obfs4, Snowflake ou WebTunnel: escolhendo uma ponte Tor em 2026
Quando um censor bloqueia os pontos de entrada do Tor que todos conhecem, a resposta prática é uma ponte: um retransmissor mantido fora do diretório público do Tor, em par com um transporte plugável que muda o aspecto da conexão no fio. Três transportes carregam a maior parte dessa carga em 2026: obfs4, Snowflake e WebTunnel. Todos resolvem o mesmo problema — fazer uma conexão Tor parecer tráfego permitido —, mas diferem bastante em como se obtêm, como se escondem e quão rápidos são. Escolher errado raramente significa fracasso imediato; em geral significa que uma ponte que funcionava ontem deixa de funcionar na semana que vem.
O que as pontes têm em comum
O manual do Navegador Tor descreve as pontes como retransmissores excluídos do diretório público do Tor, de modo que um censor não consegue enumerá-los como faz com os retransmissores comuns; o transporte plugável à frente do retransmissor cuida do disfarce. Os três tipos principais seguem esse padrão, e os três podem ser selecionados ou solicitados nas configurações de conexão do Navegador Tor, como documenta a seção de contorno de censura do manual junto com as opções internas. A outra característica comum é menos reconfortante: uma ponte é um endereço IP como qualquer outro e, se um censor o descobre, pode bloqueá-lo como qualquer outro. Disponibilidade não é imunidade. É por isso que a distribuição tem um esforço de engenharia próprio — o rdsys, reescrita do BridgeDB pela Tor, existe para decidir quais linhas de pontes chegam a quais usuários.obfs4, o padrão consolidado
O obfs4 envolve o tráfego do Tor em bytes de aparência aleatória e sem assinatura estável, e é o que tem o mais longo histórico de serviço dos três. A documentação comunitária do Tor resume a contrapartida em uma linha ao comparar transportes: obfs4 é rápido e comprovado, mas difícil de distribuir. A aleatoriedade resiste à identificação por protocolo, mas o endereço da ponte continua exposto a varreduras, e quanto mais tempo uma linha circula, maior a chance de um censor já tê-la catalogado. Por isso as reclamações sobre o obfs4 raramente falam de desempenho; a reclamação é que pontes muito usadas e de longa vida tendem a parar de funcionar. Para um passo a passo de como o obfs4 constrói suas conexões, veja nosso artigo anterior.Snowflake, montado com voluntários
O Snowflake segue um caminho diferente para sobreviver. O ponto de entrada é um proxy mantido por um voluntário, e o tráfego vai vestido de WebRTC, a família de protocolos por trás das chamadas de vídeo e voz do navegador. O site do projeto descreve o tráfego roteado por proxies operados por voluntários em países sem censura — um disfarce que torna a reação do censor custosa, porque bloqueá-lo significa bloquear os padrões de tráfego das videochamadas do dia a dia. A configuração é a mais simples das três: o Snowflake vem no Navegador Tor como transporte selecionável, e o projeto recruta capacidade por meio de uma extensão de navegador. O preço é o desempenho. Proxies de voluntários variam em largura de banda e vão e vêm, e a documentação comunitária do Tor classifica o Snowflake como a opção mais lenta do trio. Espere latência maior e menos previsível do que a de uma ponte dedicada, com a qualidade de cada sessão dependendo do voluntário que a carregar naquele momento.WebTunnel, Tor fantasiado de HTTPS
O WebTunnel é o mais recente dos três; a implementação de referência no GitLab da Tor data de agosto de 2022. Baseia-se no HTTPT, um protocolo de tunelamento construído sobre HTTP, e a documentação comunitária descreve a intenção sem rodeios: disfarçar o tráfego do Tor como navegação web HTTPS. Diante da inspeção profunda de pacotes, isso coloca o censor diante da escolha mais difícil possível, porque filtrar o WebTunnel significa degradar o HTTPS comum, o único protocolo que a maioria das redes não pode se dar ao luxo de quebrar. Os custos ficam do lado do operador: montar uma ponte WebTunnel exige um servidor Linux com acesso root, um nome de domínio, registros DNS, um certificado TLS válido e um proxy reverso como NGINX, Caddy ou Apache, com o Docker como alternativa. A mesma documentação adverte que pontes apoiadas em um domínio custam dinheiro e podem virar um ponto único de falha. Para o usuário, nada disso importa: uma ponte WebTunnel chega como uma linha para colar no campo de pontes.Expectativas realistas
- obfs4: o mais rápido e o mais comprovado. Consiga linhas novas pelo fluxo de solicitação do Navegador Tor e espere que as populares sejam bloqueadas com o tempo.
- Snowflake: configuração mais fácil e um disfarce que surfa no tráfego de videochamadas, ao custo de um desempenho mais lento e variável.
- WebTunnel: a resposta mais forte à identificação por protocolo, dependente de operadores dispostos a manter domínios e certificados.