IPv6 e conta de anúncio: o vazamento que a planilha de IPv4 ignora

A planilha da agência tem uma coluna de IP. Quase sempre IPv4. O residencial sticky está lá, geo São Paulo, ASN “bonito”, último teste verde. O coordenador aprova o perfil. O Ads Manager abre. No fundo, a placa do notebook ainda tem um endereço IPv6 da operadora, roteado nativo, visível para quem perguntar. O HTTP do anúncio saiu pelo túnel de 32 bits. O mundo de 128 bits continuou gritando o escritório.

IPv6 não é moda de 2012. É dual stack no Wi-Fi da Claro, da Vivo, da fibra do prédio. A mesa de tráfego pago trata proxy como IPv4 porque a fatura e o painel do fornecedor mostram IPv4. Este texto é o eixo que a planilha ignora: como o segundo stack vaza, como testar sem relogar a conta quente, e o que fazer no procedimento de máquina sem virar NOC.

Dual stack em linguagem de mesa

Computador moderno fala dois idiomas de endereço. IPv4 é o que o gestor reconhece: 191.x.x.x. IPv6 é o longo, com dois-pontos, que ninguém cola no Slack. O sistema operacional usa os dois quando a rede oferece os dois. Isso se chama dual stack. Não é configuração exótica. É o padrão da fibra brasileira há anos.

Quando o browser precisa de um site, pode pedir o registro A (IPv4) e o AAAA (IPv6). Quando o WebRTC monta candidatos, pode listar o IPv6 da placa e o IPv6 público que o STUN viu. Quando o proxy só encapsula IPv4, o IPv6 continua na placa, feliz, nativo.

A analogia honesta: o proxy IPv4 é o correio registrado. O IPv6 nativo é o interfone do prédio ainda ligado. Você mandou a carta pelo correio certo. O interfone ainda diz o endereço real.

Não precisa decorar prefixo 2001: versus fc00:. Precisa da pergunta operacional: este perfil, nesta rede, ainda tem IPv6 nativo visível para a página? Se a resposta não está no print, a planilha de IPv4 está incompleta.

Por que anúncio liga para isso

Plataformas de anúncio tentam saber se o login é um dispositivo num lugar só. IP é sinal barato. Dois stacks são dois depoimentos.

HTTP IPv4 diz “residencial em Pinheiros”. Candidato IPv6 diz “fibra empresarial em Belo Horizonte”. Para o grafo, isso não é detalhe de RFC. É a mesma pessoa em dois municípios. Cookie limpo não apaga o segundo depoimento.

Pesa mais em conta nova, em identidade que já tomou restrição, e em várias BMs no mesmo escritório. Cinco gestores, cinco IPv4 diferentes no proxy, um único prefixo IPv6 de operadora no STUN: as contas nascem no mesmo predinho. O recorte de WebRTC já descreve o STUN. IPv6 é o convidado que a mesa não convidou para a reunião.

Não afirma ban automático. Nenhuma plataforma te deve um PDF “desativamos por AAAA”. Afirma higiene: um perfil, um caminho de saída, um lugar plausível. IPv4 bonito com IPv6 nativo é dois lugares.

Pagamento, criativo e ToS continuam eixos separados. IPv6 não lava cartão recusado. Não aprova anúncio. Não autoriza atalho de política. Quem usa “o IPv6” para explicar toda restrição está só trocando de bode expiatório.

O proxy que só vendeu IPv4

O mercado de proxy residencial, datacenter e móvel é, na prática brasileira da mesa de ads, um mercado de IPv4. Sticky de 24 bits. Geo cidade. ASN. A ficha técnica raramente promete IPv6 de ponta a ponta.

Isso não torna o produto inútil. Torna o contrato incompleto se o browser dual stack não for tratado. Três desfechos comuns:

O proxy engole IPv4. IPv6 nativo segue. Vazamento clássico.

O fornecedor oferece IPv6. O perfil não está configurado para usá-lo. O HTTP continua IPv4. O AAAA ainda pode ir nativo.

O time desliga IPv6 no Windows de um laptop e esquece o Mac do plantão. Política de máquina irregular. O furo muda de cadeira.

