a conta; o guia do YOOFY sobre o que é SaaS complementa o topo da pilha.