Você quer ver como um site aparece a partir de outro país, ou prefere que o seu endereço IP não fique à mostra. Ao digitar "proxy grátis" no buscador, surgem dois tipos de resultado: sites de web proxy, em que você escreve o nome do site em uma caixa, e listas com centenas de endereços IP e números de porta. Nenhum dos dois cobra nada e ambos funcionam em um minuto. A pergunta que vem em seguida é sempre a mesma: algo tão fácil e gratuito pode ser seguro?
Neste artigo explicamos como os dois tipos funcionam, quem opera esses servidores e de onde vem o dinheiro. Mostramos até onde o HTTPS protege você, o que as medições acadêmicas encontraram e por que esses endereços vivem bloqueados. No fim, uma tabela responde em quais usos isso é aceitável. Aqui não há lista de proxies gratuitos nem indicação de sites; o motivo fica claro ao longo da leitura.
O que é um proxy gratuito e quantos tipos existem?
Um proxy é um servidor intermediário que sai para a internet no seu lugar. Você envia a requisição ao proxy, o proxy a repassa ao site e traz a resposta de volta. O site enxerga o endereço do proxy, não o seu. A base do assunto está em O que é um servidor proxy e como ele funciona?; aqui olhamos apenas para os gratuitos.
Sob o nome "proxy grátis" circulam três coisas diferentes, e os riscos não são iguais:
- Sites de web proxy. Uma página que você abre no navegador. Na caixa do meio você digita o endereço do site desejado, e a página o abre dentro de si mesma. Não é preciso instalar nem configurar nada. O CroxyProxy é um dos nomes mais conhecidos desse tipo; o que vem a seguir descreve como o tipo funciona, não um serviço específico.
- Listas de proxies abertos. Listas renovadas o tempo todo, formadas por linhas como
203.0.113.10:8080. O endereço é digitado à mão nas configurações de proxy do navegador ou do sistema operacional. O site que publica a lista não é dono desses servidores; ele apenas reúne endereços que encontrou abertos na internet. - Apps gratuitos de proxy e VPN, extensões de navegador. Ferramentas que ligam e desligam com um toque. Por trás delas está um dos dois modelos acima ou servidores do próprio fornecedor.
Nas listas, ao lado dos endereços, aparecem rótulos como "transparente", "anônimo" ou "elite". Esses rótulos dizem se o proxy repassa o seu IP real ao site, não se o servidor é confiável. Os detalhes estão no nosso artigo sobre proxies transparentes, anônimos e elite.
Quem opera os proxies gratuitos e de onde vem o dinheiro?
Manter um servidor custa dinheiro: energia, banda, manutenção. Se alguém o abre de graça para todo mundo, ou não sabe disso ou a receita vem de outro lugar. Os endereços das listas abertas se dividem, em linhas gerais, em quatro grupos:
- Servidores mal configurados. Um proxy que uma empresa ou escola montou para uso interno ficou aberto para fora por um erro de configuração. Quando o dono percebe, fecha. Essa é uma das razões pelas quais os endereços das listas morrem em algumas horas ou dias.
- Dispositivos comprometidos. Um computador, um roteador ou outro aparelho conectado à internet, infectado por malware, é usado como proxy sem que o dono saiba. Nesse caso o seu tráfego passa por um aparelho na casa de um desconhecido, e quem controla esse aparelho é um invasor.
- Servidores abertos de propósito. O operador deixa o servidor aberto para observar o tráfego, inserir anúncios nas páginas ou coletar dados de usuários. Pesquisadores de segurança também montam servidores-isca parecidos para observar tráfego de ataque; nos dois casos o seu tráfego fica registrado.
- Voluntários e servidores de teste. Também existem os que não têm má intenção. O problema é que, olhando a lista, não dá para saber qual endereço pertence a qual grupo.
Nos sites de web proxy o modelo de receita é mais visível: anúncios inseridos acima e abaixo da página, o convite para um plano pago e, em alguns casos, dados de uso. Viver de publicidade não prova má intenção. Mas quem opera o serviço, por quanto tempo guarda os registros e com quem os compartilha quase nunca está escrito; e, mesmo quando está, você não tem como auditar.
Como funciona um site de web proxy?
Um site de web proxy segue um caminho diferente do de um proxy comum. O seu navegador nunca se conecta ao site de destino; ele conversa apenas com o site de web proxy. Os passos são:
- Você abre o site de web proxy e digita na caixa o endereço do site de destino.
