O provedor de internet consegue ver o que você acessa?

Em parte. O seu provedor de internet consegue ver para quais domínios e endereços IP você se conecta, em que horários e quanto tráfego usa. Ele não consegue ler o conteúdo de sites com HTTPS, o que você pesquisa no Google nem as suas mensagens do WhatsApp. E a lei brasileira proíbe que ele monitore o conteúdo dos pacotes e que guarde a lista de sites e serviços que você acessa.

A seguir você vê, item por item, o que a operadora enxerga, o que fica protegido, o que o Marco Civil da Internet obriga e proíbe, e como reduzir ainda mais essa exposição com DNS criptografado e VPN. Vale para fibra, cabo, rádio e também para a rede móvel 4G e 5G, seja a sua operadora a Vivo, a Claro, a TIM ou um provedor regional.

O que o provedor de internet consegue ver

Todo pacote que sai da sua casa passa pela rede do provedor. Mesmo com criptografia, alguns dados precisam ficar visíveis para que a internet funcione, e outros vazam por configurações padrão.

Os domínios que você consulta no DNS

Antes de abrir um site, o aparelho pergunta ao DNS qual é o IP de um nome como exemplo.com.br. Por padrão, quem responde é o DNS do próprio provedor, entregue automaticamente pelo roteador, e a consulta tradicional viaja sem criptografia. Nesse cenário, o provedor sabe cada domínio que os seus aparelhos procuram. Isso já mudou bastante: o Chrome, por exemplo, vem com o DNS seguro em modo automático e passa a criptografar as consultas quando o DNS configurado oferece suporte, e o Android tem a opção de DNS privado. Veja como funciona o DNS se quiser entender o processo.

O nome do site no início da conexão (SNI)

Ao abrir uma conexão HTTPS, o navegador informa o nome do site no primeiro pacote, um campo chamado SNI, para que o servidor saiba qual certificado apresentar. Sem uma tecnologia chamada ECH, esse nome segue legível mesmo quando o DNS está criptografado.

Os IPs de destino, os horários e o volume

O endereço IP de destino precisa estar visível em todo pacote, senão ele não chega. Muitos IPs pertencem a empresas conhecidas, então o provedor consegue saber que você usou um serviço de vídeo ou de mensagens, quando e quanto tráfego trocou com ele.

O tipo de tráfego

Por padrões de tamanho e tempo dos pacotes, equipamentos de gerenciamento de rede conseguem estimar se um fluxo é vídeo, chamada ou download, e conseguem reconhecer protocolos de VPN. Isso não revela o conteúdo, e o Marco Civil limita o que o provedor pode fazer com essa capacidade, como você verá adiante.

O que o provedor não consegue ver

O HTTPS, hoje usado pela imensa maioria dos sites, criptografa tudo o que vem depois do nome do domínio. Com ele, o provedor não vê:

• o endereço completo da página, como o vídeo ou o produto específico que você abriu;
• o texto, as imagens e os formulários das páginas;
• senhas, dados de cartão e o conteúdo do internet banking;
• o que você digita em buscadores;
• mensagens de aplicativos com criptografia de ponta a ponta, como o WhatsApp e o Signal (no Telegram, só os chats secretos têm esse tipo de criptografia).

Ele vê o que eu pesquiso no Google?

Não. Ele vê que houve conexão com o Google, mas os termos ficam dentro do HTTPS. Quem sabe o que você pesquisou é o próprio Google, principalmente se você estiver logado.

Ele vê o WhatsApp, o Instagram ou o TikTok?

Ele vê que o aparelho conversou com os servidores desses apps, em que horário e em que volume. O conteúdo, as fotos, as conversas e os perfis que você abriu ficam criptografados.

Ele vê a aba anônima?

Sim, da mesma forma que a aba normal. O modo privado só muda o que o navegador guarda no seu aparelho, como explicamos em aba anônima protege?.

O que a lei brasileira diz

O Marco Civil da Internet (Lei 12.965/2014) separa dois tipos de empresa. O provedor de conexão é quem leva a internet até você, como a sua operadora. O provedor de aplicações é o site ou app que você usa, como uma rede social ou uma loja virtual. As regras são diferentes para cada um.

