Como verificar a alegação de no-logs de uma VPN: 5 testes

Como verificar a alegação de no-logs de uma VPN? Você não pode inspecionar os servidores dela, mas pode testar quanta evidência sustenta a promessa: leia o que a política realmente diz, procure um auditor identificado e um relatório, verifique o que essa auditoria cobriu e quando foi feita, procure testes no mundo real, como batidas policiais e processos judiciais, e verifique quem é o dono da empresa e como ela lidou com más notícias.

Isso importa porque uma VPN vê tudo o que o seu provedor de internet costumava ver. O guia da EFF para escolher uma VPN diz sem rodeios: embora uma VPN esconda sua navegação do seu provedor de internet, tudo fica visível para o provedor da VPN¹. E alerta que “Mesmo que uma empresa afirme não registrar dados de conexão, isso não é garantia de bom comportamento.”¹ Os cinco testes abaixo usam exemplos reais dos provedores que analisamos, incluindo um em que a alegação falhou.

O que “no logs” realmente significa?

Geralmente significa que a VPN não registra o que você faz pelo túnel nem nada que ligue uma conexão a você. Quase nunca significa que a empresa não armazena nenhum dado.

Há dois grandes tipos de registro. Os registros de atividade guardam o que você faz: sites visitados, consultas de DNS, arquivos baixados. Os registros de conexão guardam metadados da sessão: seu endereço IP real, o servidor da VPN usado, quando você se conectou e por quanto tempo, quantos dados trafegou. Uma VPN que não mantém registros de atividade, mas mantém registros de conexão, ainda pode ajudar alguém a ligar você a uma ação se essa pessoa souber o IP do servidor e o horário, que é exatamente o que aconteceu no caso da PureVPN abaixo. Toda VPN também guarda alguns dados de conta e de pagamento, porque precisa cobrar você.

Teste 1: O que a política de privacidade realmente diz?

Leia a política, não a página inicial. Uma política confiável lista o que é guardado, por quanto tempo e por quê; uma política fraca diz “no logs” em letras grandes e menciona “dados de conexão” ou “dados de uso” mais adiante, sem explicar.

A EFF observa que uma empresa de VPN pode registrar seus dados se não os excluir especificamente em sua política de privacidade¹. Portanto, procure exclusões explícitas. A política do Mullvad é um bom modelo do nível de detalhe esperado. Ela diz que há “nenhum registro de conexões, incluindo quando uma é feita, quando se desconecta, por quanto tempo, ou qualquer tipo de timestamp”², e nenhum registro de endereços IP ou de requisições DNS. Em seguida, lista o que ela guarda: o número da conta e a data de expiração, dados de pagamento que variam conforme a forma de pagamento e registros que as regras contábeis suecas exigem que ela armazene por sete anos. As contagens de conexões ativas por conta ficam apenas na memória. Você pode gostar ou não de cada item dessa lista, mas consegue vê-la.

Compare com o que o TorrentFreak descobriu em 2017. A PureVPN se anunciava como sem registros, mas sua política de privacidade dizia que seus servidores registravam automaticamente horários de conexão e uso de banda³. Quando o FBI investigou um homem de Massachusetts por uma campanha de perseguição on-line, a PureVPN conseguiu informar aos agentes que um cliente havia acessado o serviço a partir de dois endereços IP, um na casa dele e outro no local de trabalho. A política também prometia que não mantinha registros “que pudessem associar qualquer atividade específica a um usuário específico”. As duas afirmações eram tecnicamente verdadeiras e, juntas, bastaram para identificar um suspeito. A PureVPN disse depois que mudou a política e a submeteu a uma auditoria independente; sua página de no-log⁴ agora diz que ela não registra o IP de origem do usuário, o IP de VPN atribuído nem o horário de conexão.

Teste 2: Um auditor identificado verificou o serviço, e você consegue ler o relatório?

Uma alegação de auditoria vale pouco sem uma empresa identificada, uma data e um relatório ou resumo que você possa abrir. Se um provedor diz que foi "auditado de forma independente", mas não diz por quem, trate a alegação como não verificada.

