A detecção de VPN funciona através da verificação cruzada de cinco sinais: propriedade do bloco IP, impressão digital do handshake TLS (JA4), fuso horário do dispositivo versus geolocalização de IP, endereço local WebRTC e padrões comportamentais. Cada sinal é individualmente fraco (os provedores de VPN podem neutralizar qualquer um isoladamente), mas três ou mais sinais coincidentes fornecem detecção de alta confiança. A verificação mais barata é a propriedade do bloco IP; a impressão digital TLS JA4 é o sinal mais estável que os provedores de VPN não podem facilmente contornar.
Resumo: como detectar tráfego VPN
- Cinco camadas de deteção: Consultas isoladas de IP não apanham as VPNs modernas. A deteção real empilha cinco camadas: propriedade do bloco de IP, desvio de fuso horário, endereço local WebRTC, fingerprint TLS, incompatibilidade comportamental.
- Pontue nas cinco: Pontue nas cinco. Três em cinco a corresponder já dá uma VPN ou proxy de alta confiança.
- Mais barata versus mais cara: A camada mais barata é a propriedade do bloco de IP. A incompatibilidade comportamental custa mais, mas apanha os proxies mais sofisticados.
Sem tempo? Veja a deteção de VPN da cside. Cobre tudo o que se segue numa única implementação.
Por que a deteção de VPN é importante em 2026
A deteção de VPN evoluiu de um desafio técnico de nicho para um imperativo de negócio. Com as leis de verificação de idade a espalharem-se pelos estados dos EUA e o UK Online Safety Act a entrar em vigor, os proprietários de sites enfrentam agora responsabilidade legal quando menores acedem a conteúdo restrito, mesmo que esses visitantes usem VPNs para contornar restrições geográficas.
Do Texas ao Wisconsin ao Reino Unido, a mensagem dos legisladores é clara: detectar e gerir o tráfego VPN é da sua responsabilidade. Neste artigo, vamos examinar por que a deteção de VPN é importante, rever os fatores legislativos que criam pressão legal, explorar métodos técnicos de deteção e ajudá-lo a determinar a abordagem certa para o seu negócio. Quer esteja sujeito a leis de verificação de idade, restrições geográficas de conteúdo ou acordos contratuais de distribuição, este guia vai ajudá-lo a navegar pelo complexo panorama da deteção de VPN em 2026.
Não detectar VPNs pode violar legislações locais
Quando o Online Safety Act entrou em vigor no Reino Unido, houve da noite para o dia um aumento de mais de 700% nas pesquisas pelo termo VPN.
A Proton VPN registou um aumento de 1.400% nos registos.
Durante algumas semanas, este aumento repentino dominou as notícias.
Isto provocou inevitavelmente uma resposta dos legisladores. O estado americano do Wisconsin foi o primeiro a reagir, anunciando o Wisconsin Assembly Bill 105. O projeto de lei visa obrigar sites de conteúdo adulto a bloquear o acesso via VPN.
O projeto afirma: "A business entity that knowingly and intentionally publishes or distributes material harmful to minors on the Internet from a website that contains a substantial portion of such material shall prevent persons from accessing the website from an internet protocol address or internet protocol address range that is linked to or known to be a virtual private network system or virtual private network provider."
Ao abrigo do Louisiana's Act 440, a falha em verificar a idade (como permitir o acesso via VPN) abre caminho a ações civis. Os pais de um menor que conseguiu aceder a "conteúdo prejudicial" através de uma VPN podem processar o proprietário do site por danos, custas judiciais e honorários de advogado.
Outros estados dos EUA, como o Michigan e o Indiana, estão a adotar medidas semelhantes, com o Indiana a mover ações legais contra mais de 50 sites.
No Reino Unido, responsáveis governamentais estão a chamar às VPNs "uma brecha que precisa de ser fechada".
A conclusão aqui é clara: como proprietário de um site, é da sua responsabilidade detectar tráfego VPN e impedir o contorno da verificação de idade ou de bloqueios ao nível estadual.
