Antes de qualquer fato, uma definição — porque a palavra do título carrega peso, e este texto não usa ela à toa. Segundo o Dicionário Priberam da Língua Portuguesa, espionar significa "espiar; observar; indagar como espião"; e espião, pela mesma fonte, é o "indivíduo que, por conta própria ou por mandado de outrem, observa secretamente os movimentos, conversações e atos de terceiro ou terceiros". Reduzido ao essencial: observar em segredo o movimento, a conversa ou o ato alheio. É esse padrão específico, e não um exagero de manchete, que cada capítulo deste texto testa contra o que Google e Apple já têm documentado, comprovado e — em boa parte dos casos — pago em multa contra si mesmas.

Faz um tempo que a Pangeia Labs vem trabalhando no ORBIT, navegador que se propõe a rastreamento zero por desenho — nada de telemetria oculta, nada de perfil de comportamento alimentando anúncio de ninguém. No meio dessa investigação, uma pergunta simples travou o projeto: dá pra garantir privacidade plena de verdade, em qualquer plataforma, usando os motores de navegador que existem hoje? A resposta, depois de meses de apuração, não é confortável — e não é sobre código. É sobre quem, na prática, decide o que um navegador tem permissão de ser.

Duas empresas controlam essa decisão: Google e Apple. Uma domina o motor que roda a maior parte da web. A outra proíbe, por regra de loja de aplicativos, que qualquer motor além do dela rode no aparelho mais usado do planeta. Nenhuma arquitetura de software — nem a do ORBIT, nem a de nenhum outro projeto sério de navegador — resolve isso sozinha. Este texto reúne os fatos que sustentam essa conclusão, com fonte para cada um.

Chrome não é "um navegador" — é quase a internet inteira

Não existe pluralismo real de motor de navegador hoje. Segundo dados de mercado compilados a partir da StatCounter para 2026, o Chrome sozinho responde por cerca de 65% de todas as sessões globais de navegação, chegando a mais de 76% no desktop — mais de oito vezes o Edge, seu concorrente mais próximo no computador. O motor por trás do Chrome, o Blink, também move o Edge, o Opera, o Brave, o Vivaldi e dezenas de outros navegadores "diferentes": juntos, esses navegadores renderizam algo em torno de 78% de toda sessão web do planeta.

Isso significa que escolher "outro navegador baseado em Chromium" não é escolher outra arquitetura de privacidade — é escolher outra casca de interface sobre o mesmo motor, sujeita às mesmas decisões que o Google toma para o projeto Blink de código aberto que todos eles consomem. O Edge, da Microsoft, é um desses casos: rodou motor próprio (Trident, depois EdgeHTML) até 2020, quando a empresa desistiu e passou a construir sobre o Blink do Google — o que tira a Microsoft da disputa por motor de navegador, mas não do resto do currículo. Vale registrar, à parte, que a Microsoft tem histórico documentado e independente tanto de colaboração direta com a NSA quanto de violação antitruste comprovada — inclusive o próprio precedente jurídico (o caso Internet Explorer contra o Netscape, 1998) que sustenta os processos contra o Google descritos mais adiante — reunido com fonte própria numa investigação separada deste espaço.

Quando o dono do motor decide o que seu bloqueador de anúncios pode fazer

Entre 2024 e 2025, o Google forçou a migração das extensões do Chrome do antigo "Manifest V2" para o "Manifest V3", removendo o tipo de filtragem dinâmica de requisições em tempo real que bloqueadores de anúncio mais robustos usavam para reagir a novas técnicas de rastreamento assim que elas apareciam. Raymond Hill, autor do uBlock Origin — hoje usado por dezenas de milhões de pessoas —, foi direto: segundo o próprio wiki oficial do projeto no GitHub, "não existe versão do uBO para o Manifest V3" que preserve as capacidades completas do bloqueador original.

