Este é o whitepaper técnico que sustenta a apuração do VERBO sobre a dependência do Estado brasileiro de empresas de tecnologia sob jurisdição americana. Publicamos aqui o método completo, os números por trás de cada afirmação e o caminho para qualquer pessoa refazer a verificação — inclusive discordar do resultado com dado em mãos, não com opinião.

Isolando só a administração federal genuína — sem estado, sem município, sem Legislativo, sem Judiciário, sem conselho profissional, sem domínio duplicado —, 81 de 132 órgãos federais recebem e-mail numa empresa sujeita à lei americana.

A pergunta e os achados principais

Quantos órgãos e serviços públicos brasileiros — domínios .gov.br, e também .jus.br, .mp.br, .leg.br e .mil.br — entregam o próprio e-mail a empresas estrangeiras, principalmente Microsoft e Google?

  • 1.166 de 5.679 domínios .gov.br com e-mail ativo (20,5%) apontam o recebimento de e-mail direto para empresas estrangeiras: Google Workspace (490), Microsoft 365 (421), Hostinger (140), Zoho (36), Titan (34) e Mailgun (27), entre outras.
  • Na administração federal genuína — ministérios, Presidência e autarquias ou empresas públicas federais —, a proporção é de 61,4%: 81 de 132 domínios com e-mail ativo. Estão na Microsoft, entre outros, o Banco Central, a Polícia Federal, a Receita Federal, o Itamaraty, o TCU, a CGU, o IBGE, o INSS, a Dataprev, o BNDES, a Caixa, o Tesouro Nacional, o Ministério da Educação e o Ministério da Justiça. No Google estão a Polícia Rodoviária Federal, a Procuradoria-Geral da Fazenda Nacional, o INCA e outros. Este número isola o Executivo federal de fato — administração direta e indireta — de estados, municípios, Legislativo, Judiciário, conselhos profissionais e domínios duplicados que compartilham o mesmo padrão de nome sem sigla de UF; a classificação de cada um dos 132 domínios, por reconhecimento manual da instituição, está documentada linha por linha (seção "Reprodutibilidade", ao final).
  • Governos estaduais: os domínios-raiz de São Paulo, Bahia e Amazonas apontam para a Microsoft. Os de Mato Grosso e Santa Catarina apontam para o Google.
  • Considerando também o país dos servidores: 2.175 domínios (38,3%) têm pelo menos um servidor de recebimento de e-mail com IP geolocalizado fora do Brasil, sobretudo nos EUA. Aqui entram também hospedagens comuns nos EUA, Canadá, França e Alemanha usadas por prefeituras e câmaras.
  • 73% dos domínios não bloqueiam falsificação de remetente (sem política DMARC, ou com uma política que só monitora sem agir).

Grau de certeza: os quatro primeiros achados e o quinto são fatos de DNS público, reproduzíveis por qualquer pessoa com os comandos descritos ao final deste texto. O item sobre geolocalização de IP tem limitações, discutidas na seção de ressalvas.

O que estes dados não provam: não provam acesso indevido a dados por governo estrangeiro, nem que a caixa de correio de um órgão esteja fisicamente armazenada no exterior — a Microsoft, por exemplo, oferece armazenamento no Brasil. O que provam é que o recebimento e o processamento do e-mail desses órgãos foi delegado a empresas estrangeiras, sujeitas à legislação dos seus países de origem. A passagem efetiva de mensagens autênticas por servidores no exterior — não só a delegação por DNS — foi documentada à parte, caso a caso, com cabeçalho completo preservado, sobre mensagens reais recebidas por um servidor de e-mail próprio; os resultados dessa verificação complementar estão na apuração publicada junto com este whitepaper.

Contexto técnico, em linguagem simples

  • Registro MX é o anúncio público no DNS de um domínio que diz "os e-mails para este endereço devem ser entregues neste servidor". Se o MX do Banco Central é um servidor da Microsoft, todo e-mail endereçado ao Banco Central é entregue primeiro a esse servidor.
  • Registro SPF é a lista pública dos servidores autorizados a enviar e-mail em nome de um domínio.
  • DMARC é a política pública que diz o que fazer com mensagens que fingem ser de um domínio — rejeitar, colocar em quarentena, ou só monitorar.
  • Assinatura DKIM é uma assinatura criptográfica na mensagem que prova que ela foi emitida pela infraestrutura autorizada daquele domínio — não forjada.
  • Cabeçalhos "Received" são as linhas que cada servidor no caminho de uma mensagem acrescenta, com o próprio nome e o horário. É o carimbo de passagem do e-mail.
  • A Microsoft documenta publicamente a convenção de nomes dos servidores do Exchange Online: códigos como "NAM" ou "EOP-NAM" indicam América do Norte; "BRAP", "LAMP" ou "BRAZILSOUTH" indicam Brasil ou América Latina.

