VPN não é antidetect: o erro de briefing mais caro do trimestre

O briefing chegou no Slack com a confiança de quem já comprou a solução. “O time inteiro vai usar a VPN da empresa. Assim as contas ficam isoladas.” Três semanas depois, cinco gestores compartilham o mesmo IP de datacenter do provedor de VPN, o Chrome continua um só, o cookie da BM A ainda está no mesmo perfil que o da BM B, e o WebRTC ainda aponta a fibra do escritório. A fatura da VPN foi paga. O isolamento não foi entregue. Esse é o erro de briefing mais caro do trimestre: tratar túnel cifrado como se fosse painel de anúncio.

VPN faz um job. Antidetect faz outro. Proxy residencial faz um terceiro. Fundir os três no mesmo slide é como o fornecedor vende pra consumidor. Não é como a mesa opera. O hub de comparativos existe pra comparar stacks de verdade. Este texto desfaz o briefing. Sem marca no meio. Sem promessa de milagre.

O que a VPN realmente faz

VPN cria um túnel. O tráfego sai de um concentrador. Quem está na outra ponta da conexão HTTP vê o IP do concentrador, não o IP da placa. Cifra o caminho até o provedor da VPN. Útil em Wi-Fi de hotel pro e-mail. Útil pra TI que não quer o RDP na internet crua. Útil, às vezes, pro humano que não quer a operadora lendo DNS no 4G — e mesmo aí o produto precisa forçar DNS, o que muita VPN de consumidor não faz.

O que a VPN não faz:

Não cria cookie novo. O Chrome logado continua logado. A BM continua no mesmo storage.

Não cria fingerprint novo. GPU, canvas, fonte, lista de extensões: iguais. O túnel não pinta o retrato.

Não cria permissão de time. Quem tem a senha da VPN da empresa não ganha papel de ver na BM. Quem sai da agência e leva o notebook leva a sessão.

Não escolhe um IP residencial sticky por identidade. O IP da VPN é, na prática, compartilhado, de datacenter, com reputação de VPN. Plataformas de anúncio veem isso todos os dias. ASN de VPN não é ASN de casa em Pinheiros.

Não desliga WebRTC sozinha. O STUN pode continuar confessando a placa. O texto de WebRTC já cobriu o furo. O ícone verde do app não é o teste.

Job da VPN: caminho cifrado até um concentrador. Job do isolamento de anúncio: sessão, retrato, rede coerente, time. Quem compra o primeiro no briefing do segundo paga duas vezes. Uma na fatura. Outra no grafo.

O IP compartilhado que o slide esconde

VPN de consumidor concentra milhares de pessoas no mesmo pool. O IP que você “ganhou” em São Paulo é o mesmo de um café, de um torrent, de um script. Reputação. Listas. Captcha. O gestor lê “IP de SP” e sorri. O ASN diz datacenter em outro país com bandeira de SP no marketing. Qualidade de IP não é o país no app. É ASN, histórico, se o endereço é de operador de VPN conhecido.

Cinco contas de cinco clientes saindo pelo mesmo concentrador, no mesmo horário comercial, no mesmo Chrome: a VPN unificou o que o briefing prometeu separar. O contrário do isolamento. Um lugar só, sim — o lugar errado. O lugar de um ASN que anúncio já classificou.

Residencial sticky, no recorte de proxy residencial, datacenter e móvel, é outro contrato. Um IP, uma identidade, tempo de sessão combinado. Ainda precisa de teste. Ainda não lava termos de uso. Ainda assim, não é o pool do app de VPN. O briefing que diz “VPN residencial” quase sempre está vendendo o pool. Peça o ASN. Peça o teste. Peça se é sticky por perfil. Se a resposta for um mapa de países colorido, você está no slide de consumidor.

Cookie, aba e o Chrome que a VPN não toca

A cena clássica. Gestor liga Nord, Express, a VPN da TI, o nome do trimestre. Abre BM do cliente A. Abre MCC do cliente B. Abre o Instagram pessoal. Tudo “protegido”. Protegido de quem? Da operadora no caminho. Não da plataforma que vê o mesmo cookie jar, o mesmo login Google, o mesmo pixel de debug.

VPN no host afeta todos os processos. O Ads e o YouTube pessoal saem pelo mesmo concentrador. O briefing prometeu isolamento. A máquina fez o oposto: colou ainda mais caminhos num IP só.

VPN por extensão, só numa aba, continua sendo extensão no retrato, e continua sem separar storage. Aba não é perfil. Pasta não é perfil. Túnel não é perfil.

Como escolher navegador antidetect parte do job: processo, storage, rede por identidade. A VPN nem entra como requisito. Entra como anti-padrão quando o time a liga “por cima, pra ficar mais seguro”. Mais opaco. Menos documentado. Terceiro IP.

WebRTC, DNS e o ícone verde

App de VPN verde. Gestor satisfeito. Checker de WebRTC mostra o IPv4 da casa. Ou o IPv6. Ou os dois. O túnel cobriu o HTTP. O STUN não entrou no contrato.

DNS. A consulta ainda vai ao ISP, ou vai ao DNS da VPN num país que não combina com a conta. Leak ou inconsistência. Os dois são o contrário de “está isolado”.

Kill switch. Útil pro humano que não quer vazar o IP real se o túnel cair. No perfil de anúncio, o túnel cair e o tráfego sair nativo no meio da BM é o incidente. Kill switch ajuda se a VPN fosse o cano certo. Se a VPN não é o cano certo, o kill switch só torna o cano errado mais rígido.

