Uma VPN impede o rastreio pelos sites? O que ainda funciona

Uma VPN muda o endereço de onde vem o seu tráfego. Não muda o cookie que o seu navegador envia, a conta em que tem sessão iniciada nem o identificador incorporado no link em que clicou. É por isso que um site pode cumprimentá-lo pelo nome enquanto o seu endereço de saída está noutro país. As verificações abaixo separam a identidade de rede de tudo o resto, na ordem que encontra a causa real mais depressa.

O que o túnel muda e o que não muda

O túnel substitui o seu endereço de origem na saída e cifra o que a rede local consegue ver do seu tráfego. Ambos são úteis e ambos são estreitos. Tudo o que está acima da camada IP, ou seja, o pedido HTTP que o seu navegador realmente constrói, chega ao site sem alterações.

Isso inclui cookies, cabeçalhos de autorização, o URL e a impressão digital TLS do seu cliente.

Portanto, a pergunta não é se a VPN funciona. É que identificador o site usou, e isso pode responder-se testando uma camada de cada vez.

Passo 1: separe a identidade da conta da identidade de rede

Termine sessão em todo o lado, ou use um perfil de navegador que nunca iniciou sessão, e repita a visita através do túnel. Se o site já não o reconhece, o identificador era um cookie ou uma conta, e a VPN nunca foi o controlo relevante. Se continua a reconhecê-lo, procure outro identificador guardado antes de recorrer às impressões digitais. Um carrinho, uma preferência guardada ou um token de sessão no armazenamento local explicam a maioria destes casos.

Uma janela privada isola o frasco de cookies dessa janela. Não torna anónimo um início de sessão que faça dentro dela.

Passo 2: procure identificadores dentro do link

Os links de newsletters costumam transportar um token de subscritor, e os links de campanhas transportam parâmetros. Abra um por qualquer saída que queira e o destino continua a receber o token, porque o token faz parte do pedido e não do percurso. As imagens remotas no email funcionam da mesma forma, ligadas a uma mensagem específica.

Remova a cadeia de consulta quando puder e desative o conteúdo remoto no cliente de email.

A mesma lógica aplica-se à informação que fornece voluntariamente. Um endereço guardado, um número de telefone escrito num formulário ou uma referência de ticket de apoio identificam-no após qualquer mudança de IP. Pense em quem recebe os dados, não apenas no caminho que percorreram.

Passo 3: leia a superfície da impressão digital com honestidade

A impressão digital combina características observáveis do navegador e do dispositivo: user agent, geometria do ecrã, tipos de letra instalados, fuso horário, saída de canvas. Uma VPN convencional não normaliza nada disso, portanto apagar um cookie não remove os outros sinais. Também não se conclui que todo o reconhecimento seja uma impressão digital. O caso comum é um identificador guardado de que se esqueceu.

Teste com um verificador de impressões digitais e leia o resultado como uma amostra, não como um certificado. Essas ferramentas medem um método contra um conjunto de dados e não podem prometer que nenhum site ligará duas visitas. Trate a pontuação como uma pista sobre que superfícies parecem invulgares na sua configuração.

Reduzir a superfície vale mais do que qualquer definição isolada: menos extensões, uma versão atual do navegador e perfis que mantém separados de propósito.

Passo 4: verifique com um teste de antes e depois

Faça a mesma verificação duas vezes, uma fora do túnel e outra dentro, e compare as respostas, não as suas expectativas.

curl -s https://ifconfig.me; echo
curl -s https://ipinfo.io/ip

O endereço de saída deve mudar, e o resolver que o site vê deve pertencer à VPN quando o seu DNS passa pelo túnel. Se o endereço muda e o resolver não, tem um caminho DNS dividido que deixa escapar consultas de domínio, e isso é uma falha de configuração, não um mecanismo de rastreio. Verifique o WebRTC em separado no navegador, porque em algumas configurações pode expor endereços, e a única resposta honesta é a que o seu próprio teste devolve.

Depois repita os testes de conta e de link. Um site que o reconhece depois dos quatro passos está a usar algo que ainda envia, e o próximo passo é encontrar essa coisa em vez de voltar a mudar de servidor.

Mantenha os dois resultados lado a lado. Uma verificação de privacidade sem linha de base é apenas um palpite.