Método

Não existe lista pública oficial e completa de domínios .gov.br. Montamos a nossa a partir de duas fontes: o Certificate Transparency, registro público de todos os certificados de segurança emitidos para a internet, consultado para as 27 unidades da federação e para o nível federal, somando 35.846 nomes de host distintos; e a lista Tranco, um ranking público dos sites mais acessados do mundo, que trouxe mais 1.156 domínios .gov.br.

Cada nome de host foi reduzido ao domínio do órgão — por exemplo, um subdomínio de sistema interno de uma secretaria estadual foi reduzido ao domínio principal dessa secretaria. O resultado foram 7.477 domínios, dos quais 5.679 têm e-mail ativo (registro MX publicado).

Para cada domínio, consultamos os registros MX, SPF e DMARC. Cada servidor de e-mail foi resolvido para seu endereço IP; para cada IP, registramos o país onde o bloco está oficialmente registrado (base pública MaxMind GeoLite2) e a empresa dona da rede pela qual esse IP é anunciado na internet (consulta pública ao serviço Team Cymru).

A classificação do provedor de e-mail de cada domínio foi feita pelo padrão de texto no nome do servidor e pela rede: Microsoft, Google, Amazon, Proofpoint, Zoho, Titan, Hostinger, Mailgun, Cisco, Barracuda e HostGator como provedores estrangeiros; Locaweb, UOL Host, KingHost e Serpro como brasileiros. Domínios que não se encaixaram em nenhum provedor conhecido ficaram como "outro ou próprio" — o que inclui tanto servidor do próprio órgão quanto hospedagem menor não identificada.

Essa classificação automática por padrão de texto é confiável para identificar o provedor, mas não basta para separar esfera de governo — federal, estadual, municipal, Legislativo, Judiciário — nem para distinguir um órgão de uma duplicata sua sob outro nome de domínio. Isso foi feito por reconhecimento manual, instituição por instituição, de cada um dos 201 domínios sem sigla de UF que uma primeira triagem automática havia agrupado sob "federal" — resultado na seção seguinte.

Este levantamento cobre domínios .gov.br. Um levantamento complementar, pelo mesmo método, cobriu .jus.br (Judiciário), .mp.br (Ministério Público), .leg.br (Legislativo) e .mil.br (Forças Armadas) — resultados na seção "Os outros Poderes", adiante.

A reclassificação manual do recorte federal

Uma primeira triagem automática, que apenas separava domínios pelo formato do nome (sem sigla de UF no meio = "federal"), reunia sob esse rótulo 201 domínios que, na prática, eram coisas muito diferentes entre si: governos e empresas estaduais hospedados sem sigla de UF no nome — entre eles o Governo do Amapá, o do Ceará, o de Goiás, o Instituto Butantan e as empresas de tecnologia dos governos da Bahia e de Minas Gerais; prefeituras, entre elas a de Belo Horizonte e a do Rio de Janeiro; aliases do Congresso e assembleias legislativas estaduais — Legislativo, não Executivo; tribunais, que deveriam estar sob o sufixo .jus.br, não .gov.br; 23 conselhos profissionais federais — autarquias por lei, mas de natureza e financiamento bem diferentes de um ministério, custeadas por anuidade profissional, não por imposto; 18 domínios duplicados ou de nomes de ministérios extintos, contando duas vezes a mesma instituição (a Polícia Federal aparecia sob dois nomes de domínio diferentes, por exemplo); 8 órgãos de governança compartilhada entre União, estados e municípios, sem um único ente federal responsável; e 1 empresa que foi privatizada — a Eletrobras, desde 2022 uma empresa privada, ainda com domínio .gov.br remanescente de quando era estatal.

Reclassificamos os 201 domínios um a um, por reconhecimento direto de cada instituição — essa distinção não dá para automatizar com segurança. O resultado: isolando só a administração federal genuína, direta e indireta, restam 132 domínios, dos quais 81 (61,4%) recebem e-mail em empresa estrangeira. É um número mais alto que o de uma primeira triagem automática, não mais baixo — excluir estados e municípios, que usam provedores mais variados, e manter só órgãos federais de fato elevou a proporção. Dentro desse núcleo, a dependência é maior na administração indireta — agências reguladoras, INSS, IBGE, Caixa, bancos públicos, empresas estatais, 89 domínios, 67,4% em empresa estrangeira — do que nos ministérios propriamente ditos (43 domínios, 48,8%). Somando os 23 conselhos profissionais ao núcleo, o percentual quase não muda: 61,3% de 155 domínios.