- O servidor do serviço baixa essa página no seu lugar, com a conexão dele.
- Ele reescreve todos os links, imagens e formulários da página baixada para que passem pelo endereço dele.
- Ele envia a página modificada para você, quase sempre com uma barra própria ou anúncios por cima.
- Quando você clica em um link ou preenche um formulário, a requisição vai de novo primeiro ao serviço, e o mesmo ciclo se repete.
Esse arranjo tem uma consequência importante para a segurança. Na barra de endereços do navegador aparece o nome do site de web proxy, não o do site de destino. O cadeado que você vê também pertence à conexão entre o navegador e o site de web proxy. Quem estabelece a conexão criptografada com o site de destino é o serviço, e é ele também quem a decifra. Para conseguir reescrever a página, ele precisa ver o conteúdo em texto puro de qualquer forma.
Na prática, isso quer dizer o seguinte: se você fizer login em uma conta por meio de um site de web proxy, o nome de usuário, a senha e o cookie de sessão criado depois do login passam pelo servidor do serviço em formato legível. Não há como saber se o serviço os guarda.
Vídeos travando, página quebrando depois do login ou botões que não respondem em sites de web proxy têm a mesma causa. Os sites atuais montam a página com programas que rodam no navegador, e o serviço não consegue reescrever corretamente todos os endereços dentro desses programas.
| Característica | Site de web proxy | Proxy IP:porta tirado de uma lista |
|---|---|---|
| Como se usa? | Abre-se um site no navegador e digita-se o endereço em uma caixa | O endereço e a porta são digitados nas configurações de proxy do dispositivo |
| Quem opera? | Quase sempre uma empresa ou pessoa pouco clara | Não se sabe; quem publica a lista também não sabe |
| Consegue ver o conteúdo de uma página HTTPS? | Sim, o serviço decifra | Não, é criado um túnel (desde que não apareça aviso de certificado) |
| Consegue alterar uma página sem criptografia (HTTP)? | Sim | Sim |
| Quantas pessoas dividem o IP? | Todos os usuários do serviço | Qualquer pessoa que encontre a lista |
Até onde o HTTPS protege você?
Quando você acessa um site cujo endereço começa com https:// por meio de um proxy IP:porta tirado de uma lista, o navegador envia ao proxy uma requisição chamada CONNECT. Nessa requisição constam apenas o nome do site desejado e o número da porta. O proxy estabelece a conexão e depois transporta os dados nos dois sentidos sem olhar o que há dentro. A documentação para desenvolvedores da Mozilla descreve esse comportamento na página do método CONNECT. Como a criptografia é estabelecida entre o seu navegador e o site de destino, o proxy não consegue ler o conteúdo da página, a sua senha nem os seus cookies.
Essa proteção é real, mas tem três limites:
- Fica visível a qual site você se conecta, quando e com quantos dados. O nome do site vai escrito às claras na requisição
CONNECT. O conteúdo fica oculto; o registro da visita, não. - Em páginas sem criptografia não há proteção alguma. Uma página cujo endereço começa com
http://passa pelo proxy em texto puro. O Chrome mostra "Não seguro" na barra de endereços nessas páginas, e a página de ajuda do Google para conferir se a conexão de um site é segura diz o motivo sem rodeios: alguém pode conseguir acessar e mudar as informações que você envia ao site ou recebe dele. Com um proxy de identidade desconhecida no meio do caminho, esse "alguém" deixa de ser hipótese. - Um aviso de certificado deixa a proteção nas suas mãos. Se o proxy tentar entrar no meio da conexão criptografada, o navegador percebe o certificado falso e mostra um aviso de página inteira. Se você ignorar o aviso e seguir para o site, terá desligado a proteção por conta própria. Se um serviço ou app de proxy pedir que você "instale um certificado" no dispositivo, o objetivo é exatamente calar esse aviso; não instale.
Nos sites de web proxy, a proteção descrita nesta seção não vale. Ali não se cria túnel; o serviço decifra o tráfego.
O que as pesquisas encontraram nos proxies gratuitos?
Nesse assunto é fácil fazer marketing do medo; circulam pela internet percentuais sem fonte clara. Nós olhamos apenas para duas medições acadêmicas revisadas por pares. As duas foram publicadas em 2018, ou seja, os números descrevem as listas daquela época e não devem ser lidos como a taxa de hoje. Os mecanismos, por outro lado, não mudaram.
