Utah SB 73: agora é responsável pelas VPNs dos seus utilizadores

Resumo: deteção de VPN da Utah SB 73

• Não é um paradoxo: A NordVPN chama à Utah SB 73 um paradoxo de conformidade irresolúvel. Não é. As listas de bloqueio não conseguem resolvê-lo; a deteção comportamental sim, porque uma sessão de proxy residencial deixa sinais que nenhum catálogo de IP alguma vez irá conter.
• O uso de VPN dispara: A Florida registou um pico de VPN de 1.150% nas quatro horas seguintes à entrada em vigor da HB3, e o Reino Unido registou 1.400% quando a Online Safety Act entrou em aplicação. A deteção de VPN da cside analisa o encaminhamento de rede, o comportamento de sessão e marcadores de proxy residencial, não listas de IP.
• As listas de bloqueio falham: Se depender de uma lista de bloqueio VPN estática, os proxies residenciais passam sem deteção e a responsabilidade por infração acumula-se. Se implementar deteção comportamental com uma pista de auditoria completa (timestamp, sinal, ação, jurisdição), tem um programa de boa-fé que a SB 73 pode reconhecer.

Sem tempo? Veja o cside Privacy Watch. Cobre tudo o que se segue numa única implementação.

A 6 de maio de 2026, Utah tornou-se o primeiro estado dos EUA a responsabilizar diretamente os operadores de sites quando os utilizadores usam uma VPN ou proxy para contornar a verificação de idade. A Senate Bill 73 não visa os fornecedores de VPN. Visa-o a si, o operador, e não aceita "usaram uma VPN" como defesa.

A resposta da comunidade de privacidade e segurança foi imediata. A NordVPN chamou à lei "um paradoxo de conformidade irresolúvel". O TechRadar, ao noticiar a reação de especialistas em direitos digitais, descreveu-a como "um jogo técnico de whack-a-mole que provavelmente nenhuma empresa consegue vencer". Ambos descrevem o mesmo problema: a deteção tradicional de VPN não funciona suficientemente bem para satisfazer uma norma de responsabilidade por infração.

Utah está na vanguarda de uma tendência regulatória global, não é um caso isolado. Mais de 25 estados dos EUA aprovaram leis de verificação de idade para conteúdo online. A Online Safety Act do Reino Unido tem estado a aplicar verificações de idade desde julho de 2025. A Austrália proibiu os menores de 16 anos das redes sociais em dezembro de 2025. A direção é consistente: os legisladores estão a passar de "construa um portão" para "o portão tem de funcionar de verdade, mesmo quando os utilizadores tentam contorná-lo".

Foi para isto que a deteção de VPN da cside foi criada.

O que a Utah SB 73 exige realmente

Esta informação baseia-se no texto aprovado da Utah SB 73 publicado pela Utah State Legislature, e na página oficial de estado do projeto de lei mantida pelo Office of Legislative Research and General Counsel.

A Utah SB 73 altera os requisitos de verificação de idade já existentes no estado para sites com uma "parte substancial de material prejudicial para menores". A lei introduz duas disposições que mudam completamente o cálculo de conformidade.

A regra da localização presumida

Um utilizador fisicamente dentro de Utah é legalmente um utilizador de Utah, independentemente do endereço IP que o seu dispositivo apresente. Se encaminhar o tráfego através de um nó de saída VPN na Alemanha, continua a ser um utilizador de Utah. Se usar um proxy residencial na Califórnia, continua a ser um utilizador de Utah.

Essa única regra desloca o problema de conformidade. Antes, a questão era se tinha um controlo de idade. Agora, a questão é se o seu controlo de idade funciona contra utilizadores que tentam ativamente derrotá-lo.

A disposição anti-instrução

A lei também proíbe os operadores de partilharem instruções que ajudem os utilizadores a contornar o controlo de idade. Publicar um artigo de ajuda que mencione VPNs no contexto de controlo de acesso passa a ser um risco de responsabilidade separado. Isto inclui:

• Páginas de FAQ que explicam como as VPNs funcionam no contexto do seu site
• Documentação de suporte que faz referência a contornos com VPN
• Fóruns da comunidade alojados no seu domínio onde se discutem métodos de contorno

Como Utah se compara a outras leis estaduais

Texas e Florida criam responsabilidade para sites que não implementam controlo de idade. Utah cria responsabilidade para sites cujos controlos de idade são contornados, incluindo através de ferramentas controladas pelo utilizador. Trata-se de uma norma de conformidade materialmente diferente.

O padrão é claro: toda lei de idade desencadeia um pico de VPN

Sempre que uma lei de verificação de idade entra em vigor, a procura por VPN dispara três a quatro dígitos percentuais nessa jurisdição. Isto está documentado em todos os grandes eventos de aplicação da lei, não é especulação.