Resultados por esfera e unidade da federação

Considerando o recorte federal já reclassificado manualmente:

  • Federal, Executivo (direta e indireta): 132 domínios com e-mail, 81 em empresa estrangeira — 61,4%.
  • Amazonas: 89 domínios, 49 em empresa estrangeira — 55,1%.
  • Paraíba: 273 domínios, 109 em empresa estrangeira — 39,9%.
  • Roraima: 39 domínios, 12 em empresa estrangeira — 30,8%.
  • Bahia: 218 domínios, 63 em empresa estrangeira — 28,9%.
  • Mato Grosso: 184 domínios, 48 em empresa estrangeira — 26,1%.
  • Tocantins: 143 domínios, 32 em empresa estrangeira — 22,4%.
  • São Paulo: 519 domínios, 115 em empresa estrangeira — 22,2%.
  • Santa Catarina: 251 domínios, 54 em empresa estrangeira — 21,5%.
  • Minas Gerais: 526 domínios, 112 em empresa estrangeira — 21,3%.
  • Rio Grande do Sul: 457 domínios, 97 em empresa estrangeira — 21,2%.
  • Ceará: 280 domínios, 55 em empresa estrangeira — 19,6%.
  • Espírito Santo: 108 domínios, 20 em empresa estrangeira — 18,5%.
  • Paraná: 308 domínios, 54 em empresa estrangeira — 17,5%.
  • Rio de Janeiro: 189 domínios, 29 em empresa estrangeira — 15,3%.
  • Rio Grande do Norte: 131 domínios, 19 em empresa estrangeira — 14,5%.
  • Acre: 28 domínios, 4 em empresa estrangeira — 14,3%.
  • Piauí: 160 domínios, 22 em empresa estrangeira — 13,8%.
  • Rondônia: 107 domínios, 14 em empresa estrangeira — 13,1%.
  • Mato Grosso do Sul: 154 domínios, 20 em empresa estrangeira — 13,0%.
  • Pará: 173 domínios, 21 em empresa estrangeira — 12,1%.
  • Goiás: 290 domínios, 31 em empresa estrangeira — 10,7%.
  • Pernambuco: 196 domínios, 19 em empresa estrangeira — 9,7%.
  • Alagoas: 116 domínios, 11 em empresa estrangeira — 9,5%.
  • Maranhão: 162 domínios, 14 em empresa estrangeira — 8,6%.
  • Distrito Federal: 120 domínios, 9 em empresa estrangeira — 7,5%.
  • Amapá: 38 domínios, 2 em empresa estrangeira — 5,3%.
  • Sergipe: 196 domínios, 7 em empresa estrangeira — 3,6%.

Nota metodológica: as linhas por unidade da federação usam a mesma classificação automática por padrão de nome descrita no método, sem a revisão manual instituição por instituição aplicada à linha "Federal" — é possível que contenham problema equivalente em escala menor (por exemplo, uma empresa estadual e uma prefeitura sob o mesmo padrão de nome). A linha "Federal", por ser a mais citada publicamente nesta apuração, recebeu a verificação manual completa; as demais, não.

Os domínios-raiz dos governos estaduais: São Paulo, Bahia e Amazonas apontam para a Microsoft; Mato Grosso e Santa Catarina, para o Google; as demais 18 unidades da federação mantêm infraestrutura própria no Brasil.

Os 81 domínios federais em empresa estrangeira

Cada domínio citado abaixo é ministério, Presidência, Advocacia-Geral da União, autarquia, fundação ou empresa pública/de economia mista federal, confirmado por reconhecimento manual, instituição por instituição. Ficaram de fora desta lista, por não serem Executivo federal ou por serem duplicata de outro domínio já contado: os aliases do Senado e da Câmara (Legislativo, domínio correto é .leg.br), dois tribunais (Judiciário, domínio correto é .jus.br), a duplicata da Polícia Federal, a duplicata do Itamaraty, a duplicata da Presidência, dois nomes de ministérios extintos, a Prefeitura de Belo Horizonte, um comitê de governança compartilhada entre União, estados e municípios, e 23 conselhos profissionais.

