Deep Web vs Dark Web: Entenda a Diferença Real

No cinema e no noticiário, “deep web” e “dark web” viraram sinônimo de um submundo obscuro que seria “90% da internet”. Quase tudo nessa frase está errado, a começar pelo número. A confusão entre três camadas (surface, deep e dark) faz muita gente ter medo do lugar errado e ignorar o risco real: os próprios dados.

Neste guia, você vai separar os três termos de vez. Vamos desmontar o mito do iceberg com a fonte na mão, entender como a rede Tor funciona de verdade e ver como suas credenciais podem parar na dark web. E antes de tudo, o essencial: proteja o login de dois fatores que guarda a sua deep web pessoal.

Resumo rápido: A surface web é o que o Google acha. A deep web é tudo que existe atrás de um login: seu e-mail, seu banco, sua intranet. É enorme, banal e legal. A dark web é uma fração minúscula da deep web, acessível só por redes de anonimato como o Tor, e mistura usos legítimos (jornalismo, anticensura) com crime. O clichê de que a “deep web é 90% da internet” nasce de uma estimativa de 2001 (Bergman) e confunde as duas coisas. Um levantamento clássico achou só 5.205 sites ativos na dark web (Moore & Rid via Vice, 2016), uma gota perto da web aberta.

Surface web, deep web e dark web: o que é cada uma

São três camadas, não duas. A surface web é o que o buscador indexa. A deep web é tudo que fica atrás de um login: e-mail, banco, intranet. É legal e enorme. A dark web é uma fração minúscula da deep web, acessível só por uma rede de anonimato como o Tor, e mista.

A confusão central se desfaz com um exemplo. A sua conta de Gmail já é deep web: ninguém a indexa, e você entra com senha. Não tem nada de obscuro nisso. O home banking, a intranet do trabalho e o prontuário no portal do plano de saúde também são deep web. É onde você vive todo dia.

A dark web é outra coisa, e bem menor. Ela é um subconjunto minúsculo da deep web, não a mesma coisa. Segundo a Kaspersky, a surface web representa menos de 5% de toda a internet, enquanto a deep web reuniria cerca de 90% dos sites, descrita como “perfeitamente legal e segura”. Mas segure esse 90%: como o próximo tópico mostra, ele é bem mais frágil do que parece.

O que muda de uma camada para a outra? A surface abre no navegador comum. A deep web pede uma credencial. A dark web exige uma ferramenta de anonimato. É esse último salto, o anonimato, que separa a dark do resto, não algum “grau de perigo” embutido.

A deep web é mesmo 90% da internet?

Não dá para afirmar isso com honestidade. O número “90% a 96%”, ou “500 vezes maior que a surface web”, vem de uma estimativa de 2001, sobre uma internet que não existe mais. E, pior, ele funde duas coisas diferentes: a deep web (enorme) e a dark web (minúscula).

Vale conhecer a origem do mito, porque quase ninguém a cita. O número saiu do paper “The Deep Web: Surfacing Hidden Value”, de Michael Bergman, publicado no Journal of Electronic Publishing em agosto de 2001. Ele estimou a deep web em cerca de 500 vezes a surface web da época, um número que o próprio autor reduziria bastante anos depois (Bergman, 2007).

Por que esse número caiu? Por três motivos. Primeiro, ele tem mais de vinte anos e mede uma web anterior às redes sociais, ao streaming, à nuvem e às APIs. Segundo, foi criticado academicamente logo depois, por Lewandowski e Mayr (2006), pela metodologia. Terceiro, e mais grave, veio o erro do “iceberg”.

A imagem do iceberg sugere que todo o fundo escondido seria crime. Mas 90% desse “fundo” é o seu Gmail e o seu home banking, não a dark web. O clichê pega um dado sobre a deep web inteira e cola a etiqueta de “submundo”. São coisas que não se encaixam.

O fecho é honesto: não existe medição confiável e atual do tamanho relativo dessas camadas. Para a dark web, por design, ela nem pode existir, já que o Tor esconde os metadados. Todo texto que crava “96% da internet” está apenas repetindo um número obsoleto de 2001.