A EFF descreve o valor disso: os provedores de VPN podem submeter seu serviço a auditorias de segurança de terceiros, com resultados que depois são tornados públicos¹. Vários dos provedores que analisamos fazem exatamente isso:

Alguns detalhes dessa tabela merecem atenção. A Proton reúne os cinco relatórios da Securitum, de 2022 a 2026, em uma única página¹¹, o que facilita conferir a afirmação por conta própria. Os dois primeiros trabalhos de asseguração da NordVPN, em 2018 e 2020, foram feitos pela PwC¹² antes de ela passar para a Deloitte. A própria página de no-logs da PIA lista auditorias da Deloitte em 2022, 2024 e 2025¹³, a mais recente concluída em 19 de dezembro de 2025, mas a PIA entrega os relatórios completos aos clientes¹⁴ em vez de publicá-los abertamente. A PureVPN é o caso mais complicado. Em 2020, ela publicou um post intitulado "KPMG Validates PureVPN No-Log Claims"¹⁵, mas a página de no-log⁴ atual descreve uma avaliação de fevereiro de 2023 feita por uma "well known audit firm" sem nome e chama a PureVPN de uma "always-on audit VPN" que a empresa pode verificar sem aviso prévio. Quando o auditor atual não é nomeado e o relatório não é público, não dá para avaliar o escopo, então dê menos peso a ele do que a um relatório que você pode ler.

Teste 3: O que a auditoria cobriu, e quando?

Verifique três coisas: se a auditoria olhou para um único momento ou para um período, se testou a alegação de no-logs ou a segurança em geral, e quão antiga ela é. As auditorias variam muito nos três pontos.

Um dia ou meses?

A maioria das auditorias de no-logs de VPNs são trabalhos de asseguração conforme uma norma chamada ISAE 3000, e muitas descrevem o estado das coisas em uma única data. O relatório da KPMG de 2025 sobre a ExpressVPN verificou como os controles de no-logs foram projetados em 28 de fevereiro de 2025⁷. O relatório da Deloitte sobre a PIA descreveu as configurações dos servidores em 30 de junho de 2022⁸. O auditor da Proton descreve a revisão de 2026 como pontual, cobrindo uma amostra de servidores⁵. Uma verificação pontual mostra que os controles estavam configurados corretamente naquele dia. Ela diz menos sobre se funcionaram assim o ano todo. Um trabalho que testa como os controles operaram ao longo de um período, muitas vezes chamado de "Type 2" na linguagem de asseguração, é uma evidência mais forte, então procure por essa expressão ao ler um relatório.

Auditoria de no-logs ou de segurança?

Elas respondem a perguntas diferentes. A auditoria da Cure53 de 2024 sobre a Mullvad testou a segurança de um servidor de teste OpenVPN e um WireGuard¹⁰ e do código de implantação, encontrou um problema médio e um baixo (ambos corrigidos) e nenhuma forma de comprometer o anonimato dos usuários. Isso é valioso e é evidência de como os servidores são construídos, mas não é um relatório intitulado como verificação de no-logs. Considere os dois tipos úteis e não confunda um com o outro.

Quão recente?

A única auditoria de no-logs da IVPN foi feita pela Cure53 em 2019, e a empresa diz que não vai encomendar novas auditorias de no-logs, confiando em auditorias de segurança anuais⁹. É uma posição defensável e declarada abertamente, mas significa que você depende de evidências mais antigas para essa alegação específica. Mesmo uma auditoria recente e sem problemas é um retrato de um momento: a EFF observa que não há certeza de que as práticas não mudem depois da auditoria, especialmente se houver coação¹ de um governo.

Teste 4: A alegação resistiu a um teste do mundo real?

A evidência mais forte é o que aconteceu quando alguém com poder legal bateu à porta: uma batida policial, a apreensão de um servidor ou uma intimação em um processo judicial. Esses casos são raros e você não pode provocá-los, mas, quando são de conhecimento público, valem mais do que qualquer auditoria.