Não detectar VPNs viola obrigações contratuais sobre direitos de distribuição
Quando distribuidores de conteúdo adquirem direitos sobre determinado conteúdo, esses direitos são geralmente limitados geograficamente. Quando os utilizadores viajam para o estrangeiro, o uso de VPN é comummente utilizado para continuar a ver as suas séries favoritas de casa. Quando os utilizadores querem ver uma série que não está disponível no seu país, usam frequentemente uma VPN para ter acesso a esse conteúdo.
Embora o utilizador faça isto sobretudo por conveniência, isto constitui uma violação dos direitos de distribuição, e em 2026 é cada vez mais comum que os estúdios de cinema apliquem técnicas rigorosas de prevenção de VPN para evitar estas violações.
Por que a verificação de idade se tornou um requisito legal
Sempre existiram, na prática, 2 versões da internet:
- A internet aberta e não autenticada. Relativamente anónima, com exceção de algumas técnicas de rastreio.
- A internet autenticada. Utilizadores que iniciam sessão com as suas credenciais. São visitantes conhecidos e o seu acesso está condicionado a eles.
Ao longo dos anos, os reguladores identificaram que certos tipos de conteúdo na internet aberta e não autenticada podem ser prejudiciais em idades de desenvolvimento. Isto levou à legislação que vemos hoje, exigindo que as empresas realizem verificação de idade dos visitantes. A verificação de idade é atualmente realizada de várias formas:
- Estimativa de idade facial usando Machine Learning.
- Verificação por cartão de crédito, para confirmar que o utilizador possui um cartão de crédito, o que indica que é provavelmente adulto.
- Verificação por documento de identidade com fotografia.
- Carteiras de identidade digital, partilhando apenas uma credencial de "maior de 18 anos" sem contexto adicional.
- API de Open Banking para verificar a idade do titular da conta bancária.
- Operadora de rede móvel, permitindo verificar a idade de um visitante com base no contrato com o fornecedor móvel.
- Estimativa baseada em e-mail, verificando o histórico de e-mail de um utilizador na internet para estimar a sua idade.
Alguns destes métodos são vistos como invasivos da privacidade e, como resultado, os visitantes do site acabam por usar uma VPN para contornar a restrição em vez de a cumprir.
Formas de detectar VPNs
Existem alguns métodos que podem ser usados para detectar VPNs. Alguns são rápidos e pouco rigorosos, outros são mais focados na precisão.
1. Deteções ao nível da rede e da aplicação
Os leitores mais técnicos poderão estar familiarizados com o modelo OSI. Existem 7 camadas numa aplicação de rede no modelo OSI.
Nas camadas 3, 4 e 7, vários elementos diferem entre ligações humanas diretas e ligações encaminhadas através de infraestrutura VPN. Investigar estas camadas produz evidências do uso de VPN. Por exemplo: incompatibilidades entre o fuso horário ao nível da máquina e a localização declarada, ou pacotes de rede suspeitos.
Uma revisão científica independente dos métodos de deteção de VPN concluiu que esta é a abordagem mais eficaz.
Impressão digital TLS JA4
O handshake TLS ocorre antes de qualquer troca de dados HTTP. Quando um navegador se conecta via HTTPS, envia uma mensagem ClientHello listando os conjuntos de cifras, a versão TLS, as extensões e os grupos de curvas elípticas suportados. JA4 (o sucessor do padrão JA3, desenvolvido pela FoxIO em 2023) converte esses parâmetros em uma impressão digital curta e estável.
O que importa é qual software abre a ligação TLS. As VPNs de túnel transparente (WireGuard, OpenVPN em modo de encaminhamento) reencaminham pacotes na camada de rede e nunca tocam no handshake, pelo que o browser gera o ClientHello por si próprio e o hash JA4 é indistinguível do de uma sessão sem proxy. O sinal aparece quando é software alheio ao browser que origina o pedido: um SDK de proxy residencial, um runtime de scraping ou um cliente de automação que usa Go net/tls, Python ssl ou curl produz um ClientHello que se desvia estruturalmente do Chrome BoringSSL ou do Firefox NSS. É por isso que a revisão científica citada acima identifica a análise no nível TLS como um dos sinais mais duradouros para tráfego originado por proxy: um operador consegue rotacionar IPs de saída de forma barata, mas não consegue fazer com que um runtime alheio ao browser imite de forma barata uma pilha TLS de browser.