Fontes: vpnMentor, Tom's Hardware, TechRadar

Quando a HB3 da Florida entrou em vigor a 1 de janeiro de 2025, o uso de VPN disparou 1.150% em quatro horas. No Reino Unido, a Proton VPN registou um pico de 1.400% nos registos horários no dia em que a Online Safety Act começou a aplicar verificações de idade, mantendo-se depois em +1.800% durante vários dias. A Proton VPN chegou a superar temporariamente o ChatGPT como a aplicação gratuita mais descarregada na App Store do Reino Unido.

Os operadores em Utah devem esperar o mesmo padrão. Os utilizadores mais motivados a contornar o seu controlo de idade são também os mais propensos a usar uma VPN para o fazer. Ao abrigo da SB 73, esse contorno é agora responsabilidade sua, não deles.

Porque é que uma lista de bloqueio por IP não resolve isto

Uma lista de bloqueio estática de nós de saída VPN conhecidos era apenas marginalmente adequada quando o uso de VPN era um comportamento de nicho. Já não é adequada agora.

• O problema de escala: A indústria de VPN é enorme. Mais de 1,75 mil milhões de pessoas usam VPNs globalmente. O mercado está avaliado em mais de 70 mil milhões de dólares e projeta-se que alcance 330 mil milhões de dólares até 2034. Os grandes fornecedores rodam milhões de endereços IP por milhares de nós de saída diariamente. Nenhuma lista de bloqueio consegue acompanhar este volume de rotação de IPs.

• O problema do proxy residencial: As redes de proxy residencial são ainda mais difíceis. Encaminham o tráfego através de endereços IP atribuídos a ligações domésticas reais de banda larga. Estes IPs nunca aparecem em nenhuma lista de bloqueio VPN porque são endereços de consumidor legítimos. Apenas pelo endereço IP, uma sessão de proxy residencial é indistinguível de um utilizador real na sua própria banda larga doméstica.

• Porque é que isto importa para a Utah SB 73: A crítica técnica da NordVPN e da EFF está correta num sentido restrito: não se ganha uma guerra de listas de bloqueio contra a indústria de VPN. No entanto, o que estão a descrever é uma limitação de um método de deteção específico, não um paradoxo. A resposta é deixar de combater isto inteiramente nos endereços IP e passar para a deteção comportamental.

A vaga crescente de leis de verificação de idade

A Utah SB 73 não surgiu isoladamente. Faz parte de uma tendência global em aceleração que responsabiliza os operadores por quem acede ao seu conteúdo.

Estados Unidos

• Junho de 2025: o Supremo Tribunal confirma a Texas HB 1181 em Free Speech Coalition, Inc. v. Paxton (6-3), confirmando que os mandatos de verificação de idade são constitucionalmente admissíveis
• Novembro de 2025: o Tribunal de Recurso do Décimo Primeiro Circuito levanta a injunção sobre a Florida HB3, permitindo a aplicação total
• Janeiro de 2026: Indiana processa a Aylo (empresa-mãe da Pornhub) especificamente porque os seus sites continuam acessíveis via VPN apesar de estarem "bloqueados"
• Maio de 2026: a Utah SB 73 entra em vigor, criando responsabilidade específica do operador relativa a VPN

Pelo menos 25 estados dos EUA têm agora leis de verificação de idade em vigor. A tendência é inequívoca: os legisladores viram os utilizadores contornar controlos de idade com VPNs e responderam tornando esse contorno num problema do operador.

Reino Unido

• Julho de 2025: a Online Safety Act começa a aplicar verificações de idade. A Ofcom abre mais de 90 investigações.
• Outubro de 2025: a Pornhub reporta uma queda de 77% nos visitantes do Reino Unido desde o início das verificações de idade
• Janeiro de 2026: a Câmara dos Lordes vota 207-159 a favor de proibir serviços de VPN a menores de 18 anos
• Fevereiro de 2026: a Aylo, empresa-mãe da Pornhub, corta totalmente o acesso a novos utilizadores do Reino Unido

A Ofcom já aplicou multas que totalizam mais de 1,8 milhões de GBP, com penalizações máximas a atingir 10% do volume de negócios anual global ou 18 milhões de GBP. O Reino Unido está agora a ir além do controlo de idade do conteúdo, passando a restringir também as ferramentas usadas para contornar esses controlos.

A mensagem está a convergir a nível global: se a sua plataforma disponibiliza conteúdo que não deve chegar a menores, detetar e gerir o tráfego VPN é responsabilidade sua, não do utilizador.

Como detetar VPNs para se manter em conformidade com a Utah SB 73

Se gere conteúdo com controlo de idade acessível a utilizadores de Utah, a SB 73 exige mais do que uma abordagem de conformidade de caixa de verificação. Eis como é um programa eficaz de deteção e resposta.

Passo 1: Auditar a sua deteção atual

Comece por responder a quatro perguntas:

• O seu fluxo de verificação de idade compara o IP com uma lista de bloqueio, ou analisa o comportamento da sessão?
• Está a registar as deteções de VPN num formato que cria uma pista de auditoria de conformidade?
• Se um utilizador contornar o seu controlo através de um proxy residencial, o seu sistema deteta-o?
• Existe algum conteúdo no seu site que explique como usar VPNs para aceder à sua plataforma?

