O que é uma VPN e como ela funciona? Um guia em linguagem simples

Uma VPN (rede privada virtual) é um serviço que envia o seu tráfego de internet por um túnel criptografado até um servidor da empresa de VPN, que então o repassa ao site ou aplicativo que você está usando. Seu provedor de internet e a rede Wi-Fi em que você está só veem que você está conectado a esse servidor, e os sites veem o endereço IP do servidor em vez do seu.

Isso é realmente útil, mas bem menos do que a propaganda sugere. Uma VPN não deixa você anônimo, não impede a maior parte do rastreamento e não protege você de golpes. Ela transfere a tarefa de ver o seu tráfego de uma empresa (seu provedor de internet) para outra (o provedor da VPN). Este guia explica como ela funciona, o que ela esconde e de quem, os recursos que importam, o que ela não consegue fazer e como escolher uma, se você decidir que quer uma.

Como uma VPN funciona?

Seu dispositivo criptografa tudo o que envia e embrulha em pacotes endereçados ao servidor da VPN. O servidor desembrulha e descriptografa os pacotes, envia suas requisições à internet usando o próprio endereço IP e criptografa as respostas no caminho de volta até você.

O guia Surveillance Self-Defense da EFF explica de forma simples: com uma VPN, “todos os dados que você envia (como as requisições a servidores ao navegar na web) parecem se originar da própria VPN”, segundo seu módulo sobre como escolher uma VPN¹. Passo a passo:

1. Você se conecta. O aplicativo da VPN no seu celular ou computador e o servidor da VPN provam quem são um para o outro e combinam novas chaves de criptografia. As regras para isso formam o protocolo da VPN, como WireGuard ou OpenVPN (veja WireGuard vs OpenVPN).
2. Seu tráfego entra no túnel. O aplicativo direciona o tráfego de internet do seu dispositivo para uma interface de rede virtual. Cada pacote é criptografado e embrulhado dentro de um novo pacote endereçado ao servidor da VPN. Quem estiver no meio do caminho vê apenas dados embaralhados indo para um único endereço.
3. O servidor repassa o tráfego. No servidor da VPN, seu tráfego é descriptografado e encaminhado ao destino real. O site vê uma requisição vinda do endereço IP do servidor da VPN.
4. As respostas voltam pelo mesmo caminho. O site responde ao servidor da VPN, que criptografa a resposta e a envia pelo túnel até você.

O nome “rede privada virtual” vem do mundo corporativo, onde a mesma tecnologia permite que funcionários acessem os sistemas internos da empresa de casa como se estivessem no escritório. As VPNs de consumo reaproveitam a ideia, mas, em vez de conectar você a uma rede de escritório, conectam você à internet aberta por meio do servidor de outra pessoa.

O que uma VPN esconde, e de quem?

Ela esconde os sites que você visita da rede local e do seu provedor de internet, e esconde seu endereço IP real dos sites que você visita. Não esconde nada da própria empresa de VPN e pouco dos sites em que você faz login.

A última linha é a que mais importa. Nas palavras da EFF, "embora uma VPN oculte seus dados de navegação do provedor de internet, tudo fica visível para o provedor da VPN". Por isso, o mais importante em qualquer VPN é quem a administra, onde, e que provas existem de que ela não guarda logs. Tambem é por isso que este site compara provedores por auditorias e histórico, e não por recursos: veja a tabela comparativa e nosso guia para verificar uma promessa de no-logs.

O HTTPS, o cadeado na barra de endereço do navegador, já criptografa o conteúdo da maioria das páginas entre você e o site, com ou sem VPN. A orientação da FTC para consumidores diz que "a maioria dos sites usa criptografia para proteger suas informaçÔes" e que "por causa do uso generalizado da criptografia, conectar-se por uma rede Wi-Fi pública costuma ser seguro", conforme seus conselhos sobre Wi-Fi público². O que o HTTPS não esconde da rede é a quais sites você se conecta. A VPN esconde.

Como funciona a criptografia de uma VPN?

Os protocolos de VPN modernos usam o mesmo tipo de criptografia pública, já bem estudada, de sites seguros e aplicativos de mensagens: uma troca de chaves para combinar as chaves secretas e, depois, criptografia simétrica rápida para o tráfego em si, com uma verificação em cada pacote para detectar adulteração.