Para uma explicação mais aprofundada da mecânica do JA4 e onde o sinal falha, consulte nosso guia sobre TLS fingerprinting.
2. Listas de IPs
Uma abordagem simples e rápida é comprar ou obter uma lista de código aberto de endereços IP sinalizados como VPNs. Esta abordagem pode cobrir algumas VPNs básicas, mas o jogo do gato e do rato é frequentemente mais forte. Os utilizadores da internet procuram VPNs que não sejam sinalizadas. Os fornecedores de VPN sabem quando são sinalizados e procuram medidas alternativas. Usar listas de IPs pode ser um começo, pode mostrar que houve um esforço para detectar VPNs, mas fundamentalmente não acreditamos que esta abordagem funcione no mundo real.
Se realmente precisa de impedir o acesso via VPN, tem de estar disposto a encarar o facto de que há mais pessoas à procura de formas de contornar as suas deteções do que pessoas a mantê-las. Portanto, uma simples lista de endereços IP não vai resistir ao teste do mundo real.
Especialmente num mundo onde os reguladores já demonstraram intenção de retaliar contra abordagens de mera conformidade de caixa de verificação, é melhor reconhecer como um utilizador determinado vai tentar contornar os esforços de deteção.
Comparação de métodos de detecção
| Método | Como funciona | Precisão | Dificuldade de contorno |
|---|---|---|---|
| Lista de IP (MaxMind, IPQualityScore) | Compara o IP de saída com intervalos CIDR de VPN/datacenter conhecidos | Baixa (as saídas rotacionam a cada hora) | Fácil: proxies residenciais contornam completamente |
| Impressão digital TLS (JA4/JA3) | Faz hash do ClientHello para identificar o runtime que originou o pedido | Média-alta (apenas tráfego originado por proxy) | Difícil: requer utls ou curl-impersonate |
| Fuso horário vs. geolocalização de IP | Compara o fuso horário reportado por JS com o país do IP | Média | Fácil: usuários podem alterar o fuso horário do sistema |
| IP local WebRTC (apenas desktop) | Lê o endereço RFC 1918 local via API WebRTC | Média | Parcialmente mitigado em navegadores modernos |
| Análise comportamental | Temporização, cursor/rolagem, padrões de sessão | Alta | Muito difícil: requer simulação humana |
Como os sites detectam o uso de VPN?
Os sites detectam o uso de VPN combinando verificações de IP do lado do servidor com sinais de nível de navegador coletados via JavaScript:
A propriedade do bloco IP é verificada no servidor. O servidor inspeciona o IP de saída do visitante em bancos de dados CIDR (MaxMind GeoIP2 Anonymous IP, IPQualityScore ou similares). ASNs de datacenter são facilmente identificados; IPs de ISP residenciais alugados por serviços VPN comerciais são mais difíceis de detectar.
A impressão digital TLS (JA4) é verificada no terminador TLS, antes da descriptografia HTTP. Cloudflare e Fastly expõem esse sinal nativamente para seus clientes. Se você mesmo termina o TLS com nginx ou HAProxy, pode habilitar o registro JA4 na borda. O hash resultante é comparado com um banco de dados de linhas de base de navegadores conhecidos e de impressões digitais de runtimes alheios ao browser.
A incompatibilidade de fuso horário é coletada via JavaScript: Intl.DateTimeFormat().resolvedOptions().timeZone. Se um dispositivo reporta America/Chicago enquanto o IP de saída resolve para os Países Baixos, essa incompatibilidade é um forte sinal de proxy ou VPN.
