VPN: O Que Ela Protege de Verdade (e o Que Não)

A propaganda de VPN promete anonimato, invisibilidade e segurança total. A engenharia por trás promete uma coisa bem mais modesta, e bem mais útil, desde que você saiba qual é.

O problema é que quase todo conteúdo em português sobre VPN foi escrito por quem vende VPN. Nesse arranjo, a parte do “o que ela não faz” simplesmente não aparece.

Aqui não existe esse conflito: não indicamos nenhuma marca, não recebemos comissão e não há link de afiliado neste texto. O que vem a seguir: onde o túnel termina, o que fica de fora, quando a VPN vale e como julgar um provedor. E se você ainda não ativou a autenticação de dois fatores, comece por ela.

Resumo rápido: Uma VPN cria um túnel cifrado entre você e um servidor, e o túnel termina ali. Do servidor em diante, o tráfego segue normal. Por isso ela não deixa você anônimo: “enquanto a VPN esconde seus dados de navegação do provedor de internet, tudo fica visível para o provedor da VPN” (EFF). Você não elimina a confiança, você transfere. Ela ajuda de verdade a esconder seus destinos da operadora e em redes que você não controla. Mas não cobre golpe, senha fraca nem rastreamento por cookies e login. E o argumento do Wi-Fi público encolheu: 90,4% dos carregamentos de página já começam em HTTPS (Mozilla, 2025).

O que é VPN e o que ela faz na prática

A VPN cria um túnel cifrado entre o seu aparelho e um servidor que você escolhe. Quem está no meio do caminho, como a operadora ou o dono do Wi-Fi, vê só tráfego embaralhado. O site que você abre passa a ver o IP desse servidor, não o seu.

Seus dados saem do aparelho embaralhados e só voltam a fazer sentido no servidor. É criptografia aplicada a um trecho do caminho, não ao percurso inteiro.

Nenhum anúncio menciona o que vem agora: o túnel termina no servidor da VPN. Dali em diante, o tráfego segue como qualquer outro, e a proteção não acompanha você até o site.

Antes, a sua operadora via cada destino. Agora ela vê um destino só. Em troca, o servidor da VPN passa a enxergar tudo o que a operadora enxergava. Ninguém deixou de ver: mudou quem vê.

Vale uma pincelada nos protocolos, porque eles dizem muito sobre confiança. O paper original do WireGuard, de 2017, descrevia menos de 4.000 linhas de código (WireGuard). O projeto se apresenta como revisável por uma única pessoa, ao contrário dos colossos IPsec e OpenVPN, cujas bases de código são tarefa esmagadora até para equipes grandes (WireGuard). Detalhe de rigor: o número de linhas do OpenVPN que todo site repete não tem fonte primária.

A VPN te deixa anônimo?

Não. Ela troca quem enxerga o seu tráfego, e só isso. A EFF é direta: a VPN não é uma ferramenta de anonimato. Nas palavras dela, “enquanto a VPN esconde seus dados de navegação do provedor de internet, tudo fica visível para o provedor da VPN” (EFF).

A ideia central deste guia cabe em uma frase: a VPN não elimina a confiança, ela transfere. Você tira a visibilidade da operadora e entrega a uma empresa que você provavelmente conhece muito menos.

A EFF acrescenta um ponto que a propaganda omite: o provedor de VPN também está sujeito a pedidos de autoridades, e muitos guardam tanta informação quanto um provedor de internet. A obrigação legal só muda de endereço.

A comparação com o Tor mostra a diferença estrutural. A VPN é um salto só, com um operador que sabe quem você é e o que acessa. Já o Tor usa camadas de criptografia e vários saltos: pelo menos três relays, desenhados para que nenhum saiba as duas coisas (Tor Project).

Característica	VPN	Tor	Proxy
Saltos até o destino	1 servidor	3 ou mais relays	1 servidor
Alguém sabe quem você é e o que acessa?	Sim, o provedor	Não, por design	Sim, o dono do proxy
Cifra o seu tráfego	Sim, até o servidor	Sim, uma camada por relay	Muitas vezes não
Velocidade	Perde pouco	Perde bastante	Varia muito
Ponto único de confiança	Sim	Não	Sim
Serve melhor para	Esconder destinos da operadora	Anonimato e fuga de censura	Filtros simples, sem privacidade

A tabela deixa o critério mais claro. A questão não é qual ferramenta é “melhor”, e sim quantos pontos únicos de confiança cada uma cria. Isso não torna a VPN inútil: torna a escolha do provedor a decisão mais importante.

O que a VPN não protege

A VPN cuida do caminho, não do destino nem de você. Ela não impede golpe, não remove vírus, não conserta senha fraca e não evita que empresas reconheçam você depois do login. A própria EFF afirma que a VPN não é o passo de segurança mais importante (EFF).

O que fica de fora, item a item:

• Phishing e programas maliciosos: a isca chega igual dentro do túnel. Aprenda a identificar phishing, porque a VPN não filtra nada disso;
• Senha fraca ou já exposta: o túnel não muda uma vírgula. Senha vazada continua vazada, com ou sem VPN ligada;
• Vazamento do próprio serviço: se a loja onde você comprou expõe o banco de dados, a sua VPN é irrelevante;
• Cookies, login e impressão digital do navegador: ao entrar na sua conta, trocar de IP não esconde ninguém. Apagar cookies também não resolve, porque o que se analisa são as características do navegador (EFF Cover Your Tracks).

Existe ainda um limite técnico pouco divulgado. A falha TunnelVision (CVE-2024-3661, gravidade 7,6 no NVD) atinge Windows, Linux, macOS e iOS. Um servidor DHCP malicioso na rede local consegue desviar o tráfego para fora do túnel, com a VPN aparecendo como conectada na tela (Leviathan Security, 2024). O Android escapa, por não implementar a opção de DHCP explorada.

O que aconteceu com o tráfego desviado fecha o argumento deste guia. Mesmo fora do túnel, o conteúdo protegido por HTTPS continuou cifrado. Ou seja: era o HTTPS que estava segurando a barra o tempo todo. Por isso a ordem importa. Senha forte e única, verificação em duas etapas e sistema atualizado vêm antes da VPN.

Você ainda precisa de VPN no Wi-Fi público?

Muito menos do que em 2015. O argumento clássico do “café com Wi-Fi aberto” nasceu numa web sem criptografia. Hoje, 90,4% de todos os carregamentos de página já começam em HTTPS, e só 2,4% terminam em HTTP inseguro (Mozilla, 2025).

O número vem da telemetria de mais de 140 milhões de usuários do Firefox. Pela mesma medição, em 2014 menos de 30% das páginas carregavam em HTTPS; ao fim de 2024 já eram mais de 80%. A web se cifrou por baixo, e a ameaça do café encolheu junto.

A conversa muda de tom quando o recorte é o Brasil. Estamos em 87,1% de HTTPS, contra 96,8% da América do Norte e 95,7% da Europa. Isso significa que cerca de 1 em cada 8 carregamentos no Brasil ainda não é HTTPS. É mais de seis vezes a exposição da Dinamarca, que aparece com 98,0%. Como a medição vem de uma fonte só, e as médias por continente saem de uma seleção de países, leia os números como ordem de grandeza.

Na prática, o medo do Wi-Fi público encolheu bastante. Só que encolheu menos por aqui do que o discurso global sugere. Deixo o modo “somente HTTPS” ligado no navegador há meses. O aviso de página insegura ainda aparece de vez em quando, quase sempre em sites antigos e portais pouco atualizados.

No Wi-Fi de um aeroporto, quem protege você primeiro é o cadeado do navegador. A VPN entra como camada extra, e camada extra é bem-vinda. Ela só não é a proteção principal, como a propaganda faz parecer.

Quando a VPN realmente ajuda?

Ela ajuda de verdade em três situações. São elas: esconder seus destinos da operadora, usar uma rede que você não controla e contornar bloqueio geográfico ou censura. Fora disso, o ganho costuma ser pequeno diante da web já cifrada de hoje.

Esconder da operadora é o caso mais defensável, e vale entender o que está em jogo. Ela consegue enxergar cada domínio que você acessa. O que é obrigada a guardar por um ano são os registros de conexão: data, hora, duração e IP. A lista de sites visitados, não. O Marco Civil proíbe expressamente o provedor de conexão de guardar registros de acesso a aplicações (Lei 12.965/2014, arts. 13 e 14). Poder ver e ter registro são coisas diferentes, e é a primeira que a VPN endereça.

No Wi-Fi do hotel, quem administra a rede é alguém que você nunca viu. Vale o mesmo para evento, coworking e rede de visitantes. Nesses ambientes, a VPN reduz o que o dono da rede observa, com a ressalva do TunnelVision: numa rede hostil, o túnel pode não ser tão fechado quanto parece.

Sobra o bloqueio geográfico e a censura. O mecanismo é simples de descrever: a sua conexão passa a parecer vir do país onde fica o servidor. Muitos serviços proíbem isso nos termos de uso, e essa decisão é sua.

A VPN do trabalho é outra coisa

A confusão é quase universal. A VPN corporativa não nasceu para privacidade: ela existe para dar acesso à rede interna da empresa, de casa ou da rua. O administrador vê o tráfego por design, porque esse é justamente o objetivo. É engenharia de rede, o oposto de uma VPN de consumo.

Falta um ponto técnico. Se a VPN não tunelar as consultas de DNS, os nomes dos sites que você visita continuam vazando.

Como avaliar um provedor sem cair em propaganda?

Julgue por característica verificável, nunca por ranking pago. A EFF propõe seis eixos de avaliação, e nenhum deles é “qual é a mais rápida” (EFF). São perguntas simples, que qualquer pessoa consegue responder antes de instalar qualquer coisa no celular.

Dois pontos fora da lista da EFF valem a conferida: a jurisdição, porque o país de registro define quem pode exigir os dados da empresa, e o kill switch, que corta a conexão se o túnel cair.

E a VPN gratuita? O estudo acadêmico mais citado sobre o tema analisou 283 aplicativos de VPN para Android. O resultado: 18% sem nenhuma criptografia e 84% vazando IPv6. Outros 66% não tunelavam o DNS. E o contraste que mais incomoda: 67% se vendiam como ferramenta de privacidade, mas 75% deles carregavam bibliotecas de rastreamento de terceiros (Ikram et al., ACM IMC, 2016). O levantamento é de 2016, e vale lê-lo com essa data em mente.

O problema, porém, mudou de forma em vez de sumir. Uma investigação de 2025 encontrou mais de 20, entre as 100 VPNs gratuitas mais populares da App Store dos EUA em 2024, com indícios de propriedade chinesa não declarada. Algumas apareciam ligadas a uma empresa sancionada pelo governo americano. Em maio de 2025, 13 delas ainda estavam na loja da Apple e 11 no Google Play (Tech Transparency Project, 2025).

Falta um dado que deveria existir. A TIC Domicílios, pesquisa de referência do país sobre uso de internet, não traz indicador algum sobre VPN. Sem isso, os percentuais de “brasileiros que usam VPN” que circulam por aí vêm, quase sempre, de quem vende o produto. Fica a regra final: se o serviço é grátis e não explica como se paga, o produto provavelmente é você.

VPN: o essencial em 3 pontos

Três frases resumem a decisão que a propaganda transforma em promessa mágica:

• O túnel termina no servidor da VPN. A proteção não segue com você até o site;
• A VPN transfere a confiança, não elimina. A operadora deixa de ver, e o provedor da VPN passa a ver. A pergunta é em quem você confia mais;
• Ela não é o seu primeiro passo de segurança. Golpe, senha fraca e rastreamento por login seguem de pé com a VPN ligada. E, com 90,4% da web já em HTTPS (Mozilla, 2025), o cadeado do navegador faz boa parte do trabalho que a propaganda credita ao túnel.

Se quiser seguir, a trilha de Segurança Digital tem o resto do caminho. O passo com melhor retorno por minuto investido é a autenticação de dois fatores. E, para o outro lado da conversa sobre anonimato, a diferença entre deep web e dark web.

Perguntas frequentes

VPN deixa você anônimo?

Não. A EFF é explícita: a VPN não é uma ferramenta de anonimato. Ela apenas troca quem enxerga o seu tráfego. A sua operadora deixa de ver os destinos, e o provedor da VPN passa a ver tudo que ela veria. Anonimato real exige outra arquitetura, com vários saltos.

VPN grátis é confiável?

Desconfie. Se o serviço é gratuito, o dinheiro vem de algum lugar. Um estudo de 2016 com 283 aplicativos de VPN para Android achou 18% sem criptografia nenhuma e 75% deles com bibliotecas de rastreamento. Uma investigação de 2025 achou mais de 20, entre as 100 mais populares da App Store, com origem não declarada.

Preciso de VPN em casa?

Na maioria dos casos, não é a prioridade. Hoje, 90,4% dos carregamentos de página já começam em HTTPS. A EFF coloca senha forte, verificação em duas etapas e sistema atualizado antes da VPN. Em casa, o que rende mais é proteger o próprio roteador; a VPN faz sentido se o seu objetivo é esconder da operadora os destinos que você acessa.

VPN protege contra vírus e golpes?

Não. A VPN cuida do caminho, não do conteúdo. O phishing chega igual dentro do túnel, o arquivo malicioso baixado continua sendo baixado e a senha fraca continua fraca. Para esses riscos valem outras camadas: sistema atualizado, atenção a mensagens suspeitas e verificação em duas etapas.

VPN é ilegal no Brasil?

Usar VPN é lícito. A tecnologia é a mesma que empresas usam há décadas para acesso remoto à rede interna. O que pode gerar problema é a conduta praticada com ela, ou a violação dos termos de uso de um serviço. A ferramenta, em si, é neutra.