• Mullvad, 2023. A polícia sueca chegou ao escritório da Mullvad em Gotemburgo com um mandado de busca para apreender computadores com dados de clientes. A Mullvad diz que esses dados não existiam¹⁶, e os policiais foram embora sem levar nada.
• ExpressVPN, 2017. As autoridades turcas apreenderam um servidor da ExpressVPN durante a investigação do assassinato do embaixador da Rússia. A ExpressVPN disse que a inspeção não rendeu nenhuma informação útil¹⁷ porque ela não mantém registros de conexão.
• Private Internet Access, 2016. Em um processo criminal na Flórida sobre ameaças falsas de bomba, o FBI intimou a PIA. Segundo a denúncia criminal, conforme noticiado pelo TorrentFreak, a única informação que a PIA pôde fornecer foi que os endereços IP usados eram da costa leste¹⁸ dos EUA. (O TorrentFreak revelou que a PIA era uma de suas patrocinadoras.) Em um julgamento federal por invasão em San Jose, em 2018, o diretor jurídico da PIA testemunhou que a PIA não mantém logs¹⁹ da atividade de internet dos clientes.
• Windscribe, 2025. Promotores gregos acusaram pessoalmente o CEO da Windscribe depois que um de seus servidores na Finlândia teria sido usado em uma invasão em 2023. O caso foi arquivado em 11 de abril de 2025²⁰, e a Windscribe afirmou que não tinha logs para entregar. A Windscribe também diz que guarda apenas a data do último uso da conta e o total de banda dos últimos 30 dias²¹.
• PureVPN, 2017: o contraexemplo. Como descrito no teste 1, os registros de conexão da PureVPN ajudaram o FBI³ a ligar um suspeito de perseguição online aos endereços IP de sua casa e de seu trabalho, apesar do marketing de no-logs.

Testes do mundo real também podem mostrar os limites da lei, e não do provedor. Em 2021, a Proton foi obrigada por uma ordem suíça vinculante, após um pedido da polícia francesa por meio da Europol, a registrar o endereço IP de um ativista francês²² no Proton Mail, seu serviço de e-mail. O CEO da Proton disse que a lei suíça não pode ser usada da mesma forma para forçar o registro de logs em VPN. O ponto para você é que um provedor só pode cumprir uma promessa de no-logs até onde a lei do país em que opera permitir. A EFF faz a mesma observação: o provedor estará sujeito às leis desses países, incluindo as leis que regem pedidos governamentais¹.

Teste 5: Quem é o dono e como a empresa lidou com más notícias?

Uma promessa de no-logs vale tanto quanto a empresa que a faz. Descubra quem é o dono do provedor, onde ele tem sede legal e com que rapidez e honestidade divulgou incidentes passados.

• Rapidez na divulgação. Um invasor acessou um servidor da NordVPN em um data center na Finlândia em março de 2018, por meio de um sistema de gerenciamento remoto inseguro deixado pelo provedor do data center. A NordVPN disse que o servidor não continha logs de atividade dos usuários, mas a invasão só se tornou pública em outubro de 2019²³, cerca de um ano e meio depois.
• Mudanças de propriedade. A Kape Technologies, antes chamada Crossrider, comprou a ExpressVPN em 2021²⁴ por cerca de US$ 936 milhões, e também é dona da Private Internet Access e da CyberGhost. Um novo dono herda a promessa de no-logs, e as auditorias anteriores à venda descrevem a empresa antiga.
• Incidentes recentes. Em 2026, a Surfshark revelou que um servidor de teste interno mal configurado havia sido acessado pela internet²⁵, junto com um servidor proxy. Ela diz que a infraestrutura de VPN de produção e os dados dos clientes não foram afetados. A forma como uma empresa explica um incidente como esse, e o que ela faz depois, diz muito.

Nenhum desses fatos descarta um provedor por si só. Vazamentos acontecem até com empresas cuidadosas, e mudanças de proprietário são normais. O que você precisa avaliar é se a empresa conta sobre isso com rapidez e clareza. A EFF acrescenta um teste humano: “Se a VPN foi criada por pessoas conhecidas na comunidade de segurança da informação, é mais provável que ela seja confiável.”¹

Como essas verificações se encaixam?

Nenhum teste isolado prova que uma VPN não guarda logs. Um provedor que passa nos cinco testes conquistou mais confiança do que um que apenas escreve “sem logs” em letras grandes.

Veja um jeito rápido de usá-los. Comece pelo teste 1: se a política for vaga, pare por aí. Depois procure um auditor identificado (teste 2) e confira o escopo e a data (teste 3). Pesquise o nome do provedor junto com “raid” (batida policial), “seizure” (apreensão), “subpoena” (intimação) ou “court” (tribunal) para encontrar evidências do teste 4, e leia o histórico de incidentes (teste 5). Nossas análises de Mullvad, Proton VPN, NordVPN, ExpressVPN, PIA, Windscribe e PureVPN reúnem essas evidências de cada provedor, com as fontes, e nosso comparativo de VPNs sem logs coloca todos lado a lado.

Se você ainda está decidindo se precisa mesmo de uma VPN, comece por Eu preciso de uma VPN?, e se está pensando em uma gratuita, leia antes VPNs gratuitas vs pagas: os serviços gratuitos são onde esses testes mais falham.