O vazamento de IP local WebRTC (apenas navegadores de desktop) usa uma RTCPeerConnection WebRTC para ler o endereço LAN do dispositivo. Um usuário atrás de uma VPN mostrará um IP de saída público para sua conexão de rede, mas seu endereço RFC 1918 local via WebRTC. A maioria dos navegadores móveis e o Safari iOS bloqueiam esse sinal; não confie nele para tráfego móvel.
Os sinais comportamentais são a camada final: movimento do cursor, velocidade de rolagem, cadência de digitação e tempo na página. Estes são os mais difíceis de falsificar para sessões automatizadas ou tuneladas.
A detecção de VPN da cside e o Privacy Watch combinam sinais de rede e de camada de aplicação para que os operadores de sites não precisem construir e manter cada verificação de forma independente.
Como detectar VPNs em dispositivos móveis
A detecção de VPN em dispositivos móveis segue a mesma abordagem em camadas, mas dois sinais se comportam de forma diferente:
O IP local WebRTC não se aplica. O Safari iOS bloqueou a exposição de endereços locais WebRTC desde 2018, e a maioria dos navegadores Android segue a mesma política. Remova esta verificação do seu stack de detecção móvel ou trate um sinal WebRTC ausente como neutro.
A impressão digital TLS ainda funciona, para tráfego originado por proxy. O Safari iOS, Chrome para Android e Firefox para Android produzem impressões digitais de base JA4 distintas, portanto uma sessão originada por software alheio ao browser desvia-se da linha de base esperada mesmo quando o IP de saída estiver limpo. Um aplicativo VPN móvel que apenas tuneliza pacotes deixa intacta a impressão digital do próprio navegador, então trate um JA4 correspondente como neutro e não como prova de uma ligação direta.
A incompatibilidade de fuso horário permanece confiável. A API de fuso horário JavaScript funciona de forma idêntica no mobile. Os usuários de VPN frequentemente esquecem de atualizar o fuso horário do dispositivo ao se conectar a um servidor em uma região diferente.
Os sinais comportamentais mudam de mouse para toque. Padrões de toque, pinça para zoom, inércia de rolagem e dados do giroscópio substituem o movimento do cursor. Os sinais são diferentes do desktop, mas ainda distinguíveis de sessões programadas ou tuneladas.
Leis de verificação de idade como Texas HB1181 e Florida HB3 se aplicam aos visitantes móveis. Uma solução de detecção de VPN em conformidade deve cobrir os caminhos de tráfego desktop e móvel.
Ferramentas para detectar VPNs
Com novas leis de verificação de idade introduzidas em 2025 e 2026, as empresas estão à procura de formas de detectar VPNs para comprovar que existem medidas razoáveis em vigor. Pode avaliar estas soluções que oferecem implementação rápida:
cside VPN detection
A cside detecta o uso de VPN inspecionando o comportamento de rede e sinais de fingerprint que as ferramentas tradicionais de segurança web não captam. A visibilidade especializada do lado do cliente distingue esta solução de outras ferramentas de fingerprinting.
- Abordagem: Deteção ao nível da rede e da aplicação
- Caso de uso: Para empresas sujeitas a leis rigorosas de verificação de idade que precisam de demonstrar conformidade, a cside oferece deteção avançada e recolha de evidências para demonstrar medidas adequadas aos reguladores.
Fingerprint
Leitura relacionada: o nosso guia completo para detectar tráfego de agentes de IA no seu site · técnicas de deteção de browsers headless
Detecta o uso de VPN e proxy através do comportamento de dispositivo, browser e rede entre sessões.
- Abordagem: Deteção ao nível da rede e da aplicação
- Caso de uso: Para equipas de segurança que monitorizam padrões de abuso em que os utilizadores rodam IPs mas reutilizam o mesmo dispositivo ou browser.
IPQualityScore
Mantém bases de dados atualizadas de VPNs conhecidas, proxies, nós de saída TOR e fornecedores de alojamento.
- Abordagem: Lista de IPs
- Caso de uso: Configuração rápida para pontuação de risco de VPN usando reputação de IP.
MaxMind
Bases de dados GeoIP e de IP anónimo que sinalizam VPNs e proxies.
- Abordagem: Lista de IPs
- Caso de uso: Configuração rápida para pontuação de risco de VPN usando reputação de IP.