Pesquisadores da FORTH, da Universidade de Chipre e da Universidade Stony Brook observaram proxies HTTP abertos por dois meses e publicaram os resultados no NDSS 2018. Dos proxies que funcionavam, isto é, os que conseguiam buscar a página, 38% faziam alguma alteração na página que passava por eles. A maior parte dessas alterações era inofensiva. Já 5,15% desses mesmos proxies faziam uma alteração que os pesquisadores consideraram maliciosa ou indesejada: dentro desse grupo, 47% injetavam anúncios na página, 39% injetavam código para rastrear o usuário e extrair a impressão digital do navegador, e 12% tentavam redirecionar o usuário para páginas com malware.
Uma equipe das universidades Georgetown e Northeastern fez no mesmo ano uma medição mais ampla: ao longo de 50 dias, mais de 107 mil proxies abertos presentes em sites de listas e 13 milhões de requisições. Segundo o estudo apresentado no ACSAC 2018, mais de 92% dos proxies listados não respondiam de forma alguma às requisições. Entre os que funcionavam, foram identificados proxies que inseriam nas páginas código de mineração de criptomoedas, outros que tentavam entrar no meio da conexão criptografada e outros que colocavam trojans de acesso remoto dentro de programas baixados por meio deles.
A conclusão dos dois estudos dispensa exagero. A maioria dos proxies abertos não é maliciosa; a maioria nem sequer funciona. Mas os maliciosos existem, na lista não se distinguem dos demais e, quando você cai em um deles, a perda pode ir de um anúncio até uma conta invadida.
Por que os proxies gratuitos são lentos e vivem bloqueados?
Segurança à parte, os proxies gratuitos muitas vezes também não dão conta do recado. Há três razões.
A maioria está morta. O site de listas encontra o endereço uma vez e publica; o servidor pode ter sido desligado naquele mesmo dia.
Os que funcionam são usados por todo mundo. Milhares de pessoas veem a lista ao mesmo tempo que você e se concentram nos poucos endereços que respondem. Com a banda do servidor dividida entre tanta gente, as páginas demoram a abrir e os vídeos travam.
O endereço tem ficha ruim. Os sites olham o endereço IP da conexão que chega. Se do mesmo endereço chegam, em pouco tempo, requisições de milhares de pessoas diferentes e de programas automáticos, o site não confia nele: mostra uma caixa de verificação, exibe um aviso de "tráfego incomum" ou bloqueia direto. Endereços de proxies abertos também entram depressa em listas negras de IP e em bancos de dados de pontuação de risco. Explicamos esses mecanismos nos nossos artigos sobre listas negras de IP e sobre a pontuação de fraude de um IP, e o efeito geral de um endereço compartilhado em O que é CGNAT. Se a tela que você vê diz "VPN ou proxy detectado", o artigo sobre esse aviso explica a causa; se for a página de tráfego incomum do Google, quem explica é este outro.
O risco a mais dos apps e extensões gratuitos
Apps gratuitos de proxy ou VPN trazem mais um risco: alguns não apenas transportam o seu tráfego, mas também cedem a sua conexão a terceiros. Lá no fundo dos termos de uso está escrito que você permite que a conexão de internet do seu dispositivo sirva de ponto de saída para o tráfego de outros usuários. Enquanto um app assim estiver instalado, o que um desconhecido fizer parece, visto de fora, ter sido feito a partir do endereço da sua casa.
Com extensões de navegador também é preciso cuidado. Uma extensão de proxy pede permissões amplas para funcionar, e quando essas permissões vão para uma extensão de operador desconhecido, a situação fica parecida com a do site de web proxy. Se for instalar uma extensão, escolha uma com desenvolvedor conhecido, que não venha com servidores embutidos e que use apenas o endereço de proxy que você mesmo digita.
Em quais usos é aceitável e em quais nunca?
Nem todo uso de um proxy gratuito tem o mesmo risco. O critério é simples: o que você perde se a informação que passa por essa conexão cair nas mãos de outra pessoa?
- Olhar uma única página pública sem fazer login. Você está curioso para saber como um site de notícias ou uma página de produto aparece em outro país. O risco é baixo; tenha em mente que a página exibida pode ter sido alterada e não baixe nada.
