VPN é ferramenta legal: o que muda pro seu SaaS

Um cliente meu bloqueou todos os acessos vindos de VPN no painel do sistema dele. A ideia parecia boa: se o cara esconde o IP, é suspeito. Duas semanas depois, o time comercial não conseguia entrar de dentro do escritório, porque a empresa tinha acabado de colocar VPN corporativa em todo mundo. O suporte virou um circo. E o "bloqueio de segurança" acabou desligado às pressas numa sexta à noite.

Essa história voltou pra minha cabeça agora, porque uma corte europeia decidiu que VPN é tecnologia lícita. Simples assim. Usar VPN não é indício de crime, não é contorno de lei, não é pirataria por definição. É uma ferramenta neutra, como um carro ou um telefone. Se alguém faz besteira usando, o problema é a besteira, não a ferramenta. Parece detalhe jurídico distante, mas isso mexe direto com como você monta regras de acesso, geobloqueio e antifraude no seu produto.

O que a corte decidiu, em português

O caso envolvia titulares de direitos autorais querendo empurrar responsabilidade pra cima de provedores de VPN, sob o argumento de que a VPN serve pra burlar bloqueios de conteúdo. A corte não comprou. O entendimento foi que a VPN tem usos legítimos amplos: privacidade, acesso remoto ao trabalho, proteção em wi-fi público, segurança de dados corporativos. Tratar todo usuário de VPN como infrator seria punir a maioria pelo comportamento de uma minoria.

Isso cria um precedente com peso prático. Se um tribunal reconhece que a tecnologia é legítima, fica bem mais difícil sustentar internamente a política de "VPN = risco, bloqueia". Você não está mais só na área técnica. Está numa área onde presumir má-fé de um usuário legítimo pode virar um problema de compliance e de contrato.

Bloquear VPN não é segurança. É atrito vendido como segurança.

Por que isso importa se você vende software

Se seu negócio tem login, painel, área do cliente ou API, você provavelmente tem alguma regra que olha IP. Talvez geobloqueio ("só aceita acesso do Brasil"). Talvez score de risco que penaliza IP de datacenter. Talvez alerta de "acesso suspeito" que dispara e-mail toda vez que muda a geolocalização.

Todas essas regras dão falso positivo com VPN. E aqui vai o detalhe que muita gente ignora: quem mais usa VPN é justamente o cliente corporativo bom. Empresa com política de segurança séria coloca todo mundo atrás de VPN. Escritório de advocacia, contabilidade, clínica, qualquer lugar que lida com dado sensível. Você acaba criando fricção exatamente com o cliente que paga mais e reclama menos, até o dia em que ele reclama e cancela.

Casos concretos que já vi:

• Sistema de gestão que exigia reconfirmação por e-mail a cada troca de IP. Usuário em VPN corporativa com saída rotativa recebia isso três, quatro vezes por dia.
• Checkout que recusava pagamento de IP fora do Brasil. Cliente viajando a trabalho, com VPN da empresa saindo por Miami, não conseguia renovar a assinatura.
• Painel administrativo com allowlist de IP fixo. Funcionou lindo até a empresa migrar de provedor de VPN e ninguém entrar mais na segunda de manhã.

Nenhum desses casos pegou um fraudador. Todos pegaram cliente pagante.

Então eu abro tudo e rezo?

Não. A leitura preguiçosa dessa decisão é "VPN é legal, logo não filtre nada". Isso é péssimo conselho. Fraude existe, ataque de credencial existe, e IP anônimo continua sendo usado por gente ruim.

O ponto é outro: o IP é um sinal fraco e você está usando ele como se fosse forte. IP responde "de onde parece vir a conexão", e só. Não responde quem é a pessoa, se o dispositivo é conhecido, se o comportamento bate com o histórico. Quando você bloqueia por IP, você está tomando uma decisão de alto impacto com uma informação de baixa qualidade.