O Google apresenta a mudança como decisão de segurança. Vale registrar o contexto de negócio: a empresa reportou receita de publicidade da ordem de centenas de bilhões de dólares por ano — é quem mais lucra, no mundo, com anúncio e rastreamento comportamental, e é também quem decidiu, sozinha, quanto poder de bloqueio contra anúncio e rastreador um usuário do Chrome pode ter. A Mozilla, sem esse mesmo conflito de interesse direto na publicidade, optou por manter suporte tanto ao Manifest V2 quanto ao V3 no Firefox — o que por si só sugere que a limitação do Chrome é escolha de política de produto, não necessidade técnica inevitável.

Não foi a primeira vez que engenheiros do próprio Chrome tentaram algo parecido em escala maior. Em 2023, veio a público uma proposta interna de "Web Environment Integrity API": um mecanismo para sites verificarem se o navegador e o aparelho de quem visita "não foram alterados" — na prática, uma forma de recusar tráfego de bloqueadores de anúncio, automação ou motores não aprovados. Desenvolvedores de outros navegadores chamaram publicamente a ideia de uma espécie de "DRM para a web". O Google recuou e abandonou o protótipo em novembro daquele ano, removendo o código do Chromium — não por iniciativa espontânea, mas depois de reação pública forte.

O rastreamento não é acusação — é o que a Justiça de vários países já provou, com multa

Chamar o modelo de negócio do Google de "espionagem" pode soar como um exagero retórico até se olhar pra lista de casos em que autoridades formais — não blogs de opinião, não ativistas — investigaram, concluíram e cobraram dinheiro real por exatamente isso. Em ordem cronológica:

Em janeiro de 2019, a CNIL, autoridade francesa de proteção de dados, multou o Google em €50 milhões por violar o GDPR europeu — a base da decisão foi que o consentimento pra personalização de anúncios era obtido por uma caixa pré-marcada e informações espalhadas por documentos difíceis de entender, sem transparência real sobre o que estava sendo coletado. O Conselho de Estado, mais alta corte administrativa da França, confirmou a multa em junho de 2020, rejeitando o recurso do Google.

Uma reportagem da Associated Press, em agosto de 2018, revelou que aplicativos do Google armazenavam a localização de usuários de Android e iPhone mesmo depois de a pessoa desligar explicitamente a opção "Histórico de Localização" — o app Google Maps continuava registrando localização ao ser aberto, e buscas no Google sem relação nenhuma com localização também. A reportagem foi o estopim de duas ações judiciais movidas por promotorias de Justiça americanas: em outubro de 2022, o Google pagou US$ 85 milhões pra encerrar um processo movido pelo Procurador-Geral do Arizona, que classificou o acordo como a maior multa per capita já paga pelo Google numa ação de privacidade; um mês depois, em novembro de 2022, o Google fechou acordo de US$ 391,5 milhões com procuradorias de 40 estados americanos — a maior ação coletiva de privacidade de consumidor da história dos EUA até aquele momento —, depois de uma investigação que concluiu que desligar "Histórico de Localização" não desativava outro mecanismo de rastreamento, o "Web & App Activity", que o Google continuava usando pra alimentar publicidade direcionada.

Em janeiro de 2024, o Google fechou acordo, com valor não divulgado publicamente, numa ação coletiva federal (Brown v. Google) que buscava US$ 5 bilhões em indenização, alegando que o navegador Chrome continuava rastreando a atividade de quem usava o modo anônimo ("aba anônima") através do Google Analytics e de ferramentas de anúncio embutidas em sites — mesmo com o modo supostamente ativado pra impedir esse tipo de coleta.

E, em maio de 2025 — com assinatura final em outubro do mesmo ano —, o Google fechou o maior acordo de privacidade já pago a um único estado americano: US$ 1,375 bilhão pro Texas, encerrando um processo movido pelo Procurador-Geral do estado que reunia três frentes — rastreamento de localização mesmo com a opção desligada, captura de buscas feitas em modo anônimo, e coleta de dados biométricos (voz e geometria facial) através de produtos como Google Fotos, Google Assistente e Nest Hub Max, sem consentimento explícito adequado.