- Aprender o que é um proxy. Testar uma vez para ver onde a configuração é digitada é razoável; desligue a configuração quando terminar. Como verificar se um proxy funciona e se ele vaza o seu endereço está em Seu proxy está funcionando? Como testar um proxy e em Vazamentos de WebRTC e DNS.
- E-mail, redes sociais, conta de jogo. Não use. Em um site de web proxy a sua senha fica diretamente visível. Em um proxy IP:porta o HTTPS protege você, mas basta ignorar um único aviso de certificado ou abrir uma única página sem criptografia.
- Banco, pagamentos, serviços do governo, contas de trabalho. Nunca. Aqui não há benefício a pesar.
- Uso regular ou profissional. Em tarefas como gestão de contas, monitoramento de preços ou coleta de dados, o endereço precisa ser seu e precisa funcionar amanhã também; um endereço gratuito não oferece isso. O que significa um endereço não compartilhado está em Proxy privado: o que isso significa de verdade, e como escolher o tipo conforme a tarefa, em O que observar ao comprar um proxy.
Uma observação: o proxy ser gratuito ou pago não muda se aquilo que você faz com ele é legal ou não. Contornar as regras de rede da escola ou do trabalho com um site de web proxy descumpre essas regras e ainda leva para aquela rede todos os riscos acima.
Por que uma lista gratuita sai cara na coleta de dados?
Esta seção é para desenvolvedores que pensam em usar uma lista gratuita em um projeto de faculdade ou em uma pequena coleta de dados. Na prática, três itens estragam a conta.
O primeiro é o tempo. Como a maioria dos endereços da lista não responde, o seu programa passa o tempo esperando estouros de tempo limite e tentando de novo. Os endereços que funcionam estão em listas negras, então o site de destino devolve 403 ou 429; explicamos esses códigos em Códigos de status HTTP no web scraping. O segundo é a qualidade dos dados. Se o servidor no meio do caminho insere anúncios ou código na página, os dados coletados ficam contaminados, e quase sempre você não percebe. O terceiro é a segurança. Uma chave de API ou um cookie de sessão que você anexa à requisição passa por esse servidor em formato legível quando a conexão não é criptografada.
Em um projeto de aprendizado, quase nunca é preciso proxy: envie as requisições com intervalos longos e siga as regras do robots.txt do site. Recorrer a uma lista gratuita significa assumir os três itens acima de uma vez; o dinheiro que você acha que economizou volta em forma de horas perdidas e de dados em que não dá para confiar.
O que fazer se você já usou um proxy gratuito?
Se no passado você entrou nas suas contas por meio de um proxy gratuito, siga estes passos:
- Desligue a configuração de proxy. No Windows 11, vá em Configurações > Rede e Internet > Proxy e confira se a chave Usar um servidor proxy está desligada. No celular, a configuração fica nos detalhes da rede Wi-Fi; mostramos onde em Como configurar proxy no celular Android e em Como configurar proxy no iPhone e no iPad.
- Remova apps e extensões de proxy e VPN que você não usa. Só desligar não basta; eles podem continuar rodando em segundo plano.
- Troque a senha das contas em que você entrou naquele período. Faça isso com o proxy desligado, pela sua própria conexão. Se você usa a mesma senha em outros sites, troque lá também.
- Encerre as sessões abertas. A maioria das plataformas tem, nas configurações de segurança, a opção "sair de todos os dispositivos". Isso invalida cookies de sessão que possam ter sido capturados.
- Ative a verificação em duas etapas. Mesmo que a sua senha tenha vazado, a segunda etapa barra o login.
Erros comuns
- Ver o cadeado e achar que está tudo certo. Em um site de web proxy, o cadeado mostra a conexão entre você e o serviço. Ele não mostra criptografia de ponta a ponta entre você e o site de destino.
- Ignorar um aviso de certificado. Um aviso de certificado que aparece com o proxy ligado é o sinal mais claro de que alguém está tentando entrar no meio.
- Tomar o rótulo "elite" como garantia. O rótulo diz que o servidor não repassa o seu endereço IP ao site. Não diz que o servidor não registra o seu tráfego.
- Esquecer a configuração ligada. Se a configuração de proxy do sistema ficar ligada, todo o tráfego do navegador passa por aquele servidor durante dias. Quando o servidor morre, a internet cai com o erro "o servidor proxy não está respondendo".
