Segurança no Wi-Fi Doméstico: O Que Protege de Verdade

Procure “como deixar meu Wi-Fi seguro” e você vai receber uma enxurrada de dicas. Esconda o nome da rede. Ative o filtro de MAC. Troque a senha toda semana. O problema é que quase tudo isso é teatro de segurança: dá trabalho para você e não trava um invasor de verdade.

No Brasil, 83% dos lares têm internet, e o Wi-Fi está em praticamente todo lar conectado. São 95% dos domicílios conectados usando a rede sem fio (TIC Domicílios 2024). Mesmo assim, o roteador costuma ser o aparelho mais esquecido da casa. Ninguém o abre depois de instalar.

Este guia faz a triagem: o que é ruído e o que realmente protege. O foco aqui é a sua rede de casa, aquela que você configura. A rede que você não controla — o Wi-Fi do café, do aeroporto — é outra história, e é onde entra a VPN.

Resumo rápido: A maioria das “dicas de Wi-Fi” não protege nada. Esconder o nome da rede e filtrar MAC são teatro — o invasor contorna em minutos. O que protege de verdade cabe em quatro itens: WPA3 (ou WPA2 atualizado) com senha forte, trocar a senha de admin do roteador (a que quase ninguém troca), manter o firmware atualizado e usar rede de convidados para visitas e dispositivos inteligentes. Detalhe contraintuitivo: contra falhas como o KRACK, trocar a senha do Wi-Fi não adianta — atualizar os aparelhos, sim.

O que um vizinho ou invasor consegue fazer na sua rede Wi-Fi?

Menos do que o medo sugere, se a rede está bem configurada. Numa rede com WPA2 ou WPA3 atualizado e senha forte, entrar já é difícil. A senha não trafega pelo ar de um jeito que dê para capturar e testar à vontade. E mesmo alguém dentro da rede esbarra em outra camada: o HTTPS mantém o conteúdo dos sites cifrado.

Vale ser honesto sobre o limite. O HTTPS protege o que você digita, não para onde você vai. Uma pessoa na sua rede poderia ver que você acessou o site do banco, não a sua senha nem o saldo. É proteção real, mas não é bala de prata — como todo cadeado, é necessário, não suficiente.

Então onde está o risco de verdade? Não é a bisbilhotice do tráfego. É a sequência: alguém entra na rede porque a senha é fraca. Assume o roteador porque a senha de administrador nunca foi trocada, e aí redireciona você. Com o roteador na mão, dá para apontar seu navegador para páginas falsas que imitam as verdadeiras.

Repare na diferença de alvo. O ataque interessante não é ler o seu WhatsApp em tempo real — é virar dono do ponto por onde tudo passa. Por isso as prioridades a seguir miram o acesso à rede e o controle do roteador. A criptografia do tráfego, o HTTPS já cobre.

WPA2 ou WPA3: qual protege melhor o seu Wi-Fi?

O WPA3 protege melhor, e é o padrão que você deve ativar se o roteador oferecer. Lançado pela Wi-Fi Alliance em 2018, ele troca o antigo aperto de mão por um novo, o SAE (também chamado de Dragonfly). Esse mecanismo resiste a ataques de dicionário offline — a técnica de gravar a conexão e testar milhões de senhas depois, com calma.

O WPA3 ainda traz forward secrecy. Em português, sigilo futuro: se um dia a senha vazar, o tráfego que já passou continua protegido, porque cada sessão usou uma chave própria. É o mesmo princípio que o protocolo HTTPS moderno adota para blindar conexões antigas contra uma chave descoberta no futuro.

E o WPA2, ainda dá conta? Sim, desde que atualizado e com senha forte. Mas o WPA2 tem um histórico. Em 2017, o pesquisador Mathy Vanhoef revelou o KRACK, uma falha no aperto de mão de quatro vias com dez brechas catalogadas. Ela permitia ler tráfego “antes assumido como seguro” — senhas, cartões, fotos.

Aqui está a lição mais contraintuitiva do tema. Contra o KRACK, “trocar a senha do Wi-Fi não previne o ataque”, avisou o próprio site da descoberta. A correção foi atualizar os aparelhos, não mexer na senha. É a prova de que firmware em dia vale mais do que a troca de senha que tanto se recomenda por aí.

	WPA	WPA2	WPA3
Ano	2003	2004	2018
Resiste a dicionário offline	Não	Não (sujeito a KRACK)	Sim (SAE)
Sigilo futuro	Não	Não	Sim
Recomendação	Trocar já	Ok, se atualizado	Ative se disponível

E por que “senha forte” significa, na prática, “senha longa”? Porque num ataque de dicionário offline cada caractere a mais multiplica o tempo de quebra. Calculei o tempo médio para descobrir uma senha por força bruta, usando letras minúsculas e números, a cerca de 1 milhão de tentativas por segundo — a ordem de grandeza de uma GPU forte contra o WPA2, que é lento de propósito:

Os números mudam com o hardware, mas a lição não: saltar de 8 para 12 caracteres transforma “dias” em “milênios”. É por isso que o comprimento vence a complexidade decorada — uma senha longa e única, guardada num gerenciador de senhas, protege mais que trocar “a” por ”@” numa senha curta.

Esconder o nome da rede e filtrar MAC protege? O teatro de segurança

Não protege. Essas são as duas dicas mais repetidas e mais inúteis do assunto. Elas dão a sensação de que você fez algo, sem colocar obstáculo real no caminho de quem sabe o que faz. Pior: costumam atrapalhar mais você do que qualquer invasor.