Somando só essas cinco ações — todas resolvidas com pagamento, não com absolvição —, são mais de US$ 1,8 bilhão em multas e acordos que autoridades de proteção ao consumidor e de dados, em duas jurisdições diferentes (Estados Unidos e União Europeia), formalmente atribuíram a práticas de coleta de dado que o próprio usuário, na maioria dos casos, acreditava ter desativado. Não é acusação sem lastro: é o que Justiças distintas, em países distintos, já examinaram sob prova e cobraram como fato provado.

Há também um mecanismo ativo, ligado por padrão em todo Chrome instalado, que merece registro à parte: a "Navegação segura" (Safe Browsing). Segundo a própria documentação técnica do Google, o funcionamento no modo padrão — ativado sozinho, sem o usuário precisar fazer nada — é o seguinte: o Chrome baixa e guarda no aparelho uma lista de sites conhecidos como maliciosos, reduzida a prefixos de hash, e checa cada site visitado contra essa lista local primeiro. Só quando há possível coincidência com um desses prefixos, o Chrome envia um fragmento ofuscado do endereço através de um "servidor de privacidade" de terceiro, que remove o IP antes de repassar a consulta ao Google — desenho declarado especificamente pra impedir que uma única parte veja, ao mesmo tempo, quem é o usuário e qual site ele visitou, no mesmo princípio de dois saltos do iCloud Private Relay, só que da Google. Uma análise de 2019 da Trail of Bits, empresa de segurança respeitada no mercado, argumentou que essa proteção é mais fraca na prática do que parece no papel: mesmo com cada prefixo de hash compartilhado, em média, por milhares de sites diferentes — um estudo acadêmico de 2015 mediu a marca de 14.757 sites por prefixo —, o Google pode cruzar múltiplas consultas de Navegação Segura feitas pelo mesmo usuário ao longo do tempo pra restringir, na prática, qual site específico está por trás de cada prefixo. Vale o mesmo cuidado técnico já registrado sobre a Apple: isso não é o Google lendo o conteúdo da página visitada, é o Google recebendo, por padrão, um sinal de quais famílias de site cada usuário visita — e há, além do modo padrão, uma "Proteção avançada" opcional (não ligada por padrão) que envia o endereço completo, amostras do conteúdo da página e outros dados de sistema ao Google em tempo real.

Dois tribunais federais dos EUA, dois monopólios, no mesmo ano

Isso deixa de ser debate de blog de privacidade quando dois juízes federais americanos chegam à mesma conclusão, em processos distintos, no mesmo período. Em agosto de 2024, o juiz Amit Mehta considerou que o Google manteve ilegalmente monopólio no mercado de busca, violando a lei antitruste americana (Sherman Act), ao pagar bilhões de dólares por contratos de exclusividade para ser o buscador padrão em navegadores e aparelhos de terceiros — incluindo Apple e Mozilla. Na decisão de remédios de setembro de 2025, o mesmo tribunal recusou obrigar o Google a se desfazer do Chrome ou do Android, mas proibiu esse tipo de contrato exclusivo daqui pra frente: o Google pode continuar pagando para ser o padrão, só não pode mais impedir, por contrato, que o parceiro ofereça alternativa.

Em abril de 2025, num processo separado, a juíza Leonie Brinkema, da Virgínia, concluiu que o Google monopolizou ilegalmente o mercado de tecnologia de publicidade — incluindo atrelar de forma anticompetitiva sua bolsa de anúncios (AdX) ao seu servidor de anúncios para grandes portais (DFP). O Departamento de Justiça dos EUA pediu a venda forçada da AdX; o desfecho final desse pedido ainda está em curso.

Ou seja: no mesmo ano, dois tribunais federais diferentes concluíram, com base em evidência apresentada em julgamento, que a empresa que controla o motor de quase 80% da web também monopolizou ilegalmente dois mercados adjacentes de busca e publicidade — o motor de negócio que financia, entre outras coisas, o desenvolvimento desse mesmo navegador.

