O provedor de hospedagem como censor: o bloqueio de VPN passa para o locador

O que aconteceu em 4 de agosto

Mais de vinte serviços de VPN populares deixaram de funcionar ao mesmo tempo para usuários russos. Entre os atingidos foram citados Amnezia, Paper VPN, VPN Legend e GaMMa VPN. O alvo não foram protocolos nem aplicativos: para as listas negras foram endereços IP e sub-redes inteiras de grandes provedores de hospedagem, onde ficavam os servidores de muitos serviços ao mesmo tempo. Leonid Volkov chamou o episódio de maior ataque já registrado contra ferramentas de contorno. A Roskomnadzor não se pronunciou.

O que está sendo proposto

Junto com a onda de bloqueios, discute-se um esquema que muda a própria mecânica das restrições. O centro de monitoramento da rede pública de comunicações mantém uma lista de exceções: endereços que nunca são bloqueados, VPNs corporativas e canais tecnológicos de empresas. Em vez de uma lista estática, propõe-se monitoramento contínuo.

• Se em uma semana for detectada infraestrutura de VPN em um endereço da lista branca, o provedor recebe uma notificação e tem 24 horas para responder.
• Se não comprovar finalidade tecnológica legítima, o endereço é retirado da lista de exceções e perde a proteção contra bloqueio.
• O número de formas aceitas de verificar a identidade do cliente cai de dez para três: sistema estatal de identidade, biometria ou passaporte.
• A um cliente plenamente identificado será pedido primeiro que corrija a irregularidade. Um cliente conhecido apenas por número de telefone ou cartão bancário pode ser desligado em 30 minutos.

Em julho de 2026 o registro de provedores de hospedagem reunia 584 empresas; o registro existe desde fevereiro de 2024. O setor alerta para falsos positivos: endereços IPv4 mudam de dono com regularidade, e um histórico sujo viaja junto com o endereço até o inquilino seguinte.

Por que isso pesa mais do que outro bloqueio de protocolo

Até agora a disputa acontecia no cabo: os sistemas de filtragem tentavam reconhecer o tráfego de VPN pelo formato dos pacotes e os serviços respondiam com ofuscação. É uma corrida que o lado defensor consegue disputar. O novo esquema move a aplicação do cabo para o locador: do tráfego para o contrato.

A diferença é estrutural. A inspeção profunda de pacotes é cara, erra e fica sempre um passo atrás dos novos disfarces. Já o provedor de hospedagem é uma alavanca barata: uma pessoa jurídica concreta em um registro, com algo a perder. Quando o provedor precisa responder, sob ameaça de sanção, por tudo o que roda em cada um de seus endereços IP, a qualidade do disfarce do tráfego deixa de decidir qualquer coisa. Você não é detectado — você é despejado. Contra o despejo não adiantam cabeçalhos criptografados nem imitação de HTTPS comum.

Uma observação de campo: a decisão é tomada por endereço

Em 15 de agosto enfrentamos isso diretamente. Um dos nossos nós parou completamente de passar tráfego — visto de fora, parecia bloqueio de protocolo no nível da hospedagem. No mesmo servidor mudamos uma única coisa, o endereço IP: mesmo hardware, mesmo provedor, mesmo protocolo, mesma configuração. O nó voltou a funcionar imediatamente.

A conclusão prática é simples: a restrição estava presa a um endereço específico, não à rede do provedor nem ao tipo de tráfego. É exatamente o quadro que o novo esquema pressupõe — o sujeito do bloqueio passa a ser o endereço e quem responde por ele.

O que realmente ajuda nessa lógica

• Distribuir entre hospedagens e sistemas autônomos sem relação entre si, e não entre países. Três servidores no mesmo provedor em três países morrem por uma única entrada na lista. Geografia não é diversidade.
• Poder trocar de endereço rapidamente. Se um nó recebe endereço novo em minutos em vez de migrar por uma semana, o despejo deixa de ser catástrofe.
• Troca automática no aplicativo. Ninguém deveria descobrir um bloqueio por um Conectando… infinito: o app precisa levar o usuário sozinho para um nó que funcione.
• A ofuscação de protocolo continua necessária, mas como defesa contra outro ataque: o reconhecimento de tráfego. São duas camadas distintas e ambas precisam funcionar.

Como isso funciona na HamikVPN

Mantemos servidores próprios em locais diferentes e com provedores diferentes — não é revenda de acesso a uma única hospedagem. O tráfego passa por AmneziaWG com ofuscação. O aplicativo recebe uma lista ordenada de nós e, quando o principal falha, leva o usuário sozinho para o próximo que estiver funcionando.

Uma ressalva honesta: ninguém pode garantir que nunca será bloqueado, e quem dá essa garantia está enganando você. Mas quando o ponto de pressão se desloca para o locador, vence não quem tem o protocolo mais engenhoso, e sim quem tem endereços distribuídos e sabe se mudar rápido. É assim que construímos o serviço — e o dia 15 de agosto mostrou que funciona.