As ferramentas de reputação de IP são úteis para uma pontuação rápida de VPN, mas a sua evidência limita-se a listas e verificações de reputação. A inteligência de sessão no browser acrescenta comportamento, consistência de fingerprint, trajetórias do cursor, cadência de digitação e evidências ao nível da página que sobrevivem a infraestruturas de IP mais "limpas".
Como responder a VPNs
Muitos sites poderão sentir-se tentados a simplesmente bloquear todos os pedidos provenientes de VPNs. Embora isto seja fácil de fazer, o problema é que se tornou fácil para um utilizador reconhecer que foi apanhado. Nalgumas aplicações, bloquear todos os pedidos de VPN é a abordagem correta. Mas noutras, isto só vai fazer com que o utilizador procure mais métodos para evitar a deteção.
Na deteção de VPN, tal como na deteção de bots, é frequentemente melhor personalizar a resposta da página ou tornar as páginas artificialmente lentas para induzir o visitante a ir para outro lado. Nalguns casos, poderá querer permitir tráfego VPN, mas apenas se o utilizador se autenticar. Isso pode ser um compromisso razoável.
Nem todo o tráfego VPN é mau
As VPNs são amplamente usadas por muitos utilizadores para fins legítimos:
- As VPNs podem ser usadas para proteger ligações em Wi-Fi público
- Os trabalhadores remotos podem ser obrigados a encaminhar o tráfego através de VPNs corporativas
- Viajantes que usam VPNs para aceder legitimamente à internet num ambiente familiar (resultados de pesquisa, traduções de idioma)
Existe também a possibilidade de falsos positivos detetados pelas ferramentas. Bloquear agressivamente todo o tráfego VPN pode quebrar a funcionalidade para utilizadores bem-intencionados ou prejudicar clientes. As leis de verificação de idade normalmente não exigem o bloqueio total de VPNs. Esperam ver medidas razoáveis para proteger o público de conteúdo prejudicial.
Que abordagem funciona melhor para si?
Se o seu negócio está:
- sujeito a leis de verificação de idade
- sujeito a restrições regionais de conteúdo
- sujeito a acordos contratuais que limitam a distribuição de media a geografias específicas
Use a deteção de VPN da cside para lidar com o jogo do gato e do rato. Nós detectamos VPNs por si.
Conclusão
Implementar a deteção de VPN poderá ser uma tarefa necessária para o seu negócio evitar responsabilidades, risco de multas e possíveis violações contratuais. Use uma solução que aproveite fingerprints profundos ao nível do pedido em vez de listas de IPs.
Como a deteção de VPN da cside funciona para além das listas de IP
As regras mudaram depressa. O Texas HB1181, o Florida HB3 e a lei de verificação de idade do Reino Unido empurraram os sites não conformes a detectar e agir sobre o uso de VPN, sob pena de multas do procurador-geral de até 10.000 dólares por violação e, nalguns estados dos EUA, bloqueios ao nível do ISP. As listas estáticas de IP não conseguem acompanhar porque os fornecedores de VPN rodam os nós de saída de hora a hora.
A deteção de VPN da cside adota uma abordagem diferente:
- Análise multi-nível em cada pedido. A cside analisa a tecnologia usada para aceder ao seu site, não o endereço de onde veio o pedido. Os indicadores de VPN surgem em sinais que uma lista de bloqueio não consegue ver.
- Mais de 100 milhões de pedidos diários em toda a rede cside alimentam o modelo de deteção, pelo que novos padrões de VPN são apanhados assim que surgem, em vez de após uma atualização da lista de bloqueio.
- Fluxos de resposta personalizados através do SDK da cside. Bloqueie, limite, exija verificação de idade ou encaminhe para uma experiência alternativa com base em indicadores de VPN, sem um bloqueio rígido que incomode os utilizadores legítimos.
O resultado: conformidade com as leis de restrição de localização e de verificação de idade sem a penalização de falsos positivos que acompanha o bloqueio de VPN baseado apenas em IP.