Se depender apenas de uma lista de bloqueio de IP, os proxies residenciais e os serviços de VPN recém-lançados passarão sem deteção. É essa a lacuna que a SB 73 foi concebida para penalizar.

Passo 2: Ir além das listas de bloqueio de IP com uma ferramenta especializada de deteção de VPN

Uma lista de bloqueio estática compara endereços IP com uma lista conhecida. Uma ferramenta especializada de deteção de VPN analisa a forma como um utilizador acede ao seu site, examinando:

• Sinais ao nível da rede: características do caminho de encaminhamento, padrões de latência e a relação entre os atributos declarados e reais do dispositivo
• Comportamento de sessão: padrões temporais, consistência da impressão digital do dispositivo e sequências de pedidos que diferem do tráfego orgânico de utilizadores
• Marcadores de proxy residencial: as assimetrias resultantes de tráfego retransmitido, mesmo quando o endereço IP pertence a uma casa real

Esta abordagem deteta o uso de VPN e proxy de serviços ainda não catalogados em nenhuma lista de bloqueio, que é a capacidade crítica que a Utah SB 73 exige.

Passo 3: Construir uma pista de auditoria de conformidade

A Utah SB 73, tal como a Texas HB 1181, cria risco por infração. Os operadores que conseguem demonstrar um programa de deteção e resposta de boa-fé estão numa posição materialmente diferente dos que não conseguem. Registe cada deteção de VPN com:

• Timestamp e identificador de sessão
• Método de deteção e sinal de confiança
• Ação de resposta tomada (bloqueio, verificação reforçada ou apenas registo)
• Determinação da jurisdição

Passo 4: Remover instruções de contorno do seu site

Se algum conteúdo no seu domínio explicar como usar uma VPN para aceder à sua plataforma, remova-o. Isto inclui artigos de ajuda, páginas de FAQ e publicações em fóruns da comunidade. A Utah SB 73 proíbe explicitamente os operadores de publicarem orientações que facilitem o contorno.

Como a cside o ajuda a detetar VPNs

A deteção de VPN da cside identifica tráfego de VPN e proxy tanto em serviços comerciais conhecidos como em proxies residenciais ainda não catalogados, usando análise comportamental em vez de listas estáticas de IP.

Quando uma deteção é acionada, os operadores podem encaminhá-la para uma resposta (2FA, um ecrã que informa "detetámos que está a usar uma VPN") ou simplesmente registar a deteção para fins de auditoria. Todos os modos são configuráveis por tipo de conteúdo, jurisdição ou limiar de risco.

• Mantenha-se em conformidade com as leis de restrição de idade: as leis de verificação de idade em mais de 25 estados dos EUA, no Reino Unido e numa lista crescente de países criam responsabilidade para os operadores quando menores acedem a conteúdo restrito. A cside deteta tráfego de VPN que contorna controlos de idade, incluindo tráfego de proxy residencial que nunca aparece em nenhuma lista de bloqueio. Os operadores podem demonstrar um programa de conformidade de boa-fé através de registos de deteção e ações de resposta automatizadas.

• Detete acessos fraudulentos: VPNs e proxies são ferramentas centrais em fraude de contas, fraude de pagamentos e ataques de credential stuffing. Os fraudadores usam VPNs para mascarar a sua localização ao aceder a contas roubadas ou ao fazer compras fraudulentas. A deteção comportamental da cside sinaliza estas sessões antes de ocorrerem danos, independentemente do serviço VPN usado.

• Detete scraping malicioso, partilha de contas e account takeover: operações de scraping, serviços de partilha de contas e ataques de account takeover dependem todos de VPNs e proxies residenciais para evitar a deteção. A cside identifica as assinaturas comportamentais de cada padrão, desde pedidos de alta frequência com rotação de proxy até tentativas de login com localização inconsistente que se desviam dos padrões estabelecidos do utilizador.

O que os operadores devem fazer agora

A janela de conformidade está a estreitar-se. A Utah SB 73 está em vigor. Mais de 25 outros estados dos EUA têm leis semelhantes já implementadas ou em avanço. O Reino Unido está a multar ativamente os operadores em incumprimento. Eis uma lista de ações prioritárias:

• Esta semana: audite a sua deteção de VPN atual. Deteta proxies residenciais? Se a resposta for não, tem uma lacuna que a SB 73 penaliza.
• Esta semana: procure no seu site conteúdo que explique contornos de acesso com VPN. Remova-o.
• Este mês: implemente deteção comportamental de VPN que funcione contra serviços VPN desconhecidos, não apenas contra nós de saída catalogados.
• Este mês: configure a sua deteção para construir uma pista de auditoria de conformidade: timestamps, sinais de deteção, ações de resposta, jurisdição.
• Em contínuo: monitorize novas leis estaduais e ações de aplicação. A tendência legislativa é para uma responsabilidade mais estrita, não menos.

Veja como funciona a deteção de VPN da cside ou marque uma demo para a ver em ação contra o seu tráfego.