iCloud Private Relay vs VPN: qual é a diferença?

Se você paga pelo iCloud+, já tem o Private Relay ativado em algum lugar dos Ajustes. Muitos usuários de iPhone presumem que isso os protege — que é a VPN discreta e embutida da Apple e que não há mais nada em que pensar.

Não é bem tão simples. A resposta honesta para iCloud Private Relay vs VPN é que eles são ferramentas diferentes, feitas para tarefas diferentes. O Private Relay é bem projetado e, para algumas pessoas, é suficiente. Para muitas outras, ele deixa lacunas grandes que elas não percebem que existem. Este texto explica o que o Private Relay realmente faz, o que ele não faz, e como saber de que lado dessa linha você está.

O que o Private Relay realmente é

O Private Relay é um recurso do iCloud+, não um produto autônomo. Você o recebe incluído em qualquer plano pago de armazenamento do iCloud.

O que ele faz, em uma frase: ele passa a sua navegação no Safari e parte do tráfego de fundo relacionado ao iCloud por dois servidores, de modo que nenhuma parte sozinha veja ao mesmo tempo quem você é e o que você está carregando. É isso. Ele não é divulgado como uma VPN, e a Apple tem o cuidado de nunca chamá-lo assim, embora a maioria das pessoas use as duas palavras como sinônimos.

Todo o resto no seu celular (Instagram, Chrome, TikTok, o app do seu banco, seu cliente de e-mail, qualquer jogo, qualquer navegador de terceiros) usa a sua conexão normal. O Private Relay não toca nisso.

Como o Private Relay funciona (em bom português)

A parte interessante do Private Relay é a arquitetura de dois saltos. É um design genuinamente bem pensado, então vale a pena entendê-lo, mesmo que você acabe usando uma VPN.

Dois saltos, duas partes

Quando o Safari carrega uma página com o Private Relay ativado, a sua requisição passa por dois relays em sequência:

• O relay de entrada (ingress) é operado pela Apple. Ele vê o seu endereço IP real (porque o seu celular se conecta diretamente a ele), mas não consegue ver qual site você está tentando acessar. Essa parte é criptografada com uma chave separada que o servidor de entrada não possui.
• O relay de saída (egress) é operado por um parceiro terceiro (Cloudflare, Fastly, Akamai, dependendo da região). Ele consegue descriptografar o destino, mas não o seu IP real. Tudo o que ele vê do lado de entrada é o endereço do relay de entrada.

O truque principal é que a URL de destino e o seu IP são criptografados com duas chaves separadas, cada uma em posse de uma parte diferente. A Apple detém a chave que revela quem você é; o parceiro detém a chave que revela para onde você está indo. Nenhuma das duas vê as duas metades do quadro, então nenhuma delas, sozinha, consegue montar um perfil da sua navegação.

Essa é uma vitória real para a privacidade, e é um design mais coerente do que uma VPN padrão de salto único, em que um provedor vê tudo. Supondo que a Apple e o parceiro de saída não compartilhem dados, o Private Relay genuinamente eleva o nível para o tráfego do Safari.

Então qual é o porém?

O porém é o alcance. O Private Relay só cobre:

• A navegação no Safari
• Um punhado de serviços do iCloud e da Apple no nível do sistema
• Um conjunto restrito de tráfego inseguro (HTTP) de apps que usam as APIs de rede do sistema

Qualquer outra coisa (e, em um iPhone típico, “qualquer outra coisa” é a maior parte do que o seu celular faz) flui pela sua conexão comum. O design de dois saltos não se estende a ela.

Um exemplo concreto: abra o Instagram e role a tela. As buscas de imagem do app, suas chamadas de analytics, o SDK de anúncios reportando seus padrões de rolagem de volta aos servidores dele, nada disso passa pelo Private Relay. O seu provedor de internet consegue ver com quais servidores o seu celular está se comunicando e aproximadamente quando. Os destinos podem registrar o IP de origem. Trocar do Safari para praticamente qualquer app de terceiros, na prática, desliga o Private Relay para aquela sessão, sem nenhum sinal visível de que algo mudou.

