Como impedir seu provedor de internet de ver os sites que você visita

Seu provedor de acesso à internet sabe quais sites você visita. Não o conteúdo exato das páginas (se o site usa HTTPS), mas os nomes de domínio: ele sabe que você visitou determinado site de saúde, determinado fórum, determinado serviço de streaming, a que hora e por quanto tempo. Essas informações passam pelos servidores DNS dele e pelos metadados das suas conexões. Na maioria dos países, os provedores são legalmente obrigados a reter esses dados por um período definido. No Brasil, o Marco Civil da Internet exige a guarda dos registros de conexão por um ano.

Isso não é paranoia, é o funcionamento normal da rede. Quando você digita um endereço no navegador, seu dispositivo envia uma consulta DNS ao servidor do seu provedor para traduzir o nome de domínio em endereço IP. Essa consulta é enviada em texto puro, sem criptografia, e seu provedor a registra. Mesmo que o conteúdo da página esteja criptografado via HTTPS, o provedor vê o nome do site que você solicita. É como enviar uma carta em um envelope opaco: o carteiro não pode ler o conteúdo, mas vê o endereço do destinatário.

O que seu provedor vê exatamente

Para se proteger bem, primeiro é preciso entender o que o provedor pode e não pode ver:

O que ele vê: os nomes de domínio que você visita (via consultas DNS), os endereços IP dos servidores aos quais se conecta, os timestamps de cada conexão, o volume de dados trocado, e em alguns casos o SNI (Server Name Indication), um campo não criptografado na negociação TLS que revela o nome do site mesmo sem passar pelos DNS do provedor.

O que ele não vê (se o site usa HTTPS): o conteúdo das páginas, as credenciais que você digita, as mensagens que envia, os arquivos que baixa. HTTPS criptografa o conteúdo, mas não os metadados de conexão.

A distinção é importante. Saber que você visitou um site de consulta médica às 3h da manhã já é informação sensível, mesmo que o provedor não saiba qual página exata você consultou.

Trocar de servidor DNS: o primeiro passo

O método mais simples e rápido para impedir seu provedor de ver suas consultas DNS é parar de usar os servidores DNS dele. Por padrão, seu dispositivo usa os DNS da operadora. Cada vez que visita um site, a consulta passa pelos servidores deles, e eles registram.

Ao trocar de servidor DNS, você envia suas consultas a um terceiro (Cloudflare, Google, Quad9) em vez do seu provedor. Mas atenção: se trocar o servidor DNS sem ativar a criptografia, suas consultas ainda trafegam em texto puro pela rede. Seu provedor não as processa mais, mas pode interceptá-las em trânsito.

Para que a mudança seja realmente eficaz, é preciso usar um DNS criptografado. Dois protocolos existem:

DNS over TLS (DoT) criptografa as consultas DNS via protocolo TLS na porta 853. É o protocolo usado pela função "DNS privado" do Android 9+. Você insere um hostname como one.one.one.one (Cloudflare) ou dns.google e todas suas consultas são criptografadas. Seu provedor vê que você se comunica com um servidor DNS externo na porta 853, mas não consegue mais ler o conteúdo das consultas.

DNS over HTTPS (DoH) criptografa as consultas DNS via HTTPS na porta 443, a mesma porta do tráfego web normal. A vantagem: as consultas DNS são indistinguíveis do tráfego web comum. O provedor nem consegue ver que você está fazendo consultas DNS separadas. Firefox, Chrome, Edge e Brave suportam DoH em suas configurações.

Os principais servidores DNS criptografados:

O problema do SNI: o DNS nem sempre basta

Mesmo com DNS criptografado, seu provedor pode ainda ver os sites que você visita em alguns casos. Quando seu navegador se conecta a um servidor HTTPS, ele envia o nome do site em texto puro em um campo chamado SNI (Server Name Indication) durante a negociação TLS. Esse campo permite ao servidor saber qual certificado SSL apresentar quando hospeda vários sites no mesmo endereço IP.

O provedor que inspeciona os metadados das suas conexões pode ler esse campo SNI e ver o nome do site, mesmo que você use DNS criptografado. É uma falha conhecida, e a solução se chama ECH (Encrypted Client Hello), anteriormente conhecido como ESNI. O ECH criptografa o campo SNI, tornando impossível para o provedor ver o nome do site durante a negociação TLS.

O deployment do ECH está em andamento. A Cloudflare o ativa em seus servidores, o Firefox suporta quando combinado com DoH, e o Chrome está trabalhando nisso. Mas o ECH só funciona se o servidor do site visitado o tiver ativado do seu lado. Em 2026, a cobertura avança mas ainda não é universal.

Usar uma VPN: a solução mais completa

Uma VPN (Virtual Private Network) cria um túnel criptografado entre seu dispositivo e um servidor do provedor VPN. Todo seu tráfego de internet passa por esse túnel, incluindo consultas DNS, metadados de conexão e conteúdo. Seu provedor não vê mais nada além de uma coisa: que você está conectado a um servidor VPN. Ele não sabe quais sites visita, que conteúdo consulta, nem quais serviços usa.

É a solução mais eficaz para ocultar sua atividade do provedor, mas tem implicações importantes:

Você desloca a confiança, não a elimina. Seu provedor não vê mais seu tráfego, mas seu provedor VPN vê. Você substitui uma entidade que te monitora por outra. A escolha da VPN é crítica. Priorize provedores que tiveram sua política de não conservação de logs auditada por empresas independentes (Mullvad, IVPN, ProtonVPN publicaram auditorias). Evite VPNs gratuitas: se não cobram nada, o produto é você.