A "alternativa independente" que sobrevive de mesada do concorrente que deveria enfrentar

Se o conselho fosse simplesmente "use Firefox", o próprio caso antitruste do Google expôs por que isso não resolve o problema estrutural. Documentos do processo mostraram que os pagamentos do Google para ser o buscador padrão do Firefox somaram cerca de US$ 510 milhões só no biênio 2021–2022 — por volta de 86% de toda a receita da Mozilla naquele período, proporção que se manteve estável (também perto de 86%) em relatórios financeiros mais recentes da empresa. Durante o julgamento de remédios, executivos da Mozilla alertaram publicamente que uma proibição total desse tipo de pagamento poderia comprometer seriamente as finanças do Firefox. A própria Open Web Advocacy, organização de defesa da web aberta, resumiu o dilema perguntando publicamente: vale a pena arriscar quebrar a Mozilla pra tirar menos de 1% de participação de mercado do Google?

Não é uma crítica à Mozilla como organização — é a descrição de uma estrutura de poder: a principal "concorrência" independente ao Chromium depende financeiramente do mesmo ator que ela deveria contrapor no mercado.

Apple: dezesseis anos de uma frase nas diretrizes da loja

Desde o lançamento da App Store em 2008, a regra 2.5.6 das diretrizes de revisão de apps da Apple exige, no texto oficial atual: "apps que navegam na web devem usar o framework WebKit apropriado e o JavaScript do WebKit". Isso quer dizer, literalmente, que Chrome para iPhone, Firefox para iPhone, Edge para iPhone e Brave para iPhone não rodam o motor que dá nome a cada um deles — todos são WebKit, o motor da própria Apple, com uma casca de interface e sincronização por cima. Chamar isso de "Chrome no iPhone" é, tecnicamente, uma ficção de marca tolerada pela própria Apple.

A partir de março de 2024, a União Europeia passou a exigir, pela Lei de Mercados Digitais (DMA), que a Apple permitisse motores de navegador de verdade no iOS — a Apple lançou o framework técnico correspondente (BrowserEngineKit) junto com o iOS 17.4. Na teoria, Chrome e Firefox europeus finalmente poderiam rodar Blink e Gecko de verdade num iPhone. Na prática, mais de um ano depois, a Open Web Advocacy descrevia a situação, em julho de 2025, como bloqueio efetivo continuado: o pacote de exigências técnicas, legais e comerciais impostas pela Apple para usar a brecha era tão pesado que nenhum fabricante de navegador havia conseguido lançar motor próprio de verdade na Europa até aquele momento — o que a organização chamou de "malicious compliance": cumprir a letra da lei de um jeito desenhado para que, na prática, ninguém use a exceção.

O episódio mais visível desse padrão aconteceu em fevereiro de 2024: a Apple anunciou que removeria completamente o suporte a Progressive Web Apps instalados na tela de início, só na União Europeia, alegando dificuldade técnica em sustentar isso com motores de terceiros. A reação pública foi imediata — inclusive de associações de empresas europeias, que reclamaram formalmente à Comissão Europeia — e, em março de 2024, a Apple recuou, mantendo o recurso ativo mesmo na UE. Tirar uma funcionalidade que cidadãos comuns já usavam, como peça de barganha numa negociação regulatória, e só devolvê-la depois de pressão pública, não é o comportamento de quem estava genuinamente preocupado com segurança técnica.

Por que a resistência é tão grande? Documentos tornados públicos no processo antitruste revelaram que o Google paga à Apple algo em torno de US$ 20 bilhões por ano para ser o buscador padrão do Safari — um valor que, segundo estimativa pública da Open Web Advocacy, já representou até 17,5% do lucro operacional da Apple em determinados anos, e que a organização estima em cerca de US$ 200 milhões perdidos para cada ponto percentual de participação de mercado que o Safari cede a um concorrente. Cada navegador alternativo que ganha espaço real no iPhone tira dinheiro desse fluxo.

