Âmbito por plataforma
As aplicações para Windows e Android criam um túnel VPN ao nível do sistema. Existem extensões para Chrome, Edge, Firefox e Brave, mas protegem apenas o navegador relevante. A implementação documentada do Chrome utiliza um proxy HTTPS autenticado; as páginas internas, a API FuzeVPN e os sítios deliberadamente excluídos permanecem fora dele. As definições das outras três extensões não são inferidas a partir do Chrome.
Isto protege o transporte. Não repara um dispositivo comprometido, não recupera uma palavra-passe divulgada, não neutraliza um sítio Web malicioso nem protege dados fornecidos voluntariamente a terceiros.
Protocolos e encriptação
No Chrome, a ligação proxy é encriptada com TLS sobre TCP. Os sítios HTTPS utilizam um túnel CONNECT e mantêm a sua encriptação até ao sítio Web; um sítio HTTP não fornece encriptação de ponta a ponta. A versão TLS e o conjunto de cifras são negociados, pelo que a FuzeVPN não promete TLS 1.3 ou AES-256 em todas as ligações.
No Android, o WireGuard utiliza UDP/51820, Curve25519 e ChaCha20-Poly1305. O OpenVPN utiliza UDP/1194, certificados, verificação do servidor e tls-crypt-v2; a cifra negociada é AES-256-GCM, AES-128-GCM ou ChaCha20-Poly1305.
No Windows, o WireGuardNT 1.1 utiliza UDP, Curve25519, ChaCha20-Poly1305, BLAKE2s e HKDF; as chaves privadas são protegidas localmente pelo DPAPI. O OpenVPN 3 Core com DCO utiliza UDP/IPv4 na porta 1194 sem fallback TCP, com certificados e tls-crypt-v2. A sua cifra é negociada a partir da lista fornecida pelo servidor e não pode ser descrita como utilizando sempre AES-256.
Conta e autenticação
As palavras-passe são armazenadas sob forma de hash. A verificação do e-mail, a reposição da palavra-passe e os mecanismos de sessão utilizam tokens limitados e revogáveis.
O cookie de sessão é HttpOnly, Secure e SameSite=Lax. As operações sensíveis estão protegidas contra pedidos provenientes de outra origem.
Dispositivos e credenciais técnicas
A FuzeVPN conserva o nome do dispositivo, uma chave pública ou certificado, o endereço VPN interno e o servidor atribuído para configurar e revogar o acesso.
As chaves privadas permanecem no dispositivo. Eliminar ou revogar um dispositivo torna as suas credenciais inutilizáveis e liberta o seu lugar dentro do limite de 5 dispositivos.
DNS
No Chrome, os nomes dos sítios Web encaminhados pelo proxy são resolvidos pelo proxy. O nome do anfitrião do proxy, a API, os sítios excluídos e algumas resoluções especulativas utilizam o caminho DNS normal do Chrome ou do sistema. A extensão não impõe nenhum resolvedor, DNS sobre HTTPS ou DNS sobre TLS e, por isso, não pode garantir a ausência de todas as resoluções DNS locais.
No Android, os servidores DNS provêm da configuração VPN e os seus pedidos atravessam o túnel. A aplicação não adiciona DoH nem DoT; um navegador que utilize o seu próprio DNS seguro pode selecionar outro resolvedor, permanecendo sujeito ao encaminhamento VPN.
No Windows, o DNS fornecido pela configuração atravessa o túnel. O OpenVPN ativa block-outside-dns e o WFP bloqueia o DNS IPv4 fora do túnel nas portas 53 e 853; o IPv6 é abrangido pelo seu bloqueio separado. Existe uma exceção DNS limitada antes da ligação para alcançar a API, sendo removida depois. Sem o kill switch, uma aplicação que utilize DoH na porta 443 pode contornar o bloqueio específico do DNS.
IPv6
No Chrome, os destinos Web IPv6 públicos passam pelo proxy, exceto as exclusões. O IPv6 não é desativado no computador; os endereços IPv6 locais, de loopback e de ligação local são bloqueados enquanto a proteção está ativa.