Impacto no desempenho. Uma VPN adiciona um intermediário entre você e os servidores que visita. A latência aumenta (geralmente de 10 a 30 ms dependendo da distância do servidor VPN), e a velocidade pode diminuir, especialmente se o servidor VPN estiver saturado ou geograficamente distante. Para navegação web, raramente se percebe. Para gaming online ou videoconferência, pode ser sentido.

Protocolos VPN. WireGuard é o protocolo mais moderno e rápido, com código mínimo e desempenho excelente. OpenVPN é mais antigo mas comprovado e amplamente suportado. Evite PPTP, obsoleto e inseguro. A maioria dos provedores VPN modernos usa WireGuard por padrão.

Kill switch. Verifique se seu cliente VPN possui kill switch (interruptor de emergência). Essa função corta automaticamente sua conexão à internet se a VPN desconectar, evitando que seu tráfego fique brevemente exposto sem proteção. Sem kill switch, uma desconexão momentânea da VPN (troca de rede Wi-Fi, perda de sinal móvel) pode revelar sua atividade ao provedor.

Tor: anonimato máximo, com compromissos

Tor (The Onion Router) faz seu tráfego transitar por três relays sucessivos, cada um criptografando uma camada adicional. O primeiro relay vê seu endereço IP mas não seu destino. O último relay vê o destino mas não seu endereço IP. Nenhum relay vê as duas informações ao mesmo tempo. Seu provedor vê apenas que você está conectado à rede Tor, sem saber o que faz nela.

Tor oferece um nível de anonimato superior a uma VPN, mas com compromissos significativos:

Lentidão. O triplo salto através de relays voluntários torna a navegação notavelmente mais lenta que com VPN. Streaming de vídeo é praticamente inviável, e até navegação web básica pode ser trabalhosa.

Suspeita. O simples fato de se conectar ao Tor pode chamar atenção em certos contextos. Alguns provedores ou redes corporativas bloqueiam conexões Tor, e em alguns países, usar Tor é monitorado de perto. Existem "bridges" do Tor para contornar esses bloqueios, mas sua configuração é mais técnica.

Vazamentos potenciais. Se usar Tor para navegar em sites normais (não .onion), o relay de saída pode ver seu tráfego não criptografado. Certifique-se de visitar apenas sites HTTPS quando usar Tor. O navegador Tor inclui proteções padrão, mas configurá-las incorretamente ou instalar extensões pode comprometer seu anonimato.

HTTPS em todo lugar: necessário mas insuficiente

HTTPS criptografa o conteúdo das trocas entre seu navegador e o servidor do site visitado. Sem HTTPS, seu provedor (e qualquer pessoa na rede) pode ver tudo que você faz no site: páginas visitadas, formulários preenchidos, arquivos baixados. Com HTTPS, o provedor só vê o nome de domínio (via DNS ou SNI), não o conteúdo.

Em 2026, mais de 95% das páginas carregadas no Chrome usam HTTPS. Navegadores modernos exibem um aviso quando um site não usa HTTPS. Se ainda encontrar sites em HTTP, evite inserir informações pessoais neles.

HTTPS é uma camada base indispensável, mas não oculta os metadados do provedor. Não esconde o nome do site que você visita, nem a frequência das visitas, nem o volume de dados trocado. Para esses metadados, é preciso combinar HTTPS com DNS criptografado ou VPN.

Combinar as proteções

Nenhum método sozinho cobre todos os ângulos. Estas são as combinações por nível de proteção:

Proteção básica: DNS criptografado (DoH ou DoT) + HTTPS. Seu provedor não vê mais suas consultas DNS. Pode ainda ver os IPs dos servidores aos quais se conecta e potencialmente o SNI, mas não consegue ler o conteúdo. É a configuração mínima recomendada para todos, e não custa nada.

Proteção intermediária: VPN de confiança + DNS da VPN. Todo seu tráfego é criptografado e passa pelo servidor VPN. Seu provedor só vê a conexão à VPN. O provedor VPN se torna o elo de confiança. É a opção mais prática para uso diário com bom equilíbrio entre privacidade e desempenho.

Proteção máxima: Tor + DNS criptografado + HTTPS. O triplo relay do Tor oculta tanto sua identidade quanto seu destino. A lentidão torna essa configuração inadequada para uso diário, mas é pertinente para pesquisas sensíveis ou contextos onde o anonimato é crítico.

O que esses métodos não protegem

Ocultar seu tráfego do provedor não te torna invisível online. Os sites que você visita te identificam por outros meios: cookies, impressão digital do navegador (fingerprinting), contas logadas (se estiver logado no Google e visitar um site que usa Google Analytics, o Google sabe que é você). Redes sociais e redes de publicidade te rastreiam entre sites usando trackers e pixels de rastreamento.

Para se proteger contra o rastreamento publicitário, é preciso combinar a criptografia do tráfego com um bloqueador de trackers (uBlock Origin no navegador, ou um DNS com filtragem como NextDNS ou AdGuard DNS) e boas práticas: navegar em modo privado para pesquisas sensíveis, usar containers de abas (Firefox Multi-Account Containers), limitar extensões instaladas, e deslogar de contas quando não precisa delas.

Seu provedor vê por padrão cada nome de domínio que você consulta. O DNS criptografado (DoH ou DoT) é o primeiro passo, gratuito e simples, para cortar essa visibilidade. Uma VPN vai além ocultando todo seu tráfego. Mas qualquer que seja o método escolhido, tenha em mente que você desloca a confiança, não a elimina: do provedor para o fornecedor DNS, ou do provedor para o fornecedor VPN. Escolha seus intermediários com cuidado.