Android 17 e privacidade: o que a operadora deixa de ver

Em 27 de agosto de 2026 o Google anunciou que o Android 17 passou a embaralhar por padrão o nome do site que o aparelho tenta acessar. A mudança se chama Encrypted Client Hello (ECH) e fecha a última brecha grande do HTTPS: até então, mesmo numa conexão criptografada, o endereço do destino viajava em texto aberto no início da conversa entre o celular e o servidor.

Mão segurando um smartphone Android — Imagem: JESHOOTS.com / StockSnap (CC0)

Na prática, a operadora, o Wi-Fi do café e quem observa a rede perdem a maneira mais simples de montar a lista dos sites que você visita. Não é anonimato, e este texto explica por quê. Mas é a mudança mais concreta da versão, e ela só entrega o que promete se você mexer num ajuste que quase ninguém toca: o DNS particular.

O que mudou no Android 17, e desde quando

O Android 17 chegou em versão estável em 16 de junho de 2026, primeiro para os Pixel, segundo o blog oficial dos desenvolvedores do Android. Corresponde à API de nível 37. O pacote de proteções de rede, porém, só foi detalhado em 27 de agosto de 2026, num post assinado por Bram Bonné, engenheiro de software, e Shuaibo Huang, gerente de produto, ambos do Google.

O levantamento do TechCabal de 17 de agosto de 2026 mostra um quadro restrito de aparelhos. Além da linha Pixel (do Pixel 6 ao Pixel 10, com o Pixel 11 saindo de fábrica com o sistema a partir de 20 de agosto de 2026), os dobráveis Samsung Galaxy Z Fold 8 e Z Flip 8 chegaram às lojas rodando Android 17, e o Motorola Edge 2025 começara a receber a atualização. Xiaomi, OPPO, vivo, Honor e OnePlus seguiam em teste. Se o seu aparelho ainda não recebeu, o ECH não é assunto para você, mas o DNS particular já é.

O ECH fecha o último vazamento do HTTPS

Vale separar o que acontece ao abrir um site. Primeiro o celular pergunta ao DNS o endereço numérico daquele domínio. Depois abre a conexão TLS e, no primeiro pacote, informa ao servidor qual site quer, num campo chamado SNI (Server Name Indication). Esse campo nunca foi criptografado: o conteúdo da página estava protegido, o nome do destino não.

O ECH criptografa esse campo. A documentação do Android afirma que, no Android 17 e superiores, o ECH é compatível por padrão, e que impede intermediários de rede de ver os nomes de host aos quais um app se conecta. Bram Bonné, engenheiro de software do Google, resume o problema antigo: “os nomes de domínio dos sites que você visita continuam visíveis” mesmo com HTTPS (em tradução livre).

Duas ressalvas. A primeira: o ECH só funciona se o servidor do outro lado também oferecer o recurso, e esse suporte ainda é irregular. Sem suporte, o Android envia um campo falso com aparência de ECH, o ECH GREASE, para que as conexões protegidas não se destaquem no tráfego, mas o nome do site continua visível. A segunda: nos apps, quem usa a biblioteca OkHttp precisa da versão 5.5.0 ou superior, então o comportamento varia de aplicativo para aplicativo.

DNS particular: a outra metade da conta

Aqui está o ponto que boa parte da cobertura deixa de lado. Para usar o ECH, o celular precisa buscar a configuração de criptografia num registro DNS do tipo HTTPS, e a documentação do Android diz que é preciso resolver esse registro para conectar com ECH. A consequência é direta: se a consulta de DNS sair em texto aberto, a operadora continua enxergando o nome que você pediu. A Engadget é explícita ao dizer que o recurso não esconde as consultas de DNS.

Por isso o Google descreve o ECH funcionando em conjunto com o DNS privado. A criptografia de DNS não é novidade do Android 17: o suporte a DNS over HTTP/3 foi anunciado por Matthew Maurer e Mike Yu, da equipe Android do Google, em julho de 2022, e chegou por atualizações do sistema Google Play para o Android 11 e superiores. O Android 17 apenas tornou essa peça realmente útil, porque agora ela tem par.