O WireGuard, protocolo que a maioria dos provedores já usa por padrão, fixa suas escolhas em vez de negociá-las: seu whitepaper⁴ descreve o Curve25519 para troca de chaves e o ChaCha20Poly1305 para criptografar e autenticar pacotes, transportados por UDP. O OpenVPN usa TLS, a mesma família de protocolos que protege o HTTPS. Ambos são fortes o bastante para que ninguém sensato ataque a criptografia; os pontos fracos realistas são o software ao redor, o servidor e a empresa que o opera.

Você não precisa entender a matemática. O que você deve verificar é se o provedor usa um protocolo consagrado (WireGuard, OpenVPN, IKEv2, ou um protocolo próprio que tenha sido publicado e auditado de forma independente) e não algo secreto. A Agência de Segurança Nacional dos EUA (NSA) e a CISA, em orientações de 2021 sobre como escolher e reforçar VPNs³ para organizações, orientaram os compradores a preferir produtos baseados em padrões em vez de proprietários.

O que são endereços IP e DNS, e por que importam?

Seu endereço IP é o número que a internet usa para enviar dados de volta a você, e ele revela seu provedor de internet e aproximadamente onde você está. O DNS é a consulta que transforma um nome como example.com em um endereço IP. Uma VPN deve cuidar dos dois, ou haverá vazamento.

Quando um site vê o endereço IP do servidor da VPN, ele não consegue saber de qual casa ou celular veio a requisição, e o palpite dele sobre sua localização passa a ser a do servidor. É assim que uma VPN faz você parecer estar em outra cidade ou país.

O DNS é o problema mais discreto. Toda vez que você abre um site, seu dispositivo primeiro pergunta a um servidor DNS onde encontrá-lo. Se essas consultas vão para o seu provedor de internet em vez de passar pelo túnel (um "vazamento de DNS"), seu provedor continua recebendo a lista dos sites que você visita. Os aplicativos de VPN confiáveis enviam o DNS pelo túnel, para os resolvedores do próprio provedor. Se você configurar uma VPN manualmente, por exemplo em um roteador, vale a pena conferir.

O que são kill switch e split tunneling?

Um kill switch bloqueia sua conexão com a internet se a VPN cair, para que nada saia sem proteção. O split tunneling faz o trabalho oposto: permite que você escolha aplicativos ou sites que não passam pela VPN.

• Kill switch. As conexões VPN caem por motivos comuns: o celular trocando do Wi-Fi para os dados móveis, o notebook saindo da suspensão, um servidor reiniciando. Sem kill switch, seu dispositivo segue em silêncio pela sua conexão normal. Com ele, o tráfego é interrompido até o túnel voltar. Se você usa uma VPN por privacidade e não por conveniência, ative esse recurso.
• Split tunneling. Algumas coisas funcionam mal por meio de uma VPN: aplicativos de banco que sinalizam endereços IP estrangeiros, impressoras e dispositivos de casa inteligente na sua própria rede, chamadas de vídeo em que cada milissegundo conta. O split tunneling envia esses itens diretamente, enquanto todo o resto passa pelo túnel. É conveniente, mas também significa que esses aplicativos não ficam protegidos.
• Multi-hop. Alguns provedores conseguem rotear você por dois servidores, muitas vezes em países diferentes, de modo que nenhum servidor isolado veja ao mesmo tempo seu endereço IP real e seu destino. É mais lento e é útil principalmente se você teme que um servidor específico esteja sendo monitorado.
• OfuscaçÔes. Redes de alguns locais de trabalho, escolas e países bloqueiam VPNs. Os modos de ofuscação disfarçam o tráfego da VPN como tráfego web comum. Cada provedor tem seu próprio nome para isso.

O que uma VPN não faz?

Uma VPN não torna você anônimo, não impede o rastreamento por cookies, logins ou fingerprinting e não protege você de phishing, golpes ou malware. Ela muda quem pode ver suas conexões, não o que você entrega.

