VPN é seguro? Quem consegue ver o quê

• Sua rede local e seu provedor de internet (a internet de casa, o Wi‑Fi do trabalho ou da faculdade, o Wi‑Fi do café): veem que o seu aparelho está conectado a um servidor, quando e quantos dados passaram. Não veem os domínios que você visita nem o conteúdo.
• A operadora da VPN: vê o seu IP de origem, os domínios ou endereços que você acessa, os horários e o volume. O conteúdo dentro dos sites HTTPS — páginas, senhas, conversas, dados de pagamento — fica invisível para ela.
• Os sites que você visita: veem o IP de saída em vez do IP da sua casa. Mas, depois que você faz login, o site sabe quem você é, e os cookies do navegador continuam identificando você.
• Os programas no aparelho: o que seus aplicativos, o teclado e as extensões do navegador conseguem ver não tem nada a ver com a VPN e é igual com ela ligada ou desligada.

Hoje quase todo site e aplicativo usa HTTPS: uma segunda camada de criptografia entre o seu aparelho e o site, com as chaves apenas nas duas pontas. O servidor da VPN só repassa esses dados criptografados e não consegue abri-los. A senha do banco, o texto de um e-mail e as suas mensagens aparecem para a operadora da VPN do mesmo jeito que aparecem para o provedor de internet: como dados cifrados.

O que continua visível é o que está escrito no envelope: qual domínio, em que horário, quantos dados. Sem VPN, quem vê isso é a sua rede local e o seu provedor; com VPN, é a operadora. A VPN transfere essa visão de uma parte para outra, e por isso a escolha da operadora é o que mais pesa.

O conteúdo só fica visível em dois casos. Um é o site que ainda usa HTTP sem criptografia, que a barra de endereço marca como “Não seguro”. O outro é um certificado raiz instalado no seu aparelho por outra pessoa, que permite a ela descriptografar o HTTPS. É desse segundo caso que você precisa se proteger, e a verificação mais abaixo mostra onde olhar.

Estas três perguntas resolvem quase tudo. Para saber como verificar cada uma e o que fazer se um aplicativo suspeito já estiver instalado, veja Como reconhecer um aplicativo de VPN arriscado, que lista dez sinais que você mesmo pode conferir.

• Quem opera o serviço: dá para encontrar a empresa responsável, há quanto tempo ela funciona, existe um suporte que responde e a política de privacidade diz exatamente o que é guardado? A operadora passa a enxergar por onde você navega, então a confiabilidade dela vem em primeiro lugar.
• Qual aplicativo você instalou: um cliente padrão baixado da loja de aplicativos ou do site do desenvolvedor (Cisco, OpenVPN, Hiddify, Tailscale e similares) pode ser verificado. Um instalador repassado em grupo de conversa ou em site de compartilhamento de arquivos, ou um serviço que só funciona com o aplicativo próprio dele, não pode.
• Quais permissões ele pediu: uma VPN precisa de uma única permissão, a de criar o túnel. Contatos, SMS, fotos, localização ou um pedido para instalar e confiar num certificado vão além de qualquer coisa que uma VPN precise.

Um aplicativo de VPN no iPhone roda dentro da área isolada do sistema. A única coisa que ele recebe é a capacidade de criar um túnel VPN, e o aviso “Deseja Adicionar Configurações de VPN” na primeira conexão é a etapa normal. Ele não consegue ler dados de outros aplicativos, suas fotos ou suas mensagens, a não ser que você autorize isso separadamente.

No iPhone, três coisas merecem atenção: qualquer coisa que peça para instalar um perfil e confiar num certificado; aplicativos instalados fora da App Store por assinatura corporativa ou gerenciamento de dispositivo; e um celular fornecido e gerenciado pela empresa ou pela escola, em que o administrador enxerga mais do que qualquer VPN. Abra Ajustes → Geral → VPN e Gerenciamento de Dispositivo e confira se você reconhece todos os itens que aparecem ali.

Quanto a ser monitorado: a sua operadora de celular vê que você está usando uma conexão criptografada e para qual servidor ela vai, mas não os sites nem o conteúdo dentro dela. A operadora da VPN vê os domínios e os horários. Nenhuma das duas vê o conteúdo HTTPS.