Teste com a VPN desligada e o proxy da operação ligado. Depois, se alguém insistir na VPN, teste os dois juntos e mostre o terceiro IP. O print encerra o briefing melhor que o Slack.

Viagem, hotel e o uso legítimo

Há um uso honesto. O gestor no aeroporto precisa do e-mail corporativo e do VPN de TI, política da empresa, firewall. Esse notebook, nesse momento, não deveria abrir a BM de produção. Rede nova, IP de VPN de aeroporto, às vezes país errado. Produção espera a rede documentada. Ou o perfil de viagem testado, com o caminho de saída combinado — que raramente é o app de consumidor.

4G do plantão. VPN “pro 4G ficar seguro”. O 4G já era um IP. A VPN troca por um DC. O plantão pausa gasto num ASN de VPN. Segunda-feira o coordenador pergunta por que o login veio de datacenter à 1h. Porque o briefing ganhou do procedimento.

TI da empresa adora VPN. Converse em linguagem de job. A VPN deles protege o perímetro. A mesa de mídia precisa de perímetro e de identidades que não compartilham cookie. TI pode manter a VPN pro RDP. A BM não passa por ela por padrão. Dois mundos. Ata da reunião. Senão o próximo notebook novo liga a VPN no login e o perfil de ads herda.

O que comprar quando o briefing pedia isolamento

Não é este artigo vender stack. É recusar o item errado.

Se o pedido era “as contas não podem se ver”: storage e processo separados, não túnel.

Se o pedido era “IP de casa, não de escritório”: proxy residencial documentado, sticky, geo da conta. Não pool de VPN.

Se o pedido era “o freelancer não leva a sessão”: papel, revogação, perfil na operação. Não senha da VPN da empresa no e-mail dele.

Se o pedido era “passar no checker”: ritual de WebRTC, DNS, IP, fuso. VPN verde não é o ritual.

Procurement que já assinou a VPN anual não precisa rasgar o contrato. Precisa parar de usá-la como isolamento de ads. Deixa a VPN no job de TI. Tira do procedimento de BM.

Cliente que exige “vocês usam VPN, né?” recebe a resposta honesta. Usamos controle de sessão e caminho de saída alinhado à conta. VPN de consumidor não é isso. Educar o cliente custa uma reunião. Operar a BM no pool de VPN custa o trimestre.

VPN corporativa always-on e o perfil de ads

TI liga VPN always-on no notebook. Todo processo sai pelo concentrador da empresa. O perfil de anúncio herda o ASN da VPN, a geo do datacenter, o DNS da TI. O residencial que a mesa contratou fica atrás, inútil, ou briga com a VPN e cria o terceiro IP.

Ata. Ads fora do túnel, se o split tunnel existir e o jurídico aceitar. Ou máquina de mídia sem always-on, só com o caminho da operação. Ou aceite, por escrito, que as BMs saem do ASN da empresa — um lugar só, o escritório virtual da VPN, pra todas as identidades. Isso não é isolamento entre clientes. É um único grafo de rede corporativo. Às vezes o anunciante único in-house vive assim. A agência com vários CNPJs não deveria.

Split tunnel mal configurado vaza o Ads nativo e o resto cifrado, ou o contrário. Teste. Print. Não acredite no diagrama do fornecedor de VPN sem o checker no perfil.

O que o cliente pediu de verdade

“Usem VPN” quase sempre quis dizer uma destas frases, mal traduzidas:

Não quero a conta no Wi-Fi aberto do shopping. Resposta: não operem produção em Wi-Fi aberto. Caminho de saída documentado.

Não quero o freelancer no IP da casa dele sem controle. Resposta: perfil da operação, proxy da operação, papel. Não o app de VPN no notebook dele.

Não quero que as contas se vejam. Resposta: storage separado. VPN unifica IP. Faz o oposto.

Quero parecer profissional. Resposta: isolamento e log. Cifrado no slide não é profissional em ads. Profissional é inventário.

Traduza o pedido na reunião de kickoff. Escreva a tradução. O trimestre agradece.

Não use a VPN como plano B do proxy morto no sábado. Plano B é o backup de proxy documentado, ou o plantão que não abre produção. Plano B que liga o app de consumidor troca o ASN no meio da BM. Segunda-feira o log da plataforma mostra datacenter. O coordenador jura que “foi só a VPN”. Foi a sessão.

Como o erro entra no trimestre (e como sai)

Entra na entrada apressada do time. Entra no gestor que usava VPN pra torrent em 2016 e trouxe o hábito. Entra no slide do concorrente que mistura os termos. Entra no jurídico que ouviu “criptografado” e dormiu.

Sai com um teste em reunião. Mesmo notebook. VPN ligada, checker. VPN desligada, proxy da operação, checker. Prints lado a lado. Cookie ainda lá. Fingerprint ainda lá. IP diferente, pior. A reunião acaba. O procedimento ganha uma linha: VPN pessoal e VPN de consumidor proibidas no perfil de identidade de anúncio. VPN de TI, se existir, fora do processo de ads.

O erro é caro porque parece higiene. Cifrado parece profissional. Profissional em ads é um lugar só, um storage só, um dono. Túnel compartilhado é o contrário, com ícone verde. Tire o ícone do briefing. Deixe o job.