O que é uma VPN? Como funciona, o que ela esconde e onde fica devendo

O que é uma VPN e como ela funciona?

Uma rede privada virtual (VPN) é um serviço que encaminha todo o tráfego de internet do seu dispositivo por um túnel criptografado entre o dispositivo e um servidor VPN; depois, o tráfego sai desse servidor rumo ao destino final ^[1]. A criptografia embaralha os dados para que só alguém com a chave certa consiga lê-los. Como suas solicitações parecem vir do servidor VPN, a VPN mascara seu endereço IP, o endereço numérico que indica sua localização aproximada e pode ser usado para identificar você ^[1].

A Cloudflare descreve a conexão em quatro etapas: o cliente VPN (o app no seu dispositivo) se conecta por meio do seu provedor de internet (ISP) usando uma conexão criptografada; o ISP repassa essa conexão ao servidor VPN; o servidor VPN descriptografa os dados e se conecta ao site em seu nome; e o enlace criptografado entre cliente e servidor é o que se chama de túnel VPN ^[2]. Os servidores web passam então a registrar apenas o endereço IP do servidor VPN ^[2].

O que acontece no dispositivo?

Tecnicamente, um cliente VPN cria uma interface de rede virtual, um adaptador de rede que existe só em software, e a usa para criptografar e descriptografar o tráfego antes de entregá-lo ao hardware real de Wi-Fi ou Ethernet ^[3]. Se todo o tráfego passa pelo túnel, trata-se de uma VPN de túnel completo; se parte do tráfego, como o da rede local, pode contorná-lo, trata-se de uma VPN de túnel dividido ^[3].

Para que servem as VPNs?

A Electronic Frontier Foundation (EFF), entidade de defesa dos direitos digitais, diz que as VPNs servem melhor a uma coisa, encaminhar sua conexão por outra rede, o que é útil em duas situações: contornar a censura em uma rede que bloqueia sites e conectar-se à rede do escritório de outro lugar ^[1]. A Cloudflare acrescenta à lista de usos comuns a proteção em Wi-Fi público e o contorno de restrições de conteúdo por localização ^[2].

O que uma VPN esconde, e de quem?

Uma VPN esconde seu tráfego de saída do seu ISP e do dono da rede local, como uma cafeteria ou um hotel ^[1]. Como o túnel que passa pelo ISP é criptografado, o ISP não consegue ver o que você faz dentro dele ^[2]. Do ponto de vista de um site, você parece estar onde quer que o servidor VPN esteja ^[1].

A contrapartida é simples e muitas vezes ignorada: enquanto a VPN esconde sua navegação do ISP, tudo fica visível para o provedor da VPN ^[1]. A EFF observa que um provedor poderia vender essas informações, assim como um ISP poderia ^[1]. O próprio texto explicativo da Cloudflare diz que os usuários só podem se sentir seguros com uma VPN se confiarem no provedor, porque um provedor desonesto poderia vender informações dos usuários ou deixá-los expostos a ataques ^[2].

Uma VPN também não protege seus dados de quem opera a rede privada à qual você se conecta. Em uma VPN corporativa, quem administra a rede da empresa vê seu tráfego; em uma VPN comercial, quem administra o serviço vê ^[1]. Em resumo, uma VPN transfere a confiança de uma empresa (seu ISP ou o dono do Wi-Fi) para outra (o provedor da VPN); ela não elimina a necessidade de confiar.

Contra o que uma VPN não protege?

A publicidade de VPNs muitas vezes promete que elas barram criminosos, malware, vigilância governamental e rastreamento on-line; a EFF diz que esses anúncios exageram muito os benefícios ^[1]. Os principais limites são:

• Rastreamento. Uma VPN não é ferramenta de anonimato. Empresas ainda podem rastrear você por GPS, cookies, pixels de rastreamento ou fingerprinting ^[1].
• Contas e histórico. Uma VPN não impede que autoridades obtenham o histórico de navegação salvo no seu navegador ou em uma conta em que você esteja conectado ^[1].
• Pedidos judiciais ao provedor. Os provedores de VPN também estão sujeitos a pedidos das autoridades, e muitos guardam tantas informações quanto os ISPs ^[1]. O provedor precisa cumprir as leis dos países onde atua ^[1].
• Vínculo pelo pagamento. Pagar com cartão de crédito vincula sua identidade à conta, e o provedor ainda pode coletar seu endereço IP ^[1].

O tráfego pode vazar de uma VPN?

