Wi-Fi público é seguro?

O operador da rede vê os seus destinos. Quem administra o hotspot — ou quem montou um hotspot com o mesmo nome do verdadeiro — consegue ver a quais sites e serviços você se conecta e as suas consultas DNS, mesmo que o HTTPS esconda o que você faz lá. Outros aparelhos na mesma rede conseguem alcançar o seu. Em uma rede aberta, o seu notebook está a um salto de todos os outros; compartilhamento de arquivos, um serviço de área de trabalho remota esquecido ou um sistema sem atualização ficam expostos. Portais cativos e redes parecidas. A página de login é o único momento em que um atacante pode mostrar uma página falsa; uma rede com nome parecido com o do estabelecimento, mas operada de um notebook no canto, não custa nada para montar. Apps sem criptografia. Raros hoje, mas um app que ainda fala HTTP puro vaza tudo o que envia. O que o Wi-Fi público não faz mais é deixar um estranho ler a sua sessão bancária: o HTTPS, que todo banco, provedor de e-mail e site grande usa, impede isso mesmo em uma rede hostil.

1. Use uma VPN em qualquer rede que você não controla; ela esconde os seus destinos do operador e criptografa o trecho até o servidor da VPN. Execute o teste de VPN uma vez para saber que ela não vaza.
2. Confirme o nome da rede com os funcionários; prefira redes com senha às abertas, mesmo que a senha esteja na parede.
3. Marque a rede como pública no Windows ou no macOS, para que o compartilhamento de arquivos e a descoberta fiquem desligados, e mantenha o firewall do sistema ligado.
4. Mantenha o modo somente HTTPS do navegador ligado e nunca ignore um aviso de certificado em uma rede pública — é exatamente assim que uma interceptação se parece.
5. Atualize antes de viajar: o sistema operacional, o navegador e os apps. A maioria dos ataques em redes compartilhadas precisa de uma brecha sem correção.
6. Não use a página do portal para nada além de entrar, e feche-a depois. Não instale nada que um portal peça para instalar.
7. Esqueça a rede ao sair, para que o seu aparelho não reconecte automaticamente a qualquer hotspot com o mesmo nome depois.

Duas verificações levam trinta segundos. Primeiro, abra a página inicial com a VPN conectada: o endereço e o provedor no topo precisam ser os da VPN, não os do estabelecimento — se forem os do estabelecimento, a VPN ainda não está transportando o seu tráfego. Segundo, execute o teste de vazamento de DNS: os resolvedores listados precisam pertencer à VPN ou a um resolvedor público alcançado por ela, não à rede do hotspot. Se os dois passarem, o operador da rede só vê tráfego criptografado para um único servidor. A página o que os sites veem sobre você mostra o resto do que você está transmitindo.