O que o provedor de conexão é obrigado a guardar

O art. 13 obriga o administrador do sistema autônomo, na prática a operadora que fornece o seu acesso, a manter os registros de conexão por 1 ano, sob sigilo e em ambiente seguro. Esses registros são, pela definição do art. 5º, a data e a hora de início e de término de cada conexão, a duração e o endereço IP atribuído ao seu terminal. A polícia, uma autoridade administrativa ou o Ministério Público podem pedir, de forma cautelar, que eles sejam guardados por mais tempo, mas precisam de autorização judicial para acessá-los.

O que o provedor de conexão é proibido de fazer

• Guardar o que você acessa: o art. 14 diz que, na provisão de conexão, “é vedado guardar os registros de acesso a aplicações de internet”. Tecnicamente o provedor vê domínios e IPs, mas não pode manter esse histórico.
• Monitorar o conteúdo: o art. 9º, § 3º, proíbe bloquear, monitorar, filtrar ou analisar o conteúdo dos pacotes de dados. O mesmo artigo estabelece a neutralidade de rede, e o Decreto 8.771/2016 só admite tratamento diferenciado do tráfego por requisitos técnicos indispensáveis ou para priorizar serviços de emergência.
• Repassar seus dados a terceiros: o art. 7º, VII, garante que dados pessoais e registros não sejam fornecidos a terceiros sem consentimento livre, expresso e informado, salvo nas hipóteses previstas em lei.

Quem pode pedir os seus dados

Pelo art. 10, os registros de conexão e de acesso só são entregues mediante ordem judicial, e o conteúdo das comunicações também depende de ordem judicial. Há uma exceção importante: os dados cadastrais (nome, filiação, endereço e qualificação pessoal) podem ser requisitados diretamente, sem ordem judicial, por autoridades administrativas que tenham competência legal para isso, como delegados de polícia e o Ministério Público nos casos previstos em lei (art. 10, § 3º). O Decreto 8.771/2016 exige que esses pedidos indiquem o fundamento legal, especifiquem as pessoas envolvidas e proíbe pedidos coletivos genéricos.

E os sites e aplicativos?

O art. 15 obriga os provedores de aplicações organizados como empresa a guardar os registros de acesso (data, hora e IP de cada uso) por 6 meses. Ou seja: quem sabe que você entrou em determinado serviço, e de qual IP, é o próprio serviço, não a sua operadora.

CGNAT: quando o IP sozinho não identifica ninguém

Muitas operadoras brasileiras, sobretudo nas redes móveis e em parte da fibra, usam CGNAT: o mesmo IP público é compartilhado ao mesmo tempo por vários clientes. Nesse caso, saber o IP e o horário não basta para apontar um assinante. É preciso também a porta de origem usada naquela conexão, e por isso redes com CGNAT precisam registrar a tradução entre o endereço interno do cliente e o par IP público e porta, como descreve a RFC 7422. Descubra se a sua conexão está atrás de CGNAT com o teste de CGNAT e entenda o assunto em o que é CGNAT.

E a LGPD?

A operadora também é controladora de dados pessoais e precisa seguir a LGPD: ter base legal para cada tratamento, informar para que usa os dados e atender aos seus pedidos de acesso, correção e eliminação, respeitando a guarda obrigatória do Marco Civil. Você pode pedir à sua operadora uma cópia dos dados que ela tem sobre você.

E o dono do Wi-Fi, a empresa ou a escola?

Quem administra a rede local ocupa uma posição parecida com a do provedor, e não está sujeito às mesmas regras de guarda. O dono de um Wi-Fi pode ver, no roteador, quais aparelhos se conectaram e, se o roteador fizer o papel de DNS, os domínios consultados. O conteúdo HTTPS continua protegido.

Em computadores e celulares da empresa a situação é diferente: a equipe de TI pode instalar certificados e softwares de monitoramento que permitem inspecionar até o tráfego HTTPS. Em aparelho corporativo, parta do princípio de que tudo o que você faz pode ser registrado. Para saber quem está na sua própria rede, veja quem está usando meu Wi-Fi.