Há também um padrão de atraso em recursos que reduzem a dependência de apps nativos — e, portanto, de comissão de loja. O Web Push, usado por apps de mensagem para notificar sem precisar de um app nativo instalado, chegou ao Chrome em 2015; a Apple só adicionou suporte no iOS, para apps web instalados na tela de início, em março de 2023 — praticamente oito anos depois. Um app web com notificação completa reduz o incentivo pra publicar um app nativo na App Store, onde a Apple cobra comissão de 15% a 30% por transação.

Como parte da resposta à DMA, a Apple também criou uma "Core Technology Fee" — inicialmente €0,50 por instalação de app acima de certo volume —, e a Comissão Europeia abriu processo formal por considerar que o pacote de mudanças da Apple não cumpre de fato as obrigações da lei; em 2025, sob nova pressão, a cobrança foi reestruturada. É o mesmo padrão do episódio do motor de navegador: cumprir a letra da regra, criar atrito suficiente pra que a mudança não produza efeito prático.

Nem tudo nessa história é derrota, e vale registrar isso com a mesma honestidade. O Japão aprovou sua própria lei de concorrência para smartphones, com prazo até dezembro de 2025 para a Apple permitir motor de navegador de terceiros no iOS — e, diferente do que aconteceu na União Europeia, a pressão japonesa produziu resultado prático: em janeiro de 2026, com o lançamento do iOS 26.2, a Apple passou a conceder de fato as permissões técnicas para motores alternativos rodarem no Japão. É a primeira vez que isso acontece em qualquer jurisdição do mundo. Não resolve o problema globalmente — um usuário fora do Japão continua sem essa opção —, mas mostra que o teto não é fisicamente impossível de erguer. Só não foi erguido em nenhum lugar por escolha espontânea da Apple.

As duas ferramentas vendidas como "proteção" que merecem leitura mais fria

Duas funcionalidades da própria Apple ilustram um problema diferente do resto deste texto — não é bloqueio de concorrência, é a forma como a empresa vende, pro usuário leigo, ferramentas que na prática concentram nela mesma um tipo de visibilidade que antes estava espalhada entre vários terceiros. Vale examinar as duas com precisão, porque a arquitetura real de cada uma é mais sutil (e em um ponto, bem mais grave) do que "a Apple está espionando tudo".

iCloud Private Relay é a função que anonimiza a navegação do Safari — e faz isso, sem meio-termo, interceptando o tráfego. A arquitetura, documentada pela própria Apple e por parceiros técnicos como a Cloudflare, usa dois saltos: o primeiro, operado pela Apple, intercepta a conexão do usuário, vendo o endereço IP real, mas não consegue ler qual site está sendo acessado porque esse dado viaja cifrado; o segundo salto, operado por uma content delivery network parceira (Cloudflare, Akamai ou Fastly, a depender da região), intercepta de novo pra decidir o destino final, vê o site de destino mas recebe só uma localização aproximada, nunca o IP real. É uma interceptação de tráfego real, de ponta a ponta — o que o desenho declarado impede é que uma dessas duas pontas, sozinha, consiga juntar IP e destino ao mesmo tempo, ou ler o conteúdo da página que passa pelo túnel cifrado por baixo. É uma diferença técnica importante: interceptar a rota não é o mesmo que ler o conteúdo — a Apple detalha isso mais adiante neste texto —, mas interceptar a rota já é, sozinho, o suficiente pra trocar o IP real de quem navega pelo de uma empresa que ela não escolheu, o que tem consequência prática real, como mostra o caso a seguir.

