A diferença num minuto
Com HTTPS, o navegador autentica o site através de um certificado e encripta a sessão até esse site. A rede local, o fornecedor de Internet e o servidor VPN não conseguem ler o conteúdo HTTPS, embora possam observar metadados necessários para o encaminhamento.
Com uma VPN, o sistema encripta o tráfego pretendido até ao servidor VPN. A partir desse servidor, o tráfego continua até ao destino. Se também utilizar HTTPS, permanece encriptado até ao site; caso contrário, a parte posterior ao servidor VPN não ganha magicamente proteção HTTPS.
| Pergunta | VPN | HTTPS |
|---|---|---|
| Começa em | Dispositivo ou aplicação VPN | Navegador ou aplicação |
| Termina em | Servidor VPN | Site ou serviço |
| Endereço IP visto pelo site | Servidor de saída | Não o altera |
| Protege contra sites falsos | Não | O certificado ajuda, sem impedir phishing |
Fontes e referências
Quem pode ver o quê?
A rede local vê sobretudo uma ligação encriptada ao servidor VPN. O fornecedor de VPN vê as informações necessárias para retransmitir a ligação, mas o HTTPS limita a sua capacidade de ler o conteúdo trocado com o site.
O site vê o endereço IP de saída da VPN e tudo o que partilha com ele: conta com sessão iniciada, cookies, dados de formulários e identificadores do navegador. O HTTPS protege estes dados em trânsito, não os esconde do próprio destinatário.
Exemplo numa rede Wi-Fi de hotel
Abre o seu banco através de HTTPS enquanto a VPN está ativa. O Wi-Fi do hotel não consegue ver o conteúdo da página; vê uma ligação à VPN. O servidor VPN retransmite a ligação, mas o HTTPS mantém o conteúdo bancário encriptado até ao banco.
Se uma página apresentar um aviso de certificado, não o ignore apenas porque a VPN está ativa. O túnel não valida a identidade do site em nome do navegador.
Ideias erradas comuns
O cadeado no navegador não significa que um site seja honesto: significa sobretudo que a ligação a esse domínio está encriptada e autenticada de acordo com o certificado. Um site de phishing também pode utilizar HTTPS.
Por outro lado, o HTTPS não esconde do site o endereço IP da sua ligação. Uma VPN pode alterar o endereço de saída, mas as contas e os cookies continuam visíveis para o site.
- Continue a utilizar HTTPS mesmo com uma VPN.
- Nunca ignore um aviso de certificado sem compreender a sua causa.
- Confirme o âmbito da aplicação ou extensão VPN.
- Trate o fornecedor de VPN como um intermediário de confiança.