O que funciona melhor, na prática:

• Autenticação decente. Senha forte, 2FA no mínimo para contas administrativas. Isso resolve mais do que qualquer geobloqueio.
• Dispositivo conhecido. Marcar o navegador que o usuário já usou e confia. Troca de IP com dispositivo conhecido é ruído. Dispositivo novo é que merece atenção.
• Comportamento, não localização. Dez tentativas de login em um minuto é sinal. Baixar a base de clientes inteira às três da manhã é sinal. Estar em Lisboa não é sinal.
• Escalonar em vez de bloquear. Sinal de risco não precisa virar porta fechada. Pode virar um segundo fator, uma confirmação, um limite temporário.

A regra que eu uso: IP pode aumentar o nível de verificação, nunca negar acesso sozinho.

O lado do produto, não só o da segurança

Tem um ângulo comercial nisso que quase ninguém enxerga. Se você vende SaaS pra empresa, sua postura sobre VPN é parte do produto. Na hora do checklist de segurança do cliente, alguém vai perguntar: "funciona com nossa VPN corporativa?". Se a resposta for "precisa desligar a VPN pra usar", você acabou de virar o sistema que enfraquece a política de segurança do cliente. Isso trava venda.

O caminho inverso vale mais. Suportar bem acesso via VPN, oferecer SSO, permitir que o cliente configure as próprias regras de acesso: isso é diferencial em venda B2B. Não é custo, é argumento comercial.

E a decisão europeia dá respaldo pra defender essa posição internamente, quando alguém do time insistir que "VPN é coisa de quem quer esconder algo". Não é. Um tribunal acabou de escrever isso.

O que fazer nesta semana

Nada disso exige refazer o sistema. Dá pra checar em uma tarde:

1. Liste onde o IP decide alguma coisa. Login, checkout, API, painel admin, alertas antifraude. Escreva num papel. Normalmente são três ou quatro pontos e ninguém lembra de todos.
2. Veja quantos bloqueios reais aconteceram. Puxe o log dos últimos noventa dias. Quantos foram fraude confirmada? Se a resposta for zero ou perto disso, a regra está trabalhando contra você.
3. Troque bloqueio por verificação. Onde hoje é "nega", vire "pede segundo fator". Mesmo nível de proteção, sem porta na cara do cliente.
4. Teste você mesmo com VPN ligada. Suba uma VPN qualquer, saída em outro país, e use seu produto do jeito que um cliente usa. Você vai achar coisa em quinze minutos.
5. Escreva a política. Uma página. O que você monitora, o que dispara verificação, o que nunca bloqueia sozinho. Serve pro time e serve pra responder o cliente corporativo.

O passo 4 é o que mais dói e o que mais entrega. Recomendo fazer antes do café, quando a paciência ainda está inteira.

O resumo honesto

Regra de acesso baseada em IP é a solução que parece produtiva e não é. Dá trabalho, gera suporte, afasta cliente bom e quase nunca pega o cliente ruim. A decisão europeia só formalizou o que quem opera sistema já sabia: VPN é ferramenta de trabalho, não pista de crime.

Se você não tem certeza de quantas regras dessas existem no seu sistema hoje, essa incerteza já é a resposta. É o tipo de coisa que eu costumo mapear no primeiro contato com um cliente novo, porque geralmente tem um bloqueio esquecido custando venda em algum lugar. Se quiser trocar ideia sobre o seu caso, dá uma olhada em quem eu sou e como eu trabalho.

Um cliente meu bloqueou todo acesso via VPN no painel dele. Duas semanas depois, o time comercial não conseguia entrar de dentro do escritório.

O motivo? A empresa tinha acabado de colocar VPN corporativa em todo mundo.

Agora uma corte europeia decidiu o óbvio: VPN é tecnologia lícita. Não é indício de crime, é ferramenta de trabalho.

E aqui vai o detalhe que quase ninguém enxerga: quem mais usa VPN é justamente o cliente corporativo bom, aquele que paga mais e reclama menos. Até o dia em que ele cancela.

Bloquear por IP não é segurança. É atrito vendido como segurança.

A regra que eu uso: IP pode aumentar o nível de verificação, nunca negar acesso sozinho.

Teste hoje: suba uma VPN, saída em outro país, e use seu próprio produto do jeito que um cliente usa. Em quinze minutos você acha coisa que está custando venda.

#SaaS #SegurançaDaInformação #ProdutoDigital #TechParaNegócios #VPN