Pra praticamente todo mundo que não é de tecnologia, isso nunca foi de fato uma escolha informada. A função vem habilitada por padrão pra quem assina o iCloud+, com um único toggle chamado "Private Relay" e nenhuma explicação, no momento de ligar, de que dali em diante toda a navegação do Safari passa a sair pela internet com o IP de uma empresa que a pessoa nunca escolheu e não sabe qual é. Isso deixa de ser abstrato quando quebra algo concreto: qualquer site ou serviço que controle acesso por lista de IP liberado — um painel de projeto em desenvolvimento, um sistema interno de empresa, um servidor de teste — para de funcionar pra quem tem Private Relay ativo, porque o pedido chega com o IP do relay da Apple ou da CDN parceira, não o IP real que foi liberado. A própria Apple reconhece esse efeito na documentação oficial voltada a administradores de rede, "Prepare your network or web server for iCloud Private Relay", instruindo quem mantém um serviço a tratar o problema tecnicamente — e há registros de administradores relatando exatamente essa dor de cabeça em fóruns oficiais de desenvolvedores da própria Apple. Na prática, é comum a pessoa nem saber que a função está ligada, muito menos onde desligar — e descobrir o problema só quando um acesso que deveria funcionar simplesmente não funciona, sem nenhum aviso de que o IP que chegou do outro lado não é o dela. Vender isso ao público leigo como "ligue e pronto, você está protegido", sem nunca explicar essa mecânica nem dar visibilidade real de quem passou a estar no meio do caminho, é simplificação que esconde a real relação de confiança — e de risco prático — que está sendo criada. As operadoras de internet, pelo lado delas, já reclamaram publicamente da mesma opacidade: Vodafone, Telefónica e Orange, na Europa, disseram perder visibilidade de rede que usavam pra gestão de tráfego, e a T-Mobile americana chegou a bloquear a função pra parte dos clientes.

Há uma segunda frente de exposição que não depende de nenhuma função da Apple específica, e que vale registrar: a consulta DNS em si. Toda vez que um dispositivo tenta acessar um site, ele primeiro pergunta a um servidor DNS "qual é o endereço desse domínio" — e, por padrão, historicamente, essa pergunta viaja sem criptografia. Isso significa que quem opera o servidor DNS usado pelo aparelho — a operadora de internet, ou um provedor de DNS como o da própria Apple ou de qualquer outra empresa — pode, de forma documentada, ver o domínio consultado e o IP de origem de cada consulta; é uma prática real e batizada de "DNS passivo", usada rotineiramente por empresas de segurança pra rastrear infraestrutura maliciosa. É esse ponto cego específico que motivou a criação de DNS criptografado (DoH/DoT) — e é também por isso que o próprio Private Relay cifra as consultas DNS como parte do seu desenho, não só o tráfego de página. Uma extensão mais especulativa dessa ideia — que o operador do DNS use esse registro pra automaticamente visitar o mesmo endereço e inspecionar o conteúdo publicamente disponível ali — é tecnicamente possível em tese, mas este texto não encontrou nenhum registro documentado de que a Apple, ou provedores de internet em geral, façam isso como prática de vigilância contra usuário comum; então fica registrado como risco teórico do desenho, não como fato comprovado.

Hide My Email é outra história, e aqui a crítica tem base mais concreta. A função gera um endereço de e-mail aleatório — algo como `abc123@privaterelay.appleid.com` — pra usar em cadastro de site, sem entregar o e-mail de verdade de quem se cadastra; mensagens que chegam nesse alias são reencaminhadas automaticamente pra caixa real. A Apple oferece isso ativamente durante o preenchimento de formulários de cadastro em apps e sites de terceiros, como opção padrão ao lado do e-mail real. Segundo a documentação da própria Apple, o conteúdo das mensagens não é lido além da filtragem de spam necessária pra manter a reputação do serviço, e as mensagens são apagadas dos servidores de retransmissão pouco depois de encaminhadas — mas, estruturalmente, isso não muda o fato de que a Apple passa a ser a intermediária que sabe, no mínimo, em qual site a pessoa se cadastrou, quando, e com que frequência recebe e-mail dali — metadado que antes ficava só com o próprio site. É uma troca real de a quem se concede visibilidade, não uma eliminação de vigilância — e vender isso como proteção simples, sem esse contexto, pro usuário que não tem como avaliar a diferença, é uma crítica legítima e documentada por pesquisadores de privacidade, não invenção deste texto.