O que o Private Relay NÃO faz

Esta é a parte que a maioria dos usuários ignora. A lista abaixo não é um ataque ao Private Relay; é apenas uma descrição precisa de onde ele para.

• Ele não tunela o tráfego de apps que não sejam o Safari. Abra o Chrome, o Firefox, qualquer app social, qualquer mensageiro, qualquer jogo, qualquer app de banco, e o seu IP, somado ao tráfego desse app, fica visível para o seu provedor de internet e para qualquer coisa no meio do caminho.
• Ele não deixa você escolher um país ou região. Você pode escolher entre “manter localização geral” ou “usar país e fuso horário”, mas não pode rotear, digamos, pelos EUA a partir da Alemanha. Não há seletor de servidor porque o Private Relay não está tentando ser um.
• Ele não funciona em muitos países. O Private Relay está indisponível ou bloqueado em várias regiões, incluindo China, Rússia, Arábia Saudita, Belarus e Egito, entre outras, com a lista mudando ao longo do tempo. Se você está indo para algum lugar nessa fronteira, vale conferir a página de disponibilidade atual da Apple antes de viajar. Se você viajar para um desses lugares, o recurso simplesmente se desliga e você não será necessariamente avisado.
• Ele não esconde você dos rastreadores de apps. Um SDK de rastreamento embutido em um app de terceiros vê o seu IP real, porque esse app não está passando pelo Private Relay para começar.
• Ele não protege o tráfego não-Safari em um Wi-Fi hostil. Conecte-se a uma rede duvidosa de hotel ou aeroporto e os seus apps que não são o Safari ficam expostos exatamente como ficariam sem o Private Relay.

Nada disso é uma falha do Private Relay. Ele está fazendo o que foi projetado para fazer. O erro é presumir que ele faz mais do que isso.

Então o Private Relay é uma VPN?

A rigor: não. Uma VPN monta um túnel criptografado que captura todo o tráfego que sai do seu dispositivo e o roteia por um servidor da sua escolha. O Private Relay é um proxy de alcance restrito, com um design fixo e opinativo. Ele intencionalmente não lhe dá um seletor de servidor, e intencionalmente não tunela tudo.

Se um amigo perguntar “o Private Relay é uma VPN?”, a resposta curta é: “É um recurso de privacidade com algumas propriedades parecidas com as de uma VPN para o Safari, mas não é um substituto de uma VPN.”

Quando o Private Relay é suficiente

Para algumas pessoas, o Private Relay genuinamente é suficiente. Você provavelmente se encaixa neste grupo se:

• Você faz quase toda a sua navegação no Safari e raramente usa navegadores de terceiros.
• Você não precisa parecer estar em um país específico (para streaming, para testes, por motivos de viagem, ou para acessar conteúdo de casa quando está no exterior).
• Você não viaja com frequência nem mora em um país onde o Private Relay está indisponível.
• Você está confortável com o fato de que qualquer app que abrir — incluindo os que têm SDKs de anúncios embutidos — vê o seu IP real.

Se todos esses quatro pontos forem verdadeiros, o Private Relay junto com o Safari é uma base razoável e você talvez não precise de uma VPN separada. É um bom ponto de partida para uma checklist de privacidade do iPhone.