Sim. Em maio de 2024, o Leviathan Security Group publicou a TunnelVision (CVE-2024-3661), uma técnica que usa um recurso nativo do DHCP, o protocolo que distribui as configurações de rede, para forçar o tráfego do usuário para fora do túnel VPN, de modo que ele seja enviado sem criptografia ^[3]. A National Vulnerability Database dos EUA descreve o problema: a opção 121 do DHCP pode adicionar rotas à tabela de roteamento de um dispositivo, e um atacante na mesma rede local pode ler, interromper ou possivelmente modificar o tráfego que deveria estar protegido pela VPN ^[4].

Nos testes dos pesquisadores, a VPN continuou sempre informando que estava conectada, e o kill switch (recurso que bloqueia o tráfego se a conexão VPN cair) nunca foi acionado ^[3]. O Android não foi afetado porque não implementa a opção 121 do DHCP ^[3]. Os pesquisadores concluíram que as VPNs não foram projetadas para mitigar ataques à rede local física e que prometer o contrário é perigoso ^[3].

E a velocidade?

Alguns usuários notam conexões mais lentas, conforme a capacidade dos servidores do provedor, e um servidor VPN distante tanto do usuário quanto do site acrescenta atraso ^[2].

Você precisa de VPN no Wi-Fi público?

Nem sempre. A EFF diz que usar VPN no Wi-Fi público costumava ser uma recomendação padrão, mas que isso já não é tão necessário para todos, porque a maior parte do tráfego da web hoje é criptografada com HTTPS ^[1]. O HTTPS é a versão do protocolo da web protegida pelo cadeado, que criptografa o que você envia e recebe de um site.

O HTTPS protege o conteúdo das comunicações, não os metadados ^[1]. Em um site HTTPS, quem está no caminho geralmente consegue ver o nome de domínio (por exemplo, wikipedia.org) e quando você o visita, além do tamanho das páginas e arquivos, mas não a página específica, seu nome de login ou suas mensagens ^[1]. Uma VPN poderia esconder esses metadados de alguém escutando na rede local, mas o provedor da VPN veria tudo ^[1].

A EFF sugere que uma VPN pode ser útil quando você precisa usar uma rede pública em que não confia e tem uma VPN em que confia ^[1]. A Federal Trade Commission (FTC) dos EUA também alertou que redes Wi-Fi públicas gratuitas costumam ser inseguras, e suas dicas de 2018 sobre apps de VPN tratavam justamente de proteger informações enviadas por Wi-Fi público ^[5]. Observe que um app de VPN desatualizado pode não proteger bem você nem nesse caso; a EFF cita a TunnelVision como exemplo ^[1].

Quais protocolos de VPN são seguros?

Um protocolo é o conjunto de regras que uma VPN usa para montar e criptografar o túnel. Se uma VPN usa criptografia quebrada, como o Point-to-Point Tunneling Protocol (PPTP), os dados que passam por ela podem ser facilmente descriptografados e vistos ^[1]. A EFF aponta o OpenVPN e o WireGuard como os dois protocolos que se tornaram comuns nos serviços para consumidores ^[1].

Os desenvolvedores do WireGuard o descrevem como uma VPN simples, rápida e moderna que usa criptografia de ponta, como o framework de protocolos Noise, Curve25519 e ChaCha20, e afirmam que ele foi revisado por criptógrafos ^[7]. Ele foi projetado para ser pequeno o bastante para que uma única pessoa possa revisá-lo por completo, ao contrário das bases de código muito maiores do IPsec ou do OpenVPN ^[7].

Para organizações, o National Cyber Security Centre (NCSC) do Reino Unido diz que os protocolos mais usados são TLS e IPsec, recomenda o IPsec para acesso por VPN por ser um padrão aberto embutido em muitos sistemas operacionais e observa que o WireGuard parece promissor, mas ainda precisa se provar em ambientes corporativos ^[6]. O NCSC também alerta que algumas redes de terceiros restringem ou bloqueiam o tráfego IPsec, enquanto as VPNs TLS podem ser mais confiáveis através de firewalls corporativos ^[6].

O Retransmissão Privada do iCloud, da Apple, às vezes é confundido com uma VPN. Ele foi projetado para proteger a navegação no Safari, envia as solicitações por dois retransmissores separados para que nenhuma parte isolada, nem mesmo a Apple, veja ao mesmo tempo quem você é e quais sites visita, e não está disponível em todos os países ou regiões ^[10].

Como escolher uma VPN confiável?

