Inspeção SNI: como censores veem seu destino mesmo com HTTPS

Você abre seu navegador, digita um endereço de website e clica enter. Uma conexão criptografada HTTPS é estabelecida — o cadeado aparece na barra de endereço. Você pensa que está seguro, que ninguém vê para onde você está indo. Mas em vários países, censores conseguem bloquear exatamente este site sem nunca ver uma única linha do seu conteúdo. Como isso é possível?

A resposta está em um detalhe técnico obscuro chamado SNI — Server Name Indication. Esta pequena falha de design na internet moderna permite que quem monitora sua conexão saiba exatamente qual website você está acessando, mesmo que todo o resto da comunicação esteja criptografado. Entender o SNI é entender um dos buracos mais importantes na privacidade da web atual.

O problema do servidor compartilhado

Para entender por que o SNI existe em primeiro lugar, precisamos voltar ao início da internet. Pense na web como um sistema de telefonia: cada número de telefone (endereço IP) pertence a um lugar específico. Nos primeiros dias da internet, cada website precisava de seu próprio número de telefone — seu próprio endereço IP único.

Mas números são finitos. Os endereços IP no padrão IPv4 começaram a ficar escassos. Então engenheiros criaram uma solução prática: colocar vários websites em um único servidor, compartilhando o mesmo endereço IP. Hoje, uma empresa pode hospedar milhares de sites diferentes em uma única máquina. Mas isso criou um problema: quando você tenta conectar a um servidor, ele não sabe qual dos milhares de websites você quer acessar até você falar.

Antes do HTTPS, isso era fácil. Você enviava o nome do website (o domínio) em texto plano no início da conversa, e o servidor sabia qual site servir. Mas HTTPS criptografa tudo — incluindo o nome do domínio — após o aperto de mão inicial (handshake). Como o servidor poderia saber qual certificado usar antes da criptografia começar?

Entra o SNI: a solução que criou um novo problema

A solução foi o SNI — Server Name Indication. Ele funciona assim: antes da criptografia HTTPS ser ativada, seu navegador envia o nome do domínio em um campo especial, não criptografado, dizendo ao servidor: "Eu quero conectar a exemplo.com". O servidor responde com o certificado correto para esse domínio, a criptografia é estabelecida, e sua conversa fica segura.

O problema? Qualquer pessoa monitorando sua conexão — seu provedor de internet, um governo, uma rede WiFi pública — pode ler este campo SNI. É como enviar uma carta em um envelope lacrado, mas escrever o endereço do destinatário na parte externa. Ninguém consegue ler o conteúdo, mas todos veem para onde você está enviando.

Este é o motivo por trás de um dos métodos de censura mais simples e mais eficazes: bloqueio baseado em SNI. Muitos países — incluindo China, Irã, Rússia, Vietnã e Turquia — usam este método. Seus filtros de censura monitoram o tráfego SNI na rede e bloqueiam conexões para domínios específicos no momento do aperto de mão TLS, antes de qualquer dado ser transmitido.

Por que isso é tão eficaz para censores

O bloqueio por SNI é poderoso porque é simples e invisível para o usuário. Não há popup de aviso — a conexão simplesmente falha. É mais difícil de contornar do que bloqueios baseados em IP (que bloqueiam todo um endereço), porque pode ser muito específico: o censura consegue bloquear um domínio particular mas deixar o servidor online para quem acessa de outras formas.

Além disso, diferentemente do conteúdo do website (que precisa ser analisado), o SNI é estruturado e fácil de filtrar em massa. Um computador consegue verificar milhões de conexões por segundo procurando por domínios proibidos.

O SNI é um fato. O que se pode fazer a respeito?

Engenheiros de internet reconheceram este problema. A solução em desenvolvimento é chamada Encrypted Client Hello (ECH) — anteriormente conhecida como ESNI. A ideia é simples: criptografar também o SNI.

Com ECH, seu navegador criptografa o nome do domínio antes de enviar, usando uma chave pública que obtém antecipadamente do servidor DNS. O servidor que recebe pode desencriptar esta informação, mas censores monitorizando a conexão não conseguem — pelo menos, não sem quebrar a criptografia.

Mas ECH ainda não é amplamente adotado. Requer mudanças em navegadores, servidores web e infraestrutura DNS. Alguns navegadores começaram a apoiar, alguns provedores de hospedagem também. Mas a adoção global ainda está longe.

Há também um detalhe complicado: mesmo com SNI criptografado, analistas de tráfego podem às vezes adivinhar o website pelo padrão de bytes transmitidos, tamanho das requisições, ou tempo das conexões. Nenhuma solução é perfeita.

O que você deveria saber

O SNI é um compromisso entre praticidade de internet e privacidade — uma falha de design que herdamos porque servidores compartilhados são necessários, e a web cresceu rápido demais para redesenhar tudo. O bloqueio por SNI é real, especialmente em países com censura pesada. Soluções como ECH estão em desenvolvimento, mas levam tempo.

A lição maior é que HTTPS criptografa o conteúdo, mas não criptografa metadados — informações sobre a comunicação. E censores geralmente se importam mais com metadados do que com conteúdo. Entender essa distinção é fundamental para entender como privacidade realmente funciona na internet moderna.