WireGuard vs OpenVPN em 2026: velocidade, segurança, auditorias, que protocolo escolher

O WireGuard chegou às principais apps de VPN de consumo por volta de 2020-2021 e tem vindo a substituir progressivamente o OpenVPN como predefinição para novas ligações. O argumento de marketing — "mais rápido, mais simples, auditado" — está tecnicamente correto, mas o quadro é mais matizado para utilizadores avançados e para quem opera fora da internet doméstica normal. Este guia compara os dois protocolos nas métricas que realmente importam em 2026.

Porque é que o WireGuard e o OpenVPN existem como protocolos separados?

O WireGuard (2016, ~4.000 linhas) foi construído para substituir a complexidade do OpenVPN por um protocolo minimalista ao nível do kernel: conjunto de cifras único, sem negociação, roaming integrado. O OpenVPN (2001, mais de 100.000 linhas) foi concebido para ligações empresariais site-to-site flexíveis e continua a ser a única opção para tráfego ofuscado em países censurados. Ambos resolvem o mesmo problema — túnel cifrado — com compromissos de engenharia diferentes.

O OpenVPN foi criado em 2001 por James Yonan, concebido para um mundo em que as VPN eram sobretudo ligações empresariais site-to-site. Assenta na biblioteca OpenSSL e suporta qualquer cifra que o OpenSSL exponha (hoje AES-256-GCM, dezenas de opções históricas). Corre no espaço de utilizador, comunica com o kernel através de uma interface virtual TUN/TAP e suporta transporte UDP e TCP. A sua flexibilidade é também o seu peso: a base de código ultrapassa as 100.000 linhas de C, a superfície de configuração é vasta e a negociação do protocolo acrescenta round trips a cada ligação.

O WireGuard foi publicado por Jason Donenfeld em 2016 como um redesenho explícito com três prioridades: superfície de código reduzida (~4.000 linhas para o módulo do kernel Linux), conjunto de cifras único (sem negociação, sem downgrade) e suporte a roaming (os clientes podem mudar de rede sem renegociar). O kernel Linux integrou o WireGuard no mainline em março de 2020, validando-o como pronto para produção. Existem implementações em espaço de utilizador para macOS, Windows, iOS, Android e sistemas embebidos, embora a integração ao nível do kernel ofereça o melhor desempenho.

Do ponto de vista criptográfico, o WireGuard usa ChaCha20-Poly1305 para a cifragem simétrica, Curve25519 para a troca de chaves, BLAKE2s para hashing e o Noise Protocol Framework para o handshake. O OpenVPN normalmente negocia AES-256-GCM com SHA-256 e ECDHE para a troca de chaves. Ambos são seguros em 2026; a diferença é a complexidade de implementação, não a robustez do protocolo.

Quão rápido é o WireGuard em comparação com o OpenVPN?

Numa ligação de fibra rápida, o WireGuard é geralmente bastante mais rápido do que o OpenVPN, com a maior diferença face ao OpenVPN TCP (que paga o overhead de TCP-sobre-TCP). O OpenVPN UDP é mais rápido do que o OpenVPN TCP, mas continua atrás do WireGuard. Em ligações abaixo de 25 Mbps, a diferença é negligenciável — ambos saturam a linha. A integração no kernel do WireGuard usa visivelmente menos CPU do que o espaço de utilizador do OpenVPN, prolongando a duração da bateria em dispositivos móveis.

A classificação geral de débito, em igualdade de condições (mesmo servidor, mesmo cliente), é consistente em todos os testes independentes:

A vantagem do WireGuard é grande em termos absolutos mas modesta em proporção a baixas velocidades: numa linha DSL lenta, ambos os protocolos saturam a ligação e a diferença torna-se impercetível. Na fibra gigabit, a diferença alarga-se acentuadamente. A diferença na utilização da CPU explica porque é que os dispositivos móveis duram mais com o WireGuard: menos trabalho de CPU por byte tunelado.

Segurança e historial de auditorias

O OpenVPN tem sido implementado continuamente desde 2001, com auditorias importantes em 2017 (varreduras orientadas a CVE da Cure53 e da OSTIF, financiadas pela Private Internet Access) e novamente em 2019, 2022, 2024. Vários CVE foram identificados e corrigidos ao longo dos anos; o historial público é, em si, um sinal de segurança — bugs ao ar livre foram encontrados e corrigidos.

O protocolo central do WireGuard foi verificado formalmente com Tamarin em trabalho académico (2018-2020). A implementação no kernel Linux foi auditada pela Cure53 em 2019. O INRIA e equipas académicas publicaram análises de seguimento. A NordVPN, a Mullvad e a ProtonVPN encomendaram, cada uma, auditorias às suas respetivas implementações do WireGuard — por exemplo, o NordLynx (o wrapper WireGuard da NordVPN) foi auditado pela Cure53 em 2023.

Um ponto subtil: o design de referência do WireGuard armazena o IP do peer mais recente na configuração do servidor — útil para o roaming do endpoint, problemático para a privacidade se um fornecedor o tratar como registo persistente. Os grandes fornecedores (NordVPN, Mullvad, ProtonVPN) envolvem o WireGuard com double NAT ou tradução de endereço, de modo a que o IP armazenado não remeta para um assinante específico. Os fornecedores mais pequenos podem não o fazer — uma configuração WireGuard genérica de uma VPN minúscula merece prudência.