As quatro verificações da FTC antes de usar um app de VPN são: pesquisar o app antes de baixá-lo, revisar os pedidos de permissão, confirmar que ele criptografa suas informações e verificar se ele compartilha suas informações com terceiros ^[5]. A EFF acrescenta outras perguntas ^[1]:

1. Leia a política de privacidade. Um provedor pode registrar seus dados se não descartar isso explicitamente, e a promessa de não manter registros não é garantia ^[1].
2. Pergunte como ele ganha dinheiro. Algumas VPNs são gratuitas, mas vendem seus dados; outras usam limites de dados no modelo freemium ou assinaturas recorrentes ^[1].
3. Procure auditorias públicas. Auditorias de segurança independentes são um bom sinal, mas as práticas podem mudar depois de uma auditoria ^[1].
4. Descubra quem a administra. Desconfie de uma VPN em que ninguém aposta a própria reputação e procure na página institucional os fundadores ou a equipe ^[1].
5. Verifique o país. O provedor está sujeito às leis do lugar onde opera, incluindo regras sobre pedidos de dados do governo ^[1].

Estar na loja de apps basta?

Não. A EFF alerta para não supor que um app de VPN seja seguro só por estar no Google Play ou na Apple App Store ^[1]. As Diretrizes de Revisão da App Store da Apple dizem que apps de VPN não podem vender, usar nem divulgar dados a terceiros para nenhuma finalidade ^[9]. Mesmo assim, o Tech Transparency Project informou em 1 de abril de 2025 que 20 das 100 VPNs gratuitas mais populares da App Store dos EUA em 2024 pertenciam a empresas chinesas, nenhuma das quais deixava essa propriedade clara, e que esses apps tinham sido baixados mais de 70 milhões de vezes ^[8]. O Google Play exibe um selo de Verificado para algumas VPNs, que a EFF descreve como um pequeno vislumbre das promessas de segurança do app, e não como substituto da pesquisa ^[1].

As VPNs são legais em todo lugar?

Não. A EFF recomenda acompanhar as políticas de cada país sobre VPN, incluindo proibições, e observa que plataformas de streaming bloqueiam cada vez mais os dispositivos que parecem usar VPN ^[1]. A Apple exige que desenvolvedores que oferecem um app de VPN em um território onde é preciso licença para VPN informem os dados dessa licença ^[9]. Estas são informações gerais, não aconselhamento jurídico; confira a lei do lugar onde você mora.

Qual é a situação no Irã?

O relatório Freedom on the Net 2024, da Freedom House, diz que muitos iranianos dependem de VPNs para acessar serviços internacionais bloqueados pelas autoridades ^[11]. Em fevereiro de 2024, o Conselho Supremo do Ciberespaço proibiu o uso de VPNs sem licença e disse que as pessoas precisariam solicitar a compra de VPNs licenciadas com aprovação do governo ^[11]; analistas citados no relatório dizem que a medida criminalizou não só a distribuição e a venda, mas também o uso de VPNs ^[11]. O mesmo relatório diz que o Ministério das TIC anunciou em outubro de 2022 que quem vendesse ou usasse VPNs ilegais poderia ser processado com base no artigo 753 do código penal, e que serviços como NordVPN, Proton VPN e TunnelBear estavam inacessíveis durante o período coberto ^[11]. O Freedom on the Net 2025 acrescenta que um bloqueio quase total da internet, em todo o país, foi imposto em junho de 2025 ^[12].

As VPNs corporativas são diferentes?

Sim. Uma VPN corporativa conecta os funcionários a sistemas internos, em vez de mascarar sua localização. O NCSC observa que os serviços de VPN fazem parte da superfície de ataque de uma organização exposta à internet e precisam ser atualizados rapidamente quando saem patches de segurança ^[6]. Também diz que uma VPN traz pouco benefício para uma organização que adotou por completo uma abordagem de confiança zero, em que nenhum dispositivo é confiável por padrão ^[6].

A Cloudflare, que vende alternativas desse tipo, argumenta que as VPNs tradicionais podem levar a um modelo de castelo e fosso, em que tudo o que está dentro da rede é automaticamente confiável, e diz que muitas empresas migraram para arquiteturas de secure access service edge (SASE) ^[2]. Para pessoas físicas, a visão da EFF é que, para muita gente, uma VPN não é a medida de segurança mais importante; ela inclui as mensagens com criptografia de ponta a ponta entre as medidas de maior impacto ^[1].