Proteger

Duas perguntas surgem constantemente, e misturam-se apesar de as respostas serem diferentes. **O dono do Wi-Fi consegue ver o que eu faço?** E **aparece alguma coisa na fatura da internet?** Em resumo: sim à primeira, de forma mais estreita do que se receia, e não à segunda.

O que quem gere a rede vê e o que não vê

Comecemos pela fatura, porque é a mais fácil e a crença é simplesmente falsa. **Uma fatura de internet não lista o histórico de navegação.** Mostra a subscrição, o tarifário, por vezes o total de dados consumidos e eventuais encargos extra. Não contém qualquer lista dos sites visitados por quem vive na casa. Os operadores guardam registos de ligação durante prazos legais em muitos países, mas isso não é impresso numa fatura, e o titular não o pode consultar na sua área de cliente.

A pergunta sobre o Wi-Fi é mais interessante, porque a resposta honesta é *algumas coisas sim, outras não*, e a fronteira cai num ponto que surpreende.

**O que vê quem gere a rede.** Quem controla o router vê os destinos a que o seu equipamento se liga: endereços IP e, na maioria dos casos, nomes de domínio. Os domínios escapam de duas formas correntes, mesmo em ligações cifradas. Se o seu equipamento usa o servidor DNS do router, cada consulta passa por ele. E o handshake TLS que abre uma ligação HTTPS transportou historicamente o nome de anfitrião em claro, num campo chamado SNI. Portanto `exemplo.pt` costuma ser visível.

O que muda mesmo

Vê também a forma do seu tráfego: quando esteve ligado, que volume de dados circulou e aproximadamente que tipo de serviço era. Um fluxo longo e constante a débitos de vídeo reconhece-se como streaming sem que ninguém tenha lido um único byte.

• **Visível para quem gere a rede:** endereços IP de destino, nomes de domínio via DNS e campo SNI do TLS, horários e volumes de dados
• **Não visível com HTTPS:** conteúdo das páginas, URL completos, termos de pesquisa, mensagens, dados de formulários, palavras-passe
• **Não na fatura:** o histórico de navegação não aparece em nenhuma fatura de internet, sob nenhuma forma
• **DNS cifrado (DoH/DoT):** elimina a fuga de DNS para o router
• **Encrypted Client Hello:** fecha a fuga do SNI, onde navegador e site o suportam
• **Uma VPN:** quem gere a rede vê um único túnel cifrado e nada do seu conteúdo

**O que não vê.** Com HTTPS, hoje a norma na web, quem gere a rede não vê a página que lê, os termos que pesquisou, as mensagens que enviou, o conteúdo dos formulários nem as suas palavras-passe. O URL completo depois do domínio, a parte a seguir à barra, está dentro do canal cifrado. Saber que se ligou a um jornal não é saber que artigo abriu.

É esta a distinção que conta, e a que quase todos os artigos esbatem: **o domínio é muitas vezes visível, o conteúdo quase nunca.**

**Se alguma coisa fica registada é outra questão.** A maioria dos routers domésticos não guarda um registo detalhado de navegação por omissão: o armazenamento é mínimo e a função costuma estar desligada. As redes de empresa, escola ou hotel são outra história, porque usam frequentemente equipamento feito precisamente para registar e filtrar. Regra prática: numa rede que não controla, assuma que os destinos podem ficar registados.

**O que muda mesmo o cenário.** O DNS cifrado (DoH ou DoT) retira ao router a visão das suas consultas. O Encrypted Client Hello fecha a fuga do SNI, onde navegador e site o suportam. Uma **VPN** faz as duas coisas ao mesmo tempo e mais: quem gere a rede passa a ver uma única ligação cifrada para o servidor VPN e nada do que lá circula. É esta a diferença real que uma VPN traz aqui, e merece ser dita com precisão em vez de vagamente.

O que uma VPN não faz é torná-lo anónimo perante os sites que visita, nem esconder seja o que for do próprio fornecedor de VPN, e é por isso que a escolha do fornecedor conta. O resumo honesto: o dono do Wi-Fi vê para onde vai, não o que lá faz; a fatura não mostra nenhuma das duas coisas; e se é o *para onde* que quer manter privado, é a cifragem na camada certa que o apaga.