Surface, deep e dark: a tabela comparativa

A diferença cabe em quatro perguntas. Está indexada por buscadores? Como você acessa? É legal? E o que tem lá dentro? A tabela abaixo responde as três camadas de uma vez, lado a lado, e é o jeito mais rápido de fixar a distinção.

Característica	Surface web	Deep web	Dark web
Indexada por buscadores	Sim	Não	Não
Como se acessa	Navegador comum	Navegador + login/credencial	Rede de anonimato (Tor)
Tamanho relativo	A menor camada visível	A maior por volume	Fração minúscula da deep
É legal?	Sim	Sim	Acessar, sim; a conduta é que pode ser crime
Exemplos	Wikipédia, lojas, notícias	E-mail, home banking, intranet	Sites .onion, fóruns, SecureDrop

A leitura da tabela é direta. O salto de risco não está entre a surface e a deep web, porque você vive na deep todo santo dia. O salto está no anonimato que a dark web adiciona por cima. E esse anonimato é uma faca de dois gumes: serve tanto para proteger quanto para esconder.

O que realmente existe na dark web?

Bem menos do que a lenda promete. Levantamentos sérios acham alguns milhares de sites ativos, uma gota perto da web aberta. Esse punhado de sites se divide entre atividade ilícita e usos legítimos de privacidade, como jornalismo e fuga da censura. Milhares, não bilhões, é a escala correta.

A escala real merece números concretos. Moore e Rid classificaram a dark web e acharam 5.205 sites vivos. Desses, 2.723 tinham conteúdo classificável, e 1.547 (cerca de 57%) eram ilícitos, no estudo Cryptopolitik and the Darknet (Moore & Rid via Vice, 2016). E não é caso isolado: a Recorded Future rastreou cerca de 55.000 endereços .onion, dos quais só uns 8.400 ficavam ativos a qualquer momento (CyberScoop, 2019). Dois levantamentos independentes, a mesma conclusão. Coloque esses milhares perto das centenas de milhões de páginas da web aberta, e o “iceberg” vira uma pedrinha.

E o outro lado dessa moeda? A dark web também abriga privacidade e jornalismo. O SecureDrop, sistema de denúncia anônima da Freedom of the Press Foundation, roda sobre o Tor e é usado por Guardian, New York Times e ProPublica. O NYT (2017) e a BBC mantêm espelhos .onion para driblar a censura no Irã, na China e no Vietnã. Por isso vale, desde já, aprender a monitorar se seus dados aparecem em vazamentos.

Como o Tor mantém o anonimato?

O Tor embrulha a sua conexão em várias camadas de criptografia e a faz saltar por três computadores voluntários. O truque é o desenho: nenhum deles conhece, ao mesmo tempo, quem é você e para onde você vai. É a mesma ideia de camadas de criptografia, só que aplicada ao roteamento.

O nome técnico é onion routing, roteamento em cebola. O seu programa monta um circuito de três relays: guarda (entrada), meio e saída. A mensagem é cifrada três vezes, uma camada sobre a outra. Cada relay descasca só a sua camada, daí a cebola, e enxerga apenas o próximo salto.

Cada relay guarda um pedaço do segredo. A guarda sabe quem é você, mas não o destino. A saída sabe o destino, mas não sabe quem é você. O meio é cego para os dois. Nos sites .onion, o tráfego nem chega a usar relay de saída: ele termina dentro da própria rede, como uma criptografia que só as pontas abrem.

É justamente aí que o Tor se separa de uma VPN, que é um salto só: na VPN, um único operador sabe quem você é e o que você acessa.

A escala da rede ajuda a proteger. Quando conferi o painel do Tor Project para este guia, a rede girava em torno de 2 milhões de usuários por dia e perto de 8.000 relays voluntários espalhados pelo mundo. Quanto mais gente e mais relays no meio, mais difícil fica ligar um ponto ao outro.

Acessar a deep web ou a dark web é crime?