Quando é que o OpenVPN ainda vence o WireGuard em 2026?

O OpenVPN vence em três cenários específicos: (1) países censurados (China, Irão, Emirados Árabes Unidos) — o OpenVPN sobre TCP/443 com ofuscação derrota o DPI; a assinatura UDP do WireGuard é facilmente bloqueada. (2) Firewalls empresariais que bloqueiam o UDP 51820. (3) Routers e hardware anteriores a 2021 sem suporte WireGuard no kernel. Para 95% dos utilizadores domésticos em países não censurados, o WireGuard é a escolha predefinida certa.

Países censurados. A Grande Firewall da China, o filtro nacional do Irão e sistemas DPI semelhantes conseguem identificar em segundos a assinatura distintiva dos pacotes UDP do WireGuard e limitar ou bloquear o fluxo. O OpenVPN sobre TCP/443 com ofuscação stunnel (por vezes chamado "Stealth VPN" ou "Obfuscated Servers") imita o tráfego HTTPS normal e sobrevive ao DPI na maioria dos casos. Os Obfuscated Servers da NordVPN, o Lightway com ofuscação da ExpressVPN e o modo Camouflage da Surfshark assentam todos neste princípio. Consulte o nosso guia VPN para a China 2026 para recomendações específicas.

Redes empresariais que bloqueiam UDP. Muitas firewalls empresariais permitem TCP/443 de saída (HTTPS) mas bloqueiam o tráfego UDP fora de listas de autorização específicas. A predefinição UDP 51820 do WireGuard é uma das primeiras coisas a ser bloqueada. O OpenVPN TCP/443 é indistinguível de HTTPS ao nível da rede e passa. Se for freelancer a trabalhar a partir de um WiFi empresarial para convidados ou de um hotel que filtra agressivamente, o OpenVPN TCP é um recurso conhecido.

Routers antigos e hardware embebido. Os routers de consumo construídos antes de 2021 geralmente não têm suporte WireGuard no kernel. O equipamento industrial (sistemas POS, automação de edifícios, câmaras IP antigas) muitas vezes só suporta OpenVPN. Se a sua implementação tocar em algum destes, o OpenVPN continua a ser a língua franca.

Implementações específicas dos fornecedores a conhecer

NordVPN — NordLynx. WireGuard envolto num sistema de double-NAT que oculta o problema de design do IP de peer estático. Protocolo predefinido em todas as apps da NordVPN desde 2022. Auditado pela Cure53. A velocidade e a estabilidade são as mais próximas do "WireGuard puro" entre os grandes fornecedores.

ExpressVPN — Lightway. Não é WireGuard — um protocolo proprietário construído sobre wolfSSL, concebido para os mesmos objetivos (velocidade, eficiência em dispositivos móveis) sem a restrição de design do IP de peer do WireGuard. Tornado open source em 2021, auditado pela Cure53. O WireGuard puro foi adicionado mais tarde como opção.

ProtonVPN — WireGuard padrão. WireGuard simples com tradução de endereço do lado do fornecedor. O plano gratuito da ProtonVPN disponibiliza o WireGuard, o que é invulgar — a maioria dos fornecedores reserva o WireGuard aos planos pagos no plano gratuito.

Mullvad — apenas WireGuard. Removeu o suporte ao OpenVPN em 2023 para concentrar a engenharia num único protocolo. Defensivo, mas reduz a flexibilidade para utilizadores com restrições de rede empresariais ou censuradas.

Surfshark — WireGuard desde 2020. WireGuard, OpenVPN UDP e OpenVPN TCP coexistem todos. A implementação é padrão em vez de envolvida — verifique as definições se quiser garantias explícitas de double-NAT.

Árvore de decisão prática

Para internet de casa, móvel, gaming, streaming em países não censurados → use a predefinição do fornecedor (WireGuard / NordLynx / Lightway). É mais rápida, mais suave para a bateria e auditada.

Para redes empresariais onde suspeita que o UDP está bloqueado → mude manualmente para OpenVPN TCP/443 antes da viagem. Teste uma vez no destino, recorra a outra opção se necessário.

Para viagens à China, Irão, Emirados Árabes Unidos, Rússia → escolha um fornecedor com Obfuscated Servers (NordVPN Obfuscated, ofuscação Lightway da ExpressVPN, Surfshark Camouflage). Use o OpenVPN TCP/443 como recurso se a ofuscação falhar. Descarregue as configurações antes da partida — os sites dos fornecedores estão muitas vezes bloqueados no destino.

Para implementação num router legado ou dispositivo embebido → o OpenVPN é a única opção. Verifique o suporte WireGuard no firmware antes de confiar nele.

Para casos de uso com privacidade estrita (jornalismo, dissidência) → Mullvad WireGuard (ou qualquer fornecedor com wrappers WireGuard auditados de forma independente) mais Tor sobre VPN, se necessário. Verifique especificamente a política de registo WireGuard do fornecedor, não apenas a política geral no-log.

Leitura adicional