Pergunte ao fornecedor, por escrito: o túnel carrega IPv6? Remote DNS cobre AAAA? Se a resposta for “não usamos IPv6”, a ação é sua: desligar o stack nativo no perfil/máquina ou rotear IPv6 de verdade. “Não usamos” do lado do proxy não desliga a placa.

Datacenter IPv4 com IPv6 nativo da casa é o pior desenho: reputação de DC no HTTP e residência real no segundo stack. Residencial IPv4 com IPv6 da empresa é o mais comum na agência. Os dois falham o teste de um lugar só.

Como testar o segundo stack

Mesmo ritual do resto da rede. Perfil vazio. Sem BM. Sem VPN pessoal. Proxy da operação ligado.

Abra um checker que mostre IPv4 e IPv6. Não confie no widget que só imprime um IPv4 grande. Muitos sites “qual é meu IP” escondem o AAAA. Force a leitura dos dois.

Abra o teste de WebRTC. Procure candidatos IPv6. Host local fe80: sozinho assusta menos. Endereço global da operadora, diferente do HTTP IPv4, assusta. Print.

Se o HTTP IPv4 é o proxy e não aparece IPv6 nenhum, anote: stack único nesta sessão. Ainda reteste em outra rede. O laptop em casa pode ganhar IPv6 que o escritório não tinha — ou o contrário.

Se aparece IPv6 e ele não é o do proxy (porque o proxy não tem IPv6), você tem o vazamento da planilha verde. Pare. Não autentique.

Não teste com a conta quente “para ver se o Ads abre”. O Ads vai abrir. O furo não é abertura. É o depoimento do segundo endereço.

Guarde o print no inventário da identidade, com a rede de origem: escritório, casa do gestor, 4G. IPv6 muda com a rede. O perfil que passou no escritório não está aprovado para o home office até o reteste.

Desligar IPv6 versus rotear IPv6

Duas estratégias honestas. Escolha uma por política, não por feeling do dia.

Desligar o stack nativo na máquina de mídia, ou no perfil, de modo que o browser não tenha IPv6 para confessar. Vantagem: combina com proxy só IPv4. Custo: procedimento de máquina. Cada Windows, cada Mac, cada atualização que religa o protocolo. BYOD desfaz. O estágio no notebook da faculdade não leu o SOP.

Rotear IPv6 de verdade pelo mesmo fornecedor que já carrega o IPv4, se existir o produto. Vantagem: dual stack coerente. Custo: achar o produto, testar, pagar, documentar. Poucas mesas brasileiras fazem isso bem. Muitas fingem que o AAAA não existe.

O que não é estratégia: ignorar. O que não é estratégia: “o antidetect deve cuidar”. Cuidar é configuração visível no teste, não fé.

Desligar IPv6 no roteador do escritório afeta todo mundo, inclusive quem não opera ads. Às vezes o TI da empresa recusa. Aí a política cai no laptop ou no perfil. Discuta com TI em linguagem de risco de sessão, não de “a gente precisa ficar anônimo”. Vocês precisam de um caminho de saída só. TI entende caminho. Não precisa entender fingerprint.

Não desligue IPv6 no meio da sessão de produção “para ver”. Mude a máquina, teste o perfil vazio, depois opere. Mudar stack com a BM aberta é outro depoimento no meio do login.

Escritório, casa e o prefixo que viaja

IPv6 de operadora costuma virar prefixo estável o bastante para amarrar. Cinco laptops no mesmo Wi-Fi, cinco proxies IPv4, um prefixo. Home office: cada casa, um prefixo diferente. O gestor que opera três clientes em três perfis, todos vazando o mesmo IPv6 da sala, cola o que o proxy tentou separar.

Isso não é lenda de fórum. É geometria de rede. A agência séria já isola cookie e perfil. O segundo stack é o atalho que devolve a cola.

Plantão no 4G do celular adiciona um terceiro IPv6. Útil como contingência de internet. Péssimo como surpresa. Se o plantão pode usar 4G, o procedimento diz: reteste IPv4 e IPv6 no 4G, ou desligue IPv6 também no tethering. Surpresa de sábado é o IPv6 da TIM no STUN da conta que “só usa residencial SP”.