No Android e no Windows, uma configuração dual-stack validada encaminha IPv4 e IPv6 através do túnel. Quando não está disponível uma configuração IPv6 VPN, o IPv6 é bloqueado enquanto o túnel está ativo, sem fallback silencioso para a interface física. O transporte até ao servidor VPN permanece atualmente IPv4.
WebRTC
No Chrome, a opção ativada por predefinição aplica disable_non_proxied_udp para impedir que o UDP do WebRTC contorne o proxy. Esta definição global pode degradar algumas chamadas, aplica-se também aos sítios excluídos e não abrange páginas Chrome privilegiadas nem outras extensões.
No Android, o WebRTC segue o encaminhamento VPN, mas não é desativado no navegador e não é adicionado nenhum filtro WebRTC dedicado. No Windows, a opção bloqueia UDP fora do loopback e da interface VPN; com o kill switch desativado, TURN sobre TCP ou TLS/443 pode ainda funcionar fora do túnel. Os candidatos ICE locais apresentados por um navegador não provam, por si só, uma fuga para a Internet.
Kill switch
No Chrome, o kill switch está ativado por predefinição e bloqueia novos pedidos Web até a ligação ser verificada. Os sítios excluídos e os pedidos internos à API continuam permitidos; desligar voluntariamente remove o bloqueio.
No Android, o kill switch depende das definições do sistema “VPN sempre ativa” e “Bloquear ligações sem VPN”, que o utilizador deve ativar.
No Windows, o kill switch WFP nativo abrange IPv4 e IPv6. Instala o bloqueio antes da chamada de ligação e permite depois apenas o serviço VPN e a interface do túnel. Após uma falha, o tráfego permanece bloqueado até à desligação explícita. Os filtros permanecem se a interface gráfica fechar, mas desaparecem se um administrador parar o serviço privilegiado.
Ausência de registos de atividade VPN
A FuzeVPN não conserva sítios visitados, conteúdos, consultas DNS, endereços IP de origem associados a sessões, horas e durações das ligações nem o histórico dos servidores VPN utilizados.
Os servidores tratam o tráfego apenas em memória e durante o tempo necessário para o encaminhar. A FuzeVPN não cria nem centraliza qualquer registo de ligações da aplicação.
Registos técnicos e monitorização
A infraestrutura VPS é autogerida e implementada a partir de uma configuração partilhada que o editor verifica em cada implementação; até à data, não foi realizada qualquer auditoria independente. Estas verificações confirmam a ausência de registos persistentes do sistema; quaisquer eventos transitórios em memória não contêm conteúdo de tráfego, histórico de navegação nem uma associação duradoura entre uma pessoa e uma sessão VPN.
Os fornecedores conservam separadamente determinados registos da plataforma descritos na Política de Privacidade. A monitorização da FuzeVPN utiliza apenas métricas agregadas da infraestrutura, e não um histórico de navegação individual.
Infraestrutura e cópias de segurança
As contas estão alojadas pela OVH SAS em França. As cópias de segurança são encriptadas e a cópia remota está limitada à jurisdição da União Europeia da Cloudflare R2.
IONOS SARL, OVH SAS fornecem servidores privados virtuais alojados em centros de dados físicos associados a uma região. A lista de localizações é publicada na página inicial; o país indicado para cada uma é o do seu endereço IP de saída.
Disponibilidade e resposta
O serviço pode ser interrompido para manutenção, devido a incidentes, atualizações de segurança ou falhas do fornecedor. Nenhuma localização, velocidade ou acesso a um serviço de terceiros é garantido permanentemente.
Durante um incidente, o acesso pode ser revogado, os serviços podem ser isolados e as cópias de segurança restauradas. As violações de dados pessoais são avaliadas ao abrigo do procedimento aplicável do RGPD.
O que depende de si
Utilize uma palavra-passe única, mantenha os dispositivos atualizados, revogue os dispositivos perdidos e verifique se a ligação VPN está ativa antes de uma utilização sensível.
Comunique prontamente qualquer atividade invulgar para contact@fuzevpn.com. Uma VPN não substitui as atualizações, uma autenticação forte disponível noutros serviços nem a vigilância contra fraudes.