Zero logs: o que isso significa na prática (e o que não significa)

"Não guardamos nada." Bonita a frase, e quase todo provedor de VPN repete. O problema é que logs vêm em vários sabores, e "nada" muitas vezes significa "nada do que é conveniente admitir".

Vamos destrinchar.

Os tipos de logs que existem

Quando você usa uma VPN, o servidor pode, em tese, registrar várias coisas. Os 4 grandes grupos:

1. Logs de atividade (activity logs). O que você acessou, quando, por quanto tempo. Esses são os logs que nenhum provedor sério mantém. Se sua VPN guarda isso, fuja.
2. Logs de conexão (connection logs). Quando você conectou, de qual IP de origem, qual servidor usou, quanto trafegou. Aqui já é cinza — alguns provedores guardam por horas pra balanceamento de carga, outros não guardam nada.
3. Logs de DNS. As consultas de domínio que você fez. Se o provedor tem seu próprio DNS (ideal) e não loga, ok. Se redireciona pro DNS do Google, você só trocou de bisbilhoteiro.
4. Logs de diagnóstico/erro. Crash reports, falhas de conexão. Em tese inócuos, mas dependendo do que está dentro, podem incluir IPs.

"No-logs" vs "no usage logs"

A diferença é fina e importa. "No usage logs" significa que o provedor não guarda o que você fez, mas pode guardar metadados de conexão. "No-logs" de verdade significa que não há registro nenhum capaz de identificar atividade.

Auditoria independente é o que importa

Promessa não vale nada sem verificação. Os provedores sérios passam por auditorias de empresas como Deloitte, PwC, KPMG ou Cure53. O auditor entra na infraestrutura, examina os servidores e atesta que a política bate com a realidade.

O que perguntar antes de assinar:

• Tem auditoria independente e recente (últimos 24 meses)?
• O relatório completo está público ou só um sumário?
• A auditoria cobriu toda a infraestrutura ou só servidores selecionados?
• Servidores rodam em RAM-only (sem disco persistente)?

Jurisdição: onde a empresa está importa

Mesmo a melhor política de no-logs colapsa diante de uma ordem judicial em país com leis de retenção de dados. Por isso a localização legal da empresa importa.

Países problemáticos para sediar uma VPN: membros das alianças de inteligência conhecidas como 5/9/14 Eyes (EUA, Reino Unido, Canadá, Austrália, Nova Zelândia + Holanda, França, Dinamarca, Noruega + Alemanha, Bélgica, Itália, Espanha, Suécia).

Países preferidos: Panamá, Suíça, Ilhas Virgens Britânicas — jurisdições sem leis obrigatórias de retenção de dados e fora dessas alianças.

No Brasil, o Marco Civil obriga provedores de aplicação a guardarem logs de acesso por 6 meses. Se a VPN é brasileira e atende ao Marco Civil, "no-logs" tem limites.

O teste real: quando a justiça bate na porta

A prova final de uma política de no-logs é o que sai quando há ordem judicial. Alguns provedores já passaram por isso:

• 2017 — ExpressVPN, caso Turquia. Autoridades turcas apreenderam um servidor em investigação. Não havia logs. Caso documentado e citado até hoje.
• 2019 — Private Internet Access, EUA. Intimada por tribunal federal a entregar logs. Provou em juízo que não havia nada pra entregar.
• 2021 — Mullvad, Suécia. Polícia tentou apreender servidores. A arquitetura RAM-only e ausência de identificadores de conta inviabilizou rastreamento.

O resumo prático

Antes de confiar no "no-logs" de qualquer VPN, verifique três coisas:

1. A política de privacidade tem texto técnico específico — não só marketing.
2. Existe auditoria independente recente com relatório acessível.
3. A jurisdição da empresa não obriga retenção de dados.

"Zero logs" sem essas três validações é só uma frase bonita. Com elas, vira uma garantia técnica defensável.