Como sites são bloqueados: os métodos técnicos por trás da censura

Imagine que você quer acessar um site, mas em vez de receber a página, sua conexão simplesmente desaparece. Pode parecer mágica, mas há uma lógica técnica por trás disso. Governos e provedores de internet usam ferramentas bem específicas para bloquear conteúdo. Não são mistérios ou tecnologias futuristas — são métodos que funcionam no nível das regras que fazem a internet funcionar. Este guia explica como cada um funciona, o que custa implementar, e por que nenhum é completamente infalível.

Filtro de DNS: a lista de endereços bloqueados

Quando você digita um endereço na barra do navegador (como exemplo.com), seu computador não sabe onde esse site fica. Ele pergunta a um servidor de DNS (Domain Name System) — pense nisso como uma agenda telefônica da internet. O servidor de DNS responde com um número chamado endereço IP, que é o "endereço postal" real do servidor.

O filtro de DNS funciona interceptando essa pergunta. Se o site está na lista de bloqueio, o servidor de DNS retorna um endereço IP falso (ou nenhum endereço). Seu navegador tenta se conectar àquele endereço e encontra um servidor que exibe uma mensagem de bloqueio, ou simplesmente não consegue se conectar.

Custo: muito baixo. Um governo pode adicionar milhões de domínios a uma lista com pouco gasto de infraestrutura. Dificuldade de contorno: também baixa. Você pode usar um servidor de DNS diferente — como um operado por uma organização que não censura — e a lista de bloqueio deixa de funcionar. Muitas pessoas contornam esse método apenas mudando o servidor de DNS em suas configurações de rede.

Bloqueio por IP: bloquear todo o servidor

Invés de bloquear um domínio específico (nome), você pode bloquear o endereço IP inteiro — o computador que hospeda aquele site. É como fechar uma rua inteira em vez de uma casa.

Todas as conexões para aquele endereço IP são rejeitadas. Seu provedor de internet (ISP) detecta o tráfego destinado àquele IP e descarta os dados, ou seu navegador recebe uma resposta que diz "conexão recusada".

Custo: baixo a médio. Requer mais processamento que DNS, mas provadores de internet já têm a infraestrutura para fazer isso. Dificuldade de contorno: média. Você pode contornar usando um proxy ou uma rede que roteia seu tráfego através de um computador fora do país bloqueando. No entanto, se o site se muda para compartilhar um servidor com outros sites (técnica chamada hospedagem compartilhada), o bloqueio pode afetar inocentemente outros sites também.

Inspection de SNI: ler o "envelope" do certificado

Este é um pouco mais técnico, mas vale a pena entender. Quando seu navegador se conecta a um site usando HTTPS (conexão criptografada), ele ainda precisa avisar ao servidor qual site quer acessar — antes de estabelecer a criptografia completa. Essa informação é chamada SNI (Server Name Indication).

É como escrever o nome do destinatário em um envelope antes de lacrar a carta. Um censor que monitora o tráfego pode ver o nome do site que você quer acessar — mesmo que o resto da comunicação esteja criptografado — e bloquear a conexão.

Custo: médio. Requer sistemas de monitoramento sofisticados, mas bem estabelecidos. Dificuldade de contorno: média. Você pode usar técnicas que ocultam o SNI (como um proxy ou uma VPN que negocia o SNI em nome você), ou aguardar a adoção de protocolos novos que criptografam até mesmo o SNI.

Inspeção Profunda de Pacotes: ler o conteúdo

Se os métodos anteriores falham, um censor pode olhar para o conteúdo real que você está transmitindo. A Inspeção Profunda de Pacotes (DPI) examina os dados que fluem pela rede, procurando assinaturas que indicam o tipo de conteúdo ou o site em questão.

É como um funcionário que abre e lê cada carta para verificar se contém material proibido, mesmo que a carta tenha endereço correto.

Custo: alto. Requer hardware dedicado, processamento contínuo, e pessoal especializado. Dificuldade de contorno: alta. Uma VPN que criptografa todo o seu tráfego torna DPI inútil, porque o censor não consegue ver o conteúdo. No entanto, DPI pode detectar que você está usando uma VPN (pelo padrão do tráfego), e um governo pode bloquear VPNs diretamente.

Intervención em nível de BGP e desligamentos completos

Em casos extremos, um governo pode desligar rotas de internet inteiras usando o BGP (Border Gateway Protocol — o sistema que direciona tráfego pela internet), ou simplesmente desligar a conexão de internet de um país inteiro.

Isso é raro e caro, mas aconteceu: durante distúrbios políticos, alguns países simplesmente cortaram o acesso à internet por horas ou dias.

Custo: altíssimo, tanto em recursos técnicos quanto economicamente (afeta negócios locais). Dificuldade de contorno: impossível se for completo. Nenhuma técnica de censura contorna um desligamento de internet em escala nacional.

Comparação de métodos

Cada método tem um padrão diferente de custo, efetividade, e facilidade de implementação. Países com menos recursos tendem a usar DNS e IP blocking. Países com mais infraestrutura usam DPI ou SNI inspection. Nenhum método é perfeito: todos podem ser contornados ou contêm externalidades (efeitos colaterais não intencionais em outros usuários ou serviços).

O ponto chave: entender como a censura funciona tecnicamente ajuda você a saber o que é possível, o que é improvável, e onde estão os limites. A internet não foi projetada para censura — ela foi projetada para resiliência. Por isso nenhum método de bloqueio é trivial de implementar em escala, e todos têm fraquezas.

Proximos tópicos para explorar: como funcionam VPNs e proxies, o que é criptografia end-to-end, e como jornalistas e pesquisadores medem qual tipo de censura está acontecendo em um país específico.