Na Microsoft (74 domínios): Agência Brasileira Gestora de Fundos Garantidores, Agência Espacial Brasileira, Fundo Amazônia, Arquivo Nacional, Agência Nacional de Aviação Civil, Agência Nacional do Cinema, Agência Nacional de Energia Elétrica, Agência Nacional de Mineração, Agência Nacional do Petróleo, Agência Nacional de Saúde Suplementar, Banco Central, Banco do Nordeste, BNDES, Conselho Administrativo de Defesa Econômica, Caixa Econômica Federal, CAPES, Controladoria-Geral da União, Ministério das Cidades, Comissão Nacional de Energia Nuclear, Companhia Docas da Bahia, plataforma federal do consumidor, Ministério da Cultura, Comissão de Valores Mobiliários, Dataprev, Departamento de Controle do Espaço Aéreo, Empresa Brasileira de Serviços Hospitalares, Escola Nacional de Administração Pública, Empresa de Pesquisa Energética, Escola Superior de Defesa, Ministério do Esporte, FINEP, Serviço Florestal Brasileiro, Fundo Nacional de Desenvolvimento da Educação, Fundação Alexandre de Gusmão, Fundação Nacional de Artes, Fundacentro, IBAMA, IBGE, ICMBio, Instituto Evandro Chagas, Imprensa Nacional, INCRA, INEP, INPI, INSS, IPEA, IPHAN, Itaipu Binacional, Itamaraty, Instituto Nacional de Tecnologia da Informação, programa Mais Médicos, Ministério das Comunicações, Ministério da Ciência, Tecnologia e Inovação, Ministério do Desenvolvimento Agrário, Ministério do Desenvolvimento Regional, Ministério do Desenvolvimento Social, Ministério da Educação, Ministério da Justiça, Ministério do Meio Ambiente, Instituto Brasileiro de Museus, Polícia Federal, Companhia Docas do Rio de Janeiro, Pré-Sal Petróleo, Rede de Controle da Gestão Pública, Receita Federal, Sistema de Proteção da Amazônia, Superintendência da Zona Franca de Manaus, Superintendência de Seguros Privados, Tribunal de Contas da União, Tesouro Nacional, iniciativa de controle ligada a CGU/TCU, Ministério dos Transportes, Ministério do Turismo e Universidade Aberta do SUS.

No Google (7 domínios): Centro de Tecnologias Estratégicas do Nordeste, Serviço Geológico do Brasil, Fundação Joaquim Nabuco, Instituto Nacional de Câncer, Jardim Botânico do Rio de Janeiro, Procuradoria-Geral da Fazenda Nacional e Polícia Rodoviária Federal.

Fora do núcleo federal, mas registrados nesta apuração: a Eletrobras, hoje empresa privada, cujo domínio .gov.br é remanescente de quando era estatal; e um conselho profissional regional de Santa Catarina.

Proteção contra falsificação de remetente

Entre os 5.679 domínios .gov.br com e-mail ativo: 2.459 (43,3%) não têm registro DMARC nenhum; 1.703 (30%) têm uma política que só monitora, sem bloquear; 1.120 (19,7%) mandam mensagem suspeita para quarentena; e apenas 397 (7%) usam a política mais forte, de rejeição automática. É um achado lateral desta apuração, mas relevante por si: 73% dos domínios públicos brasileiros não impedem que terceiros enviem e-mail fingindo ser o próprio órgão — o que ajuda a explicar por que, no levantamento complementar sobre mensagens reais, a maioria das mensagens com remetente .gov.br recebidas era, na verdade, phishing.

Limitações e ressalvas

A cobertura da lista de domínios não é o universo completo: o Certificate Transparency e a lista Tranco cobrem bem domínios com site HTTPS ou tráfego relevante, mas não todos — o crt.sh trunca consultas muito grandes, e o crt.sh limitou consultas específicas por UF em pelo menos um caso desta apuração. Os 7.477 domínios são um piso, não o total real.

O registro MX mostra o recebimento do e-mail, não necessariamente onde ele fica armazenado depois: um órgão pode receber pela Microsoft e guardar o conteúdo em data center brasileiro. O MX prova a delegação a uma empresa estrangeira, não a localização física das caixas — a passagem efetiva de mensagens reais por servidor no exterior foi documentada à parte, na apuração sobre mensagens autênticas.

A geolocalização de IP tem limite técnico conhecido: a base MaxMind indica onde um bloco de IP está registrado ou anunciado, não necessariamente onde o servidor físico está. Grandes provedores de nuvem usam blocos registrados nos EUA também em data centers de outros países. Os percentuais de "IP fora do Brasil" citados no início deste texto são indicativos; os números por provedor, que sustentam a maior parte deste whitepaper, não dependem de geolocalização — dependem do nome do servidor e da rede que o anuncia.

A categoria "outro ou próprio" pode esconder mais terceirização do que a captada aqui: hospedagens brasileiras que revendem serviço estrangeiro, ou servidores de um órgão já hospedados em nuvem estrangeira, só foram identificados quando a geolocalização