• Não é anonimato. A EFF é direta: "Uma VPN não é uma ferramenta de anonimato." O provedor conhece seu endereço IP real e, em geral, seus dados de pagamento. Se você quer um anonimato mais forte, a EFF diz que "o Tor é uma solução melhor do que uma VPN".
• Não impede a maior parte do rastreamento. O mesmo guia da EFF¹ observa que "há muitas outras formas de as empresas rastrearem você, incluindo GPS, cookies da web, pixels de rastreamento ou fingerprinting". Se você está logado no Google, no Facebook ou na Amazon, eles sabem que é você, qualquer que seja o endereço IP. Um navegador ou extensão que bloqueia rastreadores faz mais por isso do que uma VPN.
• Não impede golpes. A FTC alerta que golpistas "criam sites falsos e os criptografam para fazer você pensar que são seguros quando não são". Uma página de phishing funciona igualmente bem com uma VPN.
• Ela não substitui a segurança básica. Atualizações de software, um gerenciador de senhas, senhas únicas e autenticação em dois fatores protegem você de muito mais ataques do que os que pessoas comuns realmente enfrentam.
• Não coloca você acima da lei. A EFF observa que "dependendo da jurisdição, um governo pode exigir esses dados ou emitir uma intimação para obtê-los" e que os provedores "também podem sofrer pressão de governos ou autoridades policiais para entregar informaçÔes".

Qual é a diferença entre uma VPN corporativa e uma VPN de consumo?

Uma VPN corporativa conecta você à rede privada da sua empresa para usar sistemas internos; uma VPN de consumo conecta você à internet pública por meio dos servidores do provedor. Elas usam tecnologia parecida para finalidades opostas.

A CISA diz que os servidores de VPN de acesso remoto "permitem que usuários externos façam um túnel até redes protegidas", em seu alerta sobre a orientação da NSA e da CISA³. Quando a VPN da sua empresa está ligada, a rede do seu empregador normalmente pode ver seu tráfego da mesma forma que seu provedor de internet veria, então não a trate como privada. Uma VPN de consumo como Proton VPN, Mullvad ou NordVPN é um produto à parte, que você paga (ou usa em um plano gratuito) para manter sua navegação longe da sua própria rede e do seu provedor.

Direito legal?

Na maioria dos países, incluindo os EUA, usar uma VPN é legal. Alguns governos as restringem ou proíbem, e qualquer coisa ilegal sem VPN continua ilegal com uma. Nada aqui é aconselhamento jurídico.

A EFF aconselha acompanhar "as políticas de países específicos sobre VPNs (como proibiçÔes de VPN)" se você viaja ou mora em um lugar com censura à internet. À parte isso, muitos serviços de streaming proíbem, em seus termos de uso, o uso de VPN para acessar o catálogo de outro país e bloqueiam ativamente servidores de VPN; é uma questão contratual, e não criminal, mas pode levar à suspensão da conta. Nosso guia de VPNs para streaming explica o que isso significa na prática, e o de VPNs para torrent explica por que uma VPN não altera a lei de direitos autorais.

O que uma VPN não faz?

Muita gente não precisa. Vale a pena ter se você usa com frequência redes em que não confia, não quer que seu provedor de internet veja quais sites você visita ou quer que os sites vejam outra localização. Não é uma ferramenta geral para "ficar seguro na internet".

Nossa resposta completa, com as situaçÔes em que ajuda e em que não ajuda, está em Preciso de uma VPN?. Se a dúvida for o custo, leia VPN gratuita ou paga e nossa lista de VPNs gratuitas que valem a pena.

Como escolher uma VPN?

Escolha a empresa antes dos recursos. Procure uma auditoria independente de no-logs, com nome, que você possa ler; um dono e uma jurisdição claros; um histórico que você possa verificar; um protocolo comum; e condiçÔes de reembolso que você entenda.

• Pergunte como ela ganha dinheiro. A EFF sugere perguntar: "Se a VPN não vende seu serviço, como ela mantém o negócio funcionando?" VPNs gratuitas sem modelo de negócio visível são as mais arriscadas.
• Leia a política de privacidade. A EFF alerta que "uma empresa de VPN pode registrar seus dados se não descartar isso especificamente em sua política de privacidade".
• Procure evidências, não slogans. Auditorias de empresas identificadas, batidas policiais ou casos judiciais que não encontraram nada e tratamento honesto de violaçÔes. Nosso ranking de no-logs classifica os provedores exatamente por isso.
• Confira o preço real. Os preços de destaque geralmente exigem um plano de um ou dois anos pago adiantado e renovam mais caros. Veja as VPNs confiáveis mais baratas.

Se você está escolhendo entre os grandes nomes, nossos comparativos diretos analisam provedor por provedor: NordVPN vs ExpressVPN, NordVPN vs Surfshark, Proton VPN vs NordVPN e Mullvad vs Proton VPN.