Como reduzir o que o provedor vê

1. Ative o DNS criptografado

É a medida mais simples e não custa nada. Com DNS por HTTPS (DoH), por TLS (DoT) ou por QUIC (DoQ), as consultas deixam de viajar legíveis.

• Chrome no computador: Configurações > Privacidade e segurança > Segurança. Em “Avançadas”, ative Usar DNS seguro e mantenha o provedor atual ou escolha um personalizado, como Cloudflare ou Google.
• Android 9 ou mais recente: Configurações > Rede e Internet > DNS privado (em alguns aparelhos o menu fica em configurações avançadas ou se chama DNS particular). Escolha a opção de nome do provedor e digite, por exemplo, one.one.one.one ou dns.google. Vale para Wi-Fi e dados móveis.
• iPhone: o iOS não tem um campo único de DNS criptografado para todas as redes. O jeito mais prático é usar o app oficial de um serviço de DNS, que instala um perfil de configuração.
• Windows 11: Configurações > Rede e Internet > Wi-Fi ou Ethernet > propriedades da rede > Atribuição de servidor DNS > Editar. Escolha Manual, informe um DNS público compatível (como 1.1.1.1, 8.8.8.8 ou 9.9.9.9) e ative a opção de DNS por HTTPS que aparece logo abaixo. O nome exato da opção muda um pouco entre as versões do Windows.

O passo a passo completo para cada sistema e para o roteador está em como configurar o DNS e em DNS privado no Android e no iPhone. Antes de trocar, você pode comparar qual DNS responde mais rápido na sua conexão com o teste de DNS mais rápido.

Lembre que o DNS criptografado esconde só as consultas. O IP de destino continua visível, e o nome do site pode aparecer no SNI.

2. Entenda o ECH

O Encrypted Client Hello criptografa o início da conexão, incluindo o nome do site. Ele foi padronizado na RFC 9849, publicada em março de 2026, e já vinha ativado no Chrome desde a versão 117 e no Firefox desde a versão 119. A limitação está do lado dos sites: o ECH só funciona quando o servidor oferece suporte e o navegador encontra a configuração no DNS. A Cloudflare, por exemplo, ativa o ECH por padrão nos planos gratuitos, e aí quem observa a rede vê apenas que você acessou um site hospedado na Cloudflare, sem saber qual. O IP de destino continua visível.

3. Use uma VPN quando fizer sentido

Com a VPN, o provedor passa a ver só uma conexão criptografada com o servidor da VPN. Domínios, IPs de destino e SNI ficam ocultos para ele. Em troca, a empresa da VPN passa a ter essa visão, então prefira serviços que publicam auditorias independentes e recentes da política de não registro. Ela define quais dados existem sobre você em caso de vazamento ou de requisição de uma autoridade.

4. Retransmissão Privada do iCloud

Para quem usa iPhone, iPad ou Mac com assinatura iCloud+, a Retransmissão Privada protege a navegação no Safari com dois retransmissores: o primeiro vê o seu IP, mas não o site, e o segundo vê o site, mas não o seu IP. Ela não cobre todos os apps e não está disponível em todos os países.

Como ver o que a sua conexão revela agora

• O Meu IP mostra o IP público, o provedor e a localização aproximada que qualquer site enxerga.
• A consulta DNS mostra como um domínio é resolvido e quais registros ele tem.
• A ferramenta de headers HTTP mostra se um site força HTTPS e quais cabeçalhos de segurança ele envia.

Em resumo

O provedor vê o “envelope” das suas conexões: para quem você fala, quando e quanto. O HTTPS protege a “carta”, que é o conteúdo. Pela lei, a operadora guarda só os registros de conexão por um ano, não pode manter o histórico de sites nem analisar o conteúdo, e só entrega registros com ordem judicial. Se você quiser esconder também o envelope, ative o DNS criptografado e use uma VPN confiável nas situações em que isso importa.