Viagem. Hotel. Airbnb. Dual stack de outro país com conta brasileira. Geo do HTTP versus geo do IPv6 nativo. O artigo de qualidade de IP cobre reputação. Aqui cabe a linha: não opere produção em rede nova sem o print dos dois stacks.

O que colocar na planilha (sem virar NOC)

Uma coluna nova basta: IPv6 no último teste. Valores úteis: nenhum visível; nativo bloqueado por procedimento; roteado no proxy; vazou (bloqueio). Data. Rede. Nome de quem testou.

Não precisa de gráfico de tráfego. Precisa de liberar ou bloquear. Vazou e ainda assim publicou: isso é incidente, não “detalhe de IPv6”.

Na entrada de máquina, a linha de IPv6 entra junto com proxy e WebRTC. Na entrada de pessoa, a linha entra junto com “não ligue VPN pessoal no perfil de cliente”.

Fornecedor de proxy que só fala IPv4 continua utilizável. Continua incompleto até a política de stack. Escreva isso na ata de compra para ninguém achar que a fatura do residencial cobre o interfone.

Atualização de Windows que “melhora a rede” às vezes religa o que você desligou. Reteste trimestral de amostra de perfis. Não todos os dias. Não nunca.

Checker que só imprime um IPv4 grande

O widget “seu IP” da internet é um péssimo instrumento de liberar ou bloquear. Muitos imprimem o IPv4 do HTTP e escondem o AAAA. O gestor tira print, cola no Slack, o coordenador aprova. O segundo stack nem entrou na foto.

Escolha um checker que liste os dois. Se o time já tem um ritual de WebRTC, use o mesmo perfil vazio e a mesma sessão. Não abra o Ads “para ver se o IPv6 aparece lá”. O Ads não é laboratório.

Quando o HTTP IPv4 e o IPv6 visível pertencem ao mesmo fornecedor de proxy, anote coerente. Quando o IPv6 é da operadora e o IPv4 é o residencial, anote vazou. Não existe “quase”. Quase é o interfone ligado.

Há ainda o caso do checker em IPv4-only por bug ou por CDN. Se o site de teste não tem AAAA, ele não vai denunciar o seu AAAA. Cruze com o teste de WebRTC, que lista candidatos da placa mesmo quando o HTTP do checker é só v4. Dois testes, um veredito.

Documente o nome do checker no procedimento. Trocar de site a cada incidente produz prints incomparáveis. Três meses depois ninguém sabe se o “IPv6 limpo” de janeiro usava a mesma ferramenta.

Home office e o prefixo que muda toda segunda

O escritório às vezes tem IPv6 estável o bastante para a política de desligar na máquina corporativa funcionar. A casa do gestor não. Cada operadora, cada roteador, cada “melhorar a rede” da operadora religa o dual stack.

Reteste no primeiro dia de home office daquela pessoa, naquela rede. Não no terceiro mês. O perfil que passou no escritório não está aprovado para a sala de casa até o print dos dois stacks.

Se a agência aceita BYOD, a política de desligar IPv6 no Windows vira pedido, não controle. Pedido falha. Aí só resta o perfil que não confessa o stack nativo, ou a recusa de BYOD para produção. Meio-termo é a planilha verde e o prefixo da Vivo da Vila.

O que IPv6 não é

Não é o novo nome de fingerprint. Não é motivo para nascer conta gêmea. Não é motivo para clonar BM. Não é desculpa de criativo. Não é prova de que o concorrente “hackeou”. É um endereço a mais que o browser pode entregar.

Também não exige que o gestor vire engenheiro de rede. Exige que o checker usado pela mesa mostre os dois stacks, e que o bloqueio seja respeitado. O resto é disciplina.

A planilha verde de IPv4 é confortável. Conforto não é isolamento. Isolamento de sessão para anúncio pede um lugar só. Enquanto a placa tiver um segundo idioma nativo, a planilha está contando só a metade da frase. Complete a frase. Teste o AAAA. Ou aceite, por escrito, que a agência opera com o interfone ligado — o que uma mesa que cobra isolamento não deveria aceitar.