O que a operadora vê em cada cenário

HTTPS comum, com o DNS da operadora: ela vê o domínio na consulta de DNS, vê o domínio no campo SNI e vê o IP de destino. Não vê o conteúdo das páginas nem o que você digita.
HTTPS com DNS particular, mas sem ECH: ela deixa de ver a consulta de DNS, porém ainda lê o domínio no SNI. Proteção pequena, porque a lista de sites continua montada.
HTTPS com DNS particular e ECH, em site compatível: ela não vê o domínio nem na consulta nem no SNI. Continua vendo para qual endereço IP você foi, quanto tráfego passou e em que horário.
Com VPN ligada: a operadora vê apenas uma conexão criptografada até o servidor da VPN, com volume e horário. Em troca, o fornecedor da VPN passa a ocupar a posição de observação que a operadora tinha.

O terceiro cenário guarda o limite mais importante. A Engadget descreve que o provedor passa a enxergar a rede de distribuição de conteúdo usada pelo site, como a Cloudflare, e o volume de dados, mas não o site em si, e diz de forma clara que o ECH não esconde o seu IP como uma VPN faz. Quando muitos sites dividem o mesmo IP de uma CDN, o disfarce funciona. Quando um site tem IP próprio, o IP entrega o destino.

Outras novidades de privacidade da versão

O anúncio de 27 de agosto de 2026 trouxe mais três itens de rede. A Proteção de Rede Local passou a exigir a permissão ACCESS_LOCAL_NETWORK para que um app varra ou converse com outros aparelhos da sua casa, regra obrigatória para apps que miram o Android 17 ou superior (o servidor de DNS local, na porta 53, é exceção). A Transparência de Certificados ficou ativa por padrão, exigindo que certificados constem em registros públicos. E as operadoras podem desligar o 2G por padrão para seus assinantes, sem ação do usuário, o que reduz a exposição a estações-base falsas usadas em golpes por SMS.

Fora da rede, há um seletor de contatos que substitui a permissão ampla READ_CONTACTS por escolha item a item, um botão de localização precisa válido só para a sessão atual, um atraso de três horas no acesso de apps a SMS com códigos de uso único e, segundo o Android Authority, um indicador permanente quando um app que não é do sistema usa a localização.

Passo a passo: configurando privacidade no Android

Os caminhos abaixo seguem a nomenclatura da ajuda oficial do Google em português do Brasil. Fabricantes renomeiam menus, então use a busca dentro do app Configurações se não encontrar. Em cada item está dito o que o ajuste protege e o que não protege.

DNS particular. Caminho: Configurações, “Rede e Internet”, “DNS particular”. Escolha “Automático” ou “Nome do host do provedor de DNS particular” e toque em “Salvar”. Protege: esconde da operadora quais domínios você consulta e é pré-requisito para o ECH valer algo. Não protege: o IP de destino continua visível, e você transfere a visibilidade das consultas para o provedor de DNS escolhido.
Proteção Avançada. Caminho: Configurações, “Segurança e privacidade” e, em “Outras configurações”, “Proteção Avançada”. Protege: bloqueia conexões a redes 2G pouco seguras e faz o Chrome forçar HTTPS. Não protege: não esconde IP nem domínio, e a ajuda do Google avisa que o bloqueio de 2G pode deixar o aparelho sem conexão onde só há cobertura 2G.
Permissões de apps. Caminho: Configurações, “Segurança e privacidade”, “Privacidade”, “Gestão de permissões”. Protege: corta acesso a localização, contatos, microfone, câmera e rede local, app por app. Não protege: o que o aplicativo já coletou antes, nem o tráfego que ele gera.
ID de publicidade. Caminho: Configurações, “Privacidade”, “Anúncios”, “Excluir o ID de publicidade” (ou “Redefinir o ID de publicidade”). Protege: quebra o identificador estável usado para cruzar seu comportamento entre apps. Não protege: identificação por conta logada, por IP ou por impressão digital do dispositivo.
VPN, quando fizer sentido. Protege: tira da operadora e do Wi-Fi público a visão de domínios e IPs de destino. Não protege: o fornecedor da VPN passa a ver o que a operadora via, então a escolha é sobre em quem confiar, não sobre eliminar o observador.

O que nada disso protege

Vale dizer com todas as letras: nenhum desses ajustes torna você anônimo. O ECH somado ao DNS particular tira da operadora a forma mais barata de listar os sites que você acessa, e isso já é um ganho real. Mas o IP de destino, o volume de tráfego e os horários seguem visíveis, e esses sinais permitem inferências.

Some a isso: o suporte a ECH depende do site e do app, a distribuição do Android 17 mal começou fora da linha Pixel, e a maior parte do rastreamento acontece dentro dos próprios apps e páginas, onde nenhuma configuração de rede alcança. Encare isso como redução de exposição, não como capa de invisibilidade.