No iPhone, o LeoTun usa clientes oficiais da App Store — o próprio aplicativo da Cisco para a forma Cisco e o Hiddify para a forma Hiddify — e nunca pede para você instalar certificado. Se eles não aparecerem na loja, veja o que fazer quando o iOS não consegue instalar um aplicativo.

Existem dois tipos de grátis. Software gratuito — clientes de código aberto como OpenVPN, Hiddify e Tailscale — não custa nada e pode ser verificado. Um serviço gratuito é outra história: servidores e banda custam dinheiro, e um serviço que não cobra de você recupera esse custo de outra forma, normalmente com anúncios, coletando e vendendo dados de uso ou usando o seu aparelho como saída para outras pessoas.

Por isso, avalie uma VPN grátis pelo que a mantém funcionando e depois aplique as três perguntas acima. Para qualquer coisa que envolva login, pagamento ou trabalho, use um serviço cuja operadora você consiga identificar. Uma comparação mais completa está em VPN para a China: grátis ou paga?

1. Origem: o aplicativo veio de uma loja de aplicativos ou do site do desenvolvedor? Se o instalador veio de um grupo de conversa, de um site de compartilhamento ou de um QR code, reinstale o mesmo cliente pelo canal oficial.
2. Permissões: abra os ajustes do sistema, veja o que foi concedido ao aplicativo e desligue tudo, menos a própria VPN. Ele deve continuar funcionando.
3. Certificados e perfis: no iOS, Ajustes → Geral → VPN e Gerenciamento de Dispositivo; no Android, Configurações → Segurança → Criptografia e credenciais → Credenciais confiáveis → Usuário. Remova qualquer item que você não reconheça e desinstale o programa que o colocou ali.
4. Saída: depois de conectar, abra uma página que mostre o seu IP e confirme que é a região que você escolheu. Em seguida, faça um teste de DNS como explicado em Vazamento de DNS e envenenamento de DNS.
5. HTTPS: abra o site do seu banco ou do seu e-mail e clique no cadeado. O emissor do certificado deve ser uma autoridade certificadora comum. Se o navegador avisar sobre o certificado, pare por aí.
6. Uso em segundo plano: se o aplicativo envia muitos dados mesmo parado e a bateria passa a acabar bem mais rápido, pare de usá-lo e escolha outro.

A VPN protege o caminho: quem está no mesmo Wi‑Fi, a rede local e o seu provedor não conseguem ver aonde você vai. A segurança dentro do aparelho e dentro das suas contas vem das atualizações do sistema, de programas de fontes confiáveis e de bons hábitos. Os itens abaixo continuam nas suas mãos, com ou sem VPN.

• Phishing (golpes de página falsa): páginas de login falsas, falsos atendentes, links de prêmio falsos. Se você mesmo digita a senha, o túnel criptografado a entrega fielmente. Leia o domínio antes de digitar.
• Malware: um vírus no aparelho, um programa pirata com porta dos fundos ou uma extensão de navegador de origem desconhecida pega os seus dados antes mesmo de eles entrarem na VPN.
• Contas logadas: entre no WeChat, no Google ou no Taobao e a plataforma sabe que é você, seja qual for o IP de saída. A VPN muda o seu endereço, não a sua identidade.
• Senhas fracas e repetidas: um site vaza e os outros abrem com a mesma chave. Use senhas próprias para as contas importantes e ative a verificação em duas etapas.
• As informações que você entrega: o que você publica, os formulários que preenche e o acesso à localização e aos contatos que concede aos aplicativos.

• Os clientes são as versões oficiais e de código aberto da Cisco, OpenVPN, Hiddify e Tailscale, espelhadas sem nenhuma modificação. Você pode trocar a cópia baixada aqui pela do canal oficial a qualquer momento.
• Todos os protocolos são padrão, então você mesmo pode capturar o tráfego e inspecioná-lo.
• O cadastro pede só um e-mail: sem número de telefone e sem verificação de identidade.
• Guardamos apenas as informações necessárias para a cobrança. Não registramos os sites que você visita, não inspecionamos o tráfego, não injetamos anúncios e não vendemos dados.
• Nenhum certificado para instalar e nenhum pedido de acesso a contatos ou localização.