Quando você realmente precisa de uma VPN

Você provavelmente quer uma VPN de verdade (não só o Private Relay) se qualquer um destes pontos se aplica:

• Você quer todo o tráfego tunelado, não só o do Safari. Cada app no seu celular, cada navegador, cada serviço em segundo plano roteado pela mesma conexão criptografada. O Private Relay não consegue fazer isso.
• Você quer escolher um país. Conectar-se a partir de uma região específica para viagem, para conteúdo que só está disponível em certos lugares, ou só para parecer que você está em outro lugar, exige uma VPN de verdade com um seletor de servidor.
• Você usa Wi-Fi público com frequência. Cafés, hotéis, aeroportos, espaços de coworking. Uma VPN protege tudo no seu dispositivo nessas redes, não só a aba do Safari que você tem aberta. Se você quer um tratamento mais longo de por que o não registro importa nesse cenário, veja o que uma VPN sem registro realmente significa.
• Você viaja para lugares onde o Private Relay não funciona. China, Rússia, partes do Oriente Médio e da Ásia Central. Nessas regiões, o Private Relay está bloqueado ou indisponível, e esse é exatamente o momento em que você gostaria de ter ferramentas de privacidade. Uma VPN lhe dá algo que o Private Relay não pode.
• Você quer defesa em profundidade. O Private Relay é um mecanismo. Uma VPN é outro. Os dois protegem contra ameaças sobrepostas, mas diferentes, e alguns leitores vão querer ter ambos disponíveis.

Se você é novo na categoria e quer o básico primeiro, a nossa introdução sobre o que é uma VPN cobre o terreno.

Dá para usar o Private Relay e uma VPN ao mesmo tempo?

Sim. Eles coexistem no iOS sem conflito.

O que acontece na prática: quando uma VPN está ativa e tunelando todo o tráfego, as suas requisições do Safari fluem pela VPN como tudo o mais. O caminho de dois saltos do Private Relay se torna redundante. O seu tráfego já está sendo roteado pelo seu provedor de VPN, então adicionar o relay da Apple na frente dele não muda muita coisa, exceto acrescentar latência.

Por causa disso, a maioria das pessoas que usa uma VPN completa acaba desligando o Private Relay, ou ao menos não nota quando o iOS o ignora discretamente. Você não perde nada ao fazer isso; está consolidando duas camadas de privacidade sobrepostas em uma que cobre mais do seu celular.

A recomendação prática: se você decidiu que quer uma VPN, use a VPN como seu padrão, e trate o Private Relay como reserva para os períodos em que a VPN estiver desligada (entre conexões, quando você estiver alternando servidores, quando um app se recusar a funcionar pelo seu túnel). No iOS você não precisa escolher no nível dos ajustes. Ambos podem ficar ativados, e o que estiver ativo no momento cuidará do Safari. O único custo de deixar os dois ligados é um carregamento um pouco mais lento do Safari quando a VPN está desligada e o Private Relay assume.

Conclusão

O iCloud Private Relay é um recurso bem projetado, com uma tarefa estreita: proteger a sua navegação no Safari e uma fatia do tráfego do sistema de ser observada por qualquer parte isolada. Ele faz essa tarefa bem, e a arquitetura de dois saltos é mais bem pensada do que a maioria dos designs de VPN.

Mas ele não é uma VPN, e não pretende ser. Ele não cobre os apps que não são o Safari, não deixa você escolher uma região, não funciona em vários países, e não ajuda em um Wi-Fi hostil fora do Safari. Se essas lacunas importam para você, e para muitos usuários de iPhone elas importam, você precisa de uma VPN de verdade, além do Private Relay ou no lugar dele.

A pergunta certa não é “iCloud Private Relay vs VPN, qual vence?”. É “o que eu realmente estou tentando proteger, e qual ferramenta cobre isso?”. Para usuários que só usam o Safari em regiões suportadas, o Private Relay sozinho é razoável. Para todos os outros, uma VPN faz o trabalho que o Private Relay nunca foi projetado para fazer.

Se você passou por tudo isso e decidiu que quer uma VPN que cubra tudo o que o seu celular faz, não só um navegador, o Snap VPN foi feito para isso. Sem cadastro de e-mail. Sem registros de tráfego. Sem conta vinculada ao seu nome. A sua assinatura fica no seu Apple ID, disponível nas principais regiões, com o WireGuard por baixo dos panos. O macOS está a caminho.