Não. Você navega na deep web o dia inteiro: seu banco, seu e-mail, sua intranet. Acessar a dark web ou usar o Tor também não é crime no Brasil. O que configura crime é a conduta: comprar itens ilegais, acessar conteúdo criminoso. A ferramenta, sozinha, é neutra.

Este guia não ensina a acessar a dark web, e isso é de propósito. O nosso foco é entender e se proteger, não navegar. O valor prático de conhecer o tema não está em “entrar”, está em enxergar de onde vem o risco de verdade para os seus dados.

A tabela do início já dava a pista. O Tor protege um jornalista, um ativista ou um denunciante exatamente da mesma forma que dá cobertura a um criminoso. Ilegal é o ato, não a rede. O SecureDrop e os espelhos .onion do NYT e da BBC provam esse uso legítimo todos os dias.

Mas existe uma pergunta mais útil do que “é crime?”. É esta: “como os meus dados vão parar lá, e o que eu faço a respeito?”. É o que a maioria das pessoas realmente quer saber. E, felizmente, é o que você mais consegue controlar.

Como proteger seus dados de vazar para a dark web

Você não precisa entrar na dark web para ser afetado por ela. O que chega lá são credenciais vazadas de serviços que você usa. Então a defesa não é “ficar longe”, porque você já está por perto. A defesa é fechar as portas que transformam um vazamento em invasão.

O tamanho do problema assusta. Em 2025, cerca de 425,7 milhões de contas foram expostas no mundo, com o Brasil entre os dez países mais afetados (Surfshark, 2026). Essas credenciais vazadas circulam em fóruns da dark web. É por isso que o risco chega até quem nunca abriu o Tor na vida.

A boa notícia: três hábitos simples blindam a maior parte desse risco.

Com esses três hábitos, a dark web deixa de ser um bicho-papão abstrato. Ela vira o que sempre foi na prática: uma consequência de vazamentos, e não um lugar aonde você vai. E consequência de vazamento é coisa que você controla, uma conta de cada vez.

Deep web e dark web: o essencial em 3 pontos

Se a memória guardar pouco deste guia, que guarde isto:

• São três camadas, não duas. Surface (indexada), deep (atrás de login, onde você vive) e dark (fração minúscula e anônima). Sua conta de Gmail já é deep web;
• O “96% da internet” é um mito de 2001. O número de Bergman confunde deep com dark e mede uma web que não existe mais. A dark web tem milhares de sites, não bilhões;
• O risco real é o dado vazado, não “entrar”. O que aparece na dark web são credenciais de serviços que você usa. A defesa é senha única, 2FA e monitoramento.

Para continuar, a trilha de Segurança Digital é o próximo endereço. Se ainda não ativou, comece pela autenticação de dois fatores. E confira agora, de graça, se as suas senhas já vazaram.

Perguntas frequentes

Qual a diferença entre deep web e dark web?

Deep web é todo conteúdo atrás de login, como e-mail, banco e intranet. É legal e enorme; a sua conta de Gmail já é deep web. Dark web é uma fração minúscula da deep web, acessível só por redes de anonimato como o Tor, e mistura usos legítimos com atividade ilegal.

Deep web é crime? É ilegal acessar a dark web?

Não. Você usa a deep web todo dia, sem cometer crime algum. Acessar a dark web ou o Tor também não é crime no Brasil. O que pode ser crime é a conduta: comprar itens ilegais ou acessar conteúdo criminoso. A ferramenta, em si, é neutra e tem usos legítimos.

A deep web é mesmo 90% da internet?

É um número frágil. A estimativa nasceu em 2001, com Bergman, mede uma web que não existe mais e confunde deep web (enorme) com dark web (minúscula). Não há medição confiável e atual do tamanho relativo dessas camadas. Todo texto que crava “96%” apenas repete um dado obsoleto.

Como meus dados vão parar na dark web?

Por vazamentos. Quando um serviço é comprometido, as credenciais expostas circulam em fóruns da dark web. Por isso o essencial é usar senha única por conta, manter o 2FA ligado e checar vazamentos em ferramentas como Have I Been Pwned ou Mozilla Monitor. Assim, um vazamento não vira invasão.