Por que o HTTPS ainda importa quando o túnel VPN termina

Indicador VPN verde, sensação de privacidade, e então o navegador mostra um aviso de certificado no site do banco. Nada nesse aviso melhora por causa do túnel. Uma VPN protege o caminho do seu dispositivo até o próprio servidor; o HTTPS protege o pedido do seu navegador até o ponto de extremidade TLS do site. Eles cobrem trechos diferentes da viagem, e um não substitui o outro.

Dois túneis com duas pontas diferentes

O túnel VPN termina no servidor VPN. Além desse ponto, o tráfego continua pela internet comum em direção ao destino. O operador da VPN vê os metadados da conexão, embora não possa ler o conteúdo.

O HTTPS começa no seu navegador e termina no ponto de extremidade TLS do site. Não lhe importa como o pacote chegou ao servidor, e não depende da presença da VPN.

Por isso as duas proteções se compõem em vez de competir. A VPN esconde o pedido da rede local e do seu provedor até a sua saída. O HTTPS o esconde de cada observador depois dessa saída, inclusive do próprio provedor de VPN. Nenhuma cobre a lacuna da outra. Quem entende isso para de perguntar qual é suficiente.

Um formulário HTTP comum continua comum depois da saída

Um site mais antigo que aceita um formulário por HTTP fica desprotegido além do servidor VPN. O túnel leva o formulário até a saída, e o resto da rota o leva em claro.

Use a versão HTTPS autêntica ou outro canal oficial para qualquer coisa sensível.

Um indicador conectado não muda o transporte da aplicação. O modo somente HTTPS do navegador pode ajudar a evitar uma queda acidental, mas não conserta um site que nunca ofereceu TLS.

Um aviso de certificado não se cura com uma VPN

Um nome de host errado, um certificado expirado, um relógio de dispositivo torto ou uma interceptação podem causar uma falha de validação. A VPN não torna nenhum desses casos inofensivo.

Verifique o endereço exato e o relógio do sistema antes de tudo.

Se houver uma página de login de rede, use o fluxo normal de portal cativo da plataforma. Não conceda exceção permanente a um site de conta sem relação só porque uma rede de hotel pediu.

Num dispositivo gerenciado, pergunte se há um certificado de inspeção instalado. Isso muda o arranjo de confiança habitual e merece uma explicação concreta em vez de um dar de ombros. Pergunte qual é a finalidade do certificado e de quem ele é.

A criptografia não impede o rastreamento

A sessão leva cookies, logins e dados de formulário ao site exatamente como previsto. Um rastreador também pode viajar numa conexão criptografada, e a maioria faz isso.

Uma VPN muda a rota e o endereço de saída aparente. Não muda a identidade que você fornece por uma conta, e não apaga o cookie que o segue entre sites.

Mantenha as proteções do navegador que você já usa. A VPN é um acréscimo, não um substituto.

Verifique o endereço, não o indicador

Verifique o nome de host na barra de endereços e o certificado que o site apresenta. O cadeado significa que a conexão está criptografada até algum ponto de extremidade; não significa que esse ponto seja o que você pretendia.

Dois comandos mostram o certificado e a cadeia de redirecionamentos:

curl -sSI https://bank.example/ | head -5
openssl s_client -connect bank.example:443 -servername bank.example < /dev/null 2>/dev/null | openssl x509 -noout -subject -dates

Se o certificado nomear outro host, pare. Se o relógio estiver errado, corrija-o antes de tentar de novo. Se um redirecionamento o mandar para HTTP simples, trate isso como falha do site e não como motivo para desativar a validação. O aviso do navegador existe porque a alternativa é adivinhar qual ponto de extremidade recebeu sua senha.