E há um ponto técnico de fundo que reforça essa crítica, sem precisar de nenhuma suposição: e-mail, por padrão, não é criptografado de ponta a ponta — nem no iCloud, nem no Gmail, nem em nenhum provedor convencional. O que existe por padrão é criptografia em trânsito (TLS) entre servidores, que protege a mensagem enquanto viaja pela rede, mas ao chegar no servidor de destino ela é decifrada e fica armazenada de um jeito que o próprio provedor tem, tecnicamente, como acessar — é por isso que "e-mail comum" e "mensagem realmente privada" nunca foram a mesma coisa, com ou sem Apple no meio. A própria Apple reconhece essa distinção: o iCloud Mail padrão é criptografado em trânsito e em repouso, mas com chaves que ficam com a Apple — o que significa acesso tecnicamente possível, inclusive sob ordem judicial —, e só quando o usuário liga manualmente a "Proteção Avançada de Dados" (Advanced Data Protection), um recurso opcional e não ligado por padrão, é que o iCloud Mail passa a valer como criptografia de ponta a ponta de verdade. Ou seja: pro usuário comum do Hide My Email, que não foi ativamente configurar essa opção extra, a mensagem que passa pelo alias trafega pela infraestrutura da Apple exatamente com o mesmo nível de exposição técnica que qualquer e-mail convencional tem em qualquer provedor — nem mais, nem menos —, o que deixa ainda mais nítido que chamar isso de "proteção" sem esse contexto é, no mínimo, contar só parte da história.

E há um problema concreto, atual, que pesa mais que a discussão de arquitetura: em julho de 2026, veio à público que o Hide My Email tinha uma falha real que expunha o e-mail verdadeiro por trás do alias. O pesquisador Tyler Murphy, da EasyOptOuts, descobriu que enviar uma mensagem propositalmente formatada — rejeitada como spam — fazia o endereço real do destinatário aparecer nos registros (logs) de e-mail. Ele reportou o problema à Apple em junho de 2025; a Apple reconheceu um mês depois e disse estar investigando. Em março de 2026, a Apple avisou que tinha corrigido — Murphy testou de novo e a falha continuava aberta. Diante da demora, ele levou o caso a público em julho de 2026; a Apple disse ter aplicado uma correção em 3 de julho, mas a AppleInsider reproduziu a falha de novo em 17 de julho, duas semanas depois da correção anunciada. A própria EasyOptOuts alertou que alias criados antes de 7 de julho de 2026 podem ter ficado expostos em algum log de terceiro mesmo depois do reparo final. Ou seja: por mais de um ano, a exata garantia que a Apple vende como núcleo do produto — "seu e-mail real nunca aparece" — não se sustentou na prática, e a correção definitiva só veio depois que a imprensa tornou o caso público.

O teto que nenhuma arquitetura de software resolve sozinha

Mesmo nas plataformas onde é possível, na teoria, ter controle real de motor — desktop, Android —, o problema de rastreamento por "impressão digital" do navegador (fingerprinting) continua existindo dentro do próprio motor, não em algo que um filtro de rede resolva. O estudo pioneiro da Electronic Frontier Foundation, o Panopticlick, de 2010, mediu pelo menos 18,1 bits de informação identificadora numa amostra de mais de 470 mil navegadores reais — o suficiente para diferenciar uma pessoa entre cerca de 262 mil outras, só a partir da combinação de configurações do navegador, sem cookie nenhum. A EFF mantém hoje uma versão sucessora dessa pesquisa, batizada de Cover Your Tracks, testando continuamente o quão exposto cada navegador deixa quem o usa.

Combinar isso com o resto do quadro é o que fecha o argumento: não importa quão bem desenhada seja a arquitetura de privacidade de um navegador novo, se o motor em que ele roda — ou é obrigado a rodar, no caso do iOS — pertence, na prática, a uma empresa cujo modelo de negócio depende de rastreamento e publicidade, ou a uma empresa que cobra um pedágio de bilhões de dólares por ano para manter esse mesmo motor obrigatório.

Navegador nenhum nasce neutro quando quem controla o motor também lucra com o que esse motor deveria bloquear.