- Baixar programas pelo proxy. Nas medições foram identificados servidores que colocavam malware dentro dos arquivos baixados. Baixe instaladores pela sua própria conexão, na fonte oficial.
Guia de decisão
| Necessidade | Recomendação |
|---|---|
| Ver uma vez como uma página pública aparece em outro país | Risco baixo; não faça login, não baixe arquivos, desligue ao terminar |
| Entrar no e-mail, em redes sociais ou em uma conta de jogo | Não use proxy gratuito; entre pela sua própria conexão |
| Banco, pagamentos, serviços do governo | Nunca; confira também se a configuração de proxy está desligada |
| Projeto de faculdade, um pequeno teste de coleta de dados | Primeiro sem proxy e devagar; siga as regras do robots.txt do site |
| Gerenciar várias contas com regularidade | Uma lista gratuita não serve; o endereço morre a qualquer momento, tem ficha ruim e os seus cookies de sessão ficam expostos |
| Coleta de dados e monitoramento de preços em produção | Uma lista gratuita não serve; o código injetado na página suja os dados coletados sem que você perceba |
| Trabalhar com dados da empresa | Não passe esses dados por um proxy gratuito; não há como verificar se o servidor guarda registros |
Perguntas frequentes
Usar um proxy gratuito é perigoso?
Depende da tarefa. Olhar uma página pública sem fazer login é de baixo risco. Qualquer coisa em que você digite senha, dados de cartão ou dados pessoais é perigosa, porque o seu tráfego passa pelo servidor de alguém cuja identidade você não conhece.
O serviço consegue ver a senha que eu digito em um site de web proxy?
Sim. Como o site de web proxy abre e reescreve a página de destino no servidor dele, ele vê em texto puro o que você digita nos formulários, inclusive a senha e o cookie de sessão. De fora, não dá para verificar se ele guarda esses dados.
Se eu usar HTTPS, o proxy gratuito passa a ser seguro?
Em parte. Em um proxy do tipo IP:porta digitado nas configurações de proxy do dispositivo, o HTTPS protege o conteúdo da página e a sua senha. Continua visível qual site você acessa e quando, páginas sem criptografia não ficam protegidas, e a proteção acaba no momento em que você ignora um aviso de certificado. Nos sites de web proxy, o HTTPS não protege você do próprio serviço.
Por que os endereços das listas de proxies atualizadas não funcionam?
A maior parte dos endereços das listas são servidores que ficaram abertos por engano ou que foram comprometidos, e eles fecham quando o dono percebe. Os sites de listas encontram um endereço uma vez e publicam; não verificam de forma contínua. Na medição ampla de 2018, mais de 92% dos proxies listados não respondiam às requisições.
Qual é a diferença de fundo entre um proxy gratuito e um pago?
Há diferença de velocidade também, mas a de fundo é quem é conhecido. Em um servidor gratuito você não consegue verificar nem o operador, nem a origem da receita dele, nem se ele guarda registros, e não há a quem recorrer quando algo dá errado. Um endereço de lista ainda é usado por todos os que o encontram, ou seja, não está fechado para ninguém; explicamos os métodos de autenticação em Autenticação de proxy: user:pass ou whitelist de IP.
Usar uma VPN é mais seguro do que um proxy gratuito?
Enquanto for gratuita, vale para a VPN a mesma pergunta: quem opera o servidor e de onde vem o dinheiro? Uma VPN coloca todo o tráfego em um túnel criptografado, mas o servidor na outra ponta do túnel continua sendo o lugar por onde o seu tráfego passa. Comparamos as duas ferramentas em Diferença entre proxy e VPN: quando usar cada um?.
Em resumo
Como os sites de web proxy abrem a página no servidor deles, eles veem tudo, inclusive as suas senhas. Nos proxies IP:porta das listas, o HTTPS protege o conteúdo, mas fica visível qual site você acessa, páginas sem criptografia podem ser alteradas e ninguém sabe quem opera o servidor. Medições revisadas por pares, datadas de 2018, mostraram que a maioria desses servidores não funciona e que parte dos que funcionam insere anúncios, código de rastreamento e malware nas páginas. Não use proxy gratuito para contas e pagamentos; se já usou, desligue a configuração e renove as suas senhas. A medida é simples: se você não consegue verificar quem opera um endereço, parta do princípio de que tudo o que passa por ele pode estar nas mãos de um desconhecido.