Esconder o nome da rede (o SSID) parece esconder a casa. Mas os seus próprios aparelhos denunciam o endereço. Eles ficam perguntando pela rede no ar, e qualquer programa de escuta comum lê esse nome em segundos. Você ganha o trabalho de digitar a rede na mão em cada aparelho novo, e o invasor não perde nada.

O filtro de MAC tem o mesmo destino. A ideia é liberar só os aparelhos de uma lista, pelo endereço físico de cada um. Só que esse endereço trafega em texto aberto e pode ser clonado por software em minutos. O atacante copia o MAC de um aparelho seu e entra como se fosse ele.

Nenhum dos dois é uma camada de segurança — são obstáculos de brinquedo. O tempo gasto neles rende muito mais aplicado nas quatro prioridades reais da próxima seção.

O que realmente protege o seu Wi-Fi? As 4 prioridades

Quatro medidas concentram quase toda a proteção real, e nenhuma delas é complicada. Elas miram os dois pontos que importam: quem entra na rede e quem manda no roteador. Se você fizer só estas, já está à frente da maioria dos lares.

A primeira é a base: use WPA3 ou WPA2 com uma senha de Wi-Fi longa e única. Nada de data de aniversário ou o nome do pet. Um gerenciador de senhas cria e guarda uma senha forte sem você precisar decorar. Essa é a fechadura da porta de entrada.

A segunda é a mais esquecida e talvez a mais importante: troque a senha de administrador do roteador. Não é a senha do Wi-Fi. É a que abre o painel de configuração, no endereço 192.168.0.1 ou parecido, e que em milhões de aparelhos ainda é “admin/admin”. Quem tem essa senha é dono do roteador inteiro.

As duas últimas fecham o cerco. Mantenha o firmware atualizado — é a atualização que corrige falhas como o KRACK, e muitos roteadores fazem isso sozinhos se você deixar ativado. E ligue a rede de convidados, uma segunda rede isolada para visitas e para dispositivos inteligentes.

Como deixar seu Wi-Fi seguro em uma tarde

Dá para resolver tudo numa sessão só, sem conhecimento técnico. Abra o painel do roteador pelo navegador, no endereço que costuma vir na etiqueta do aparelho. Comece pela senha de administrador: se for a de fábrica, troque agora. Esse é o buraco que mais encontro quando olho a rede de alguém.

Ainda no painel, confirme o padrão de segurança do Wi-Fi. Se houver WPA3, selecione; se não, deixe em WPA2 e capriche numa senha longa. Procure a opção de atualização de firmware e ligue a automática. Por fim, ative a rede de convidados e mande para ela a TV, as câmeras e as lâmpadas inteligentes.

No meu trabalho, separar a rede em faixas isoladas é rotina na segurança de servidores. O princípio em casa é o mesmo: se um aparelho cair, o estrago não se espalha. A senha de administrador padrão é a falha que mais vejo — e a mais fácil de corrigir.

Uma coisa sai do escopo de casa: a rede pública. No Wi-Fi do café ou do hotel, você não controla o roteador nem sabe quem mais está ali. É lá que a VPN faz sentido, criando um túnel próprio numa rede que não é sua. Em casa, com as quatro prioridades no lugar, ela é dispensável.

Wi-Fi doméstico: o que ligar e o que ignorar

O que fica de tudo isso são três frases:

• Ignore o teatro. Esconder o SSID e filtrar MAC dão trabalho e não travam ninguém. O tempo rende mais nas prioridades reais.
• Cuide das duas senhas. A do Wi-Fi protege quem entra; a de administrador do roteador protege quem manda. A segunda é a mais esquecida.
• Atualize antes de trocar senha. Contra falhas de protocolo, firmware em dia protege mais do que a troca de senha que todo mundo recomenda.

A trilha de Segurança Digital tem mais um trecho pela frente. Uma senha de Wi-Fi à prova de força bruta começa num gerenciador de senhas.

Perguntas frequentes

WPA2 ou WPA3: preciso trocar de roteador?

Se o seu roteador oferece WPA3, ative — é o padrão mais forte. Mas WPA2 com senha forte e firmware atualizado ainda é seguro para uso doméstico. Trocar de aparelho só por causa do WPA3 não é urgente; atualizar o que você já tem, sim.

Preciso trocar a senha do Wi-Fi de tempos em tempos?

Não é a prioridade. Se a senha já é longa e única, e a rede usa WPA2 ou WPA3 atualizado, trocar toda semana pouco agrega. Contra falhas de protocolo como o KRACK, quem resolve é a atualização do firmware, não a troca de senha.

Esconder o nome da rede (SSID) deixa o Wi-Fi mais seguro?

Não. O nome da rede vaza nas solicitações que os seus próprios aparelhos enviam, e qualquer programa de escuta comum descobre em segundos. Esconder o SSID atrapalha você na hora de conectar e não representa obstáculo real para um atacante.

Alguém na minha rede consegue ver tudo o que eu acesso?

Em WPA2 ou WPA3 atualizado, entrar já é difícil. E mesmo de dentro, o HTTPS mantém o conteúdo dos sites cifrado — a pessoa veria para quais domínios você vai, não o que digita. O risco maior é um roteador comprometido, não o tráfego em si.

O que é rede de convidados e por que usar?

É uma segunda rede Wi-Fi, separada da principal, que quase todo roteador oferece. Visitas e dispositivos inteligentes (câmera, lâmpada, TV) ficam nela, isolados do seu PC e celular. Se um desses aparelhos for invadido, o estrago não passa para o resto da rede.