O que está provado, e o que não está — sem misturar as duas coisas

Depois de tanto fato junto, vale separar com clareza o que este texto realmente sustenta sobre cada empresa, porque as duas foram provadas de formas diferentes, e misturar isso é o tipo de simplificação que este espaço tenta evitar.

Sobre o Google, está provado, com uma ressalva sobre o tipo de prova. Cinco órgãos distintos — procuradorias de estado americanas, um tribunal federal americano, e o regulador de proteção de dados da França — concluíram, de forma independente uns dos outros, que o Google coletou dado de localização, de busca e biométrico de jeitos que dizia ao usuário não estar fazendo, e o Google pagou mais de US$ 1,8 bilhão nesses casos combinados em vez de vencer na Justiça. A ressalva importa: a maioria desses acordos nos EUA foi resolvida "sem admissão de culpa" — prática jurídica padrão, não uma condenação penal —, então são "pagou pra resolver" e não "juiz decretou culpado" em cada um deles isoladamente. Mas o caso francês é diferente: não foi acordo, foi multa aplicada pela CNIL, contestada pelo Google, e mantida no mérito pela mais alta corte administrativa da França em 2020 — isso é decisão julgada, não acordo comercial. Somando os cinco casos, o padrão é consistente demais, em jurisdições independentes demais, pra ser coincidência ou perseguição isolada.

Sobre a Apple, também está provado — mas não a mesma alegação. Não está provado, e a própria arquitetura documentada do Private Relay contradiz diretamente, que a Apple lê o conteúdo do que passa pelos seus servidores: o desenho de dois saltos existe exatamente pra impedir que uma única parte veja, ao mesmo tempo, quem você é e o que você acessa. O que está provado é outra coisa, igualmente séria: a Apple roteia o tráfego de quem assina o iCloud+ por infraestrutura que a pessoa não escolheu e majoritariamente não sabe que existe, vende isso como "proteção" sem revelar essa troca de confiança, e — o ponto mais concreto de todos — o Hide My Email teve uma falha real, hoje documentada por múltiplos veículos, que vazou endereços de e-mail verdadeiros por mais de um ano, falhando exatamente na única promessa que o produto existe pra cumprir.

Resumindo, sem exagerar nenhum dos dois lados: o Google tem um padrão comprovado, repetidamente penalizado, de coletar dado que dizia não coletar. A Apple tem uma prática comprovada de criar dependência de confiança sem revelar isso ao usuário leigo, mais uma falha real e documentada da própria promessa de privacidade — mas não tem, nas fontes reunidas aqui, prova de leitura de conteúdo alheio. São dois problemas reais, mas não são o mesmo problema, e tratar os dois como idênticos enfraqueceria exatamente os pontos que de fato têm prova sólida por trás.

O que isso significa pra quem só quer usar a internet sem ser vigiado

A conclusão não é "instale o Firefox e está resolvido", nem "espere a Apple cumprir a lei europeia". É mais dura do que isso: a infraestrutura básica pela qual bilhões de pessoas acessam a internet é controlada, em nível de motor e de plataforma, por duas empresas cujos incentivos econômicos documentados — em tribunal, em relatório financeiro, em estimativa de organizações independentes — apontam na direção contrária à privacidade e à escolha real de quem usa. Isso vale mesmo para quem constrói, com intenção técnica séria, um navegador de rastreamento zero por desenho, como é o caso do ORBIT.

A promessa de privacidade estrutural continua valendo a pena perseguir — em desktop e Android, onde o ORBIT pode de fato escolher e controlar seu próprio motor, ela é real e alcançável. Mas ela tem um teto de vidro em qualquer plataforma onde Apple ou Google controlam a porta de entrada, e nenhuma arquitetura de software, por mais bem feita, derruba esse teto sozinha. O caminho que abriu essa brecha uma vez — pressão regulatória de Estado, como no Japão — é o único que, até agora, mostrou resultado prático. Registrar isso com clareza, em vez de prometer mais do que qualquer navegador consegue entregar sozinho, é a parte da honestidade que cabe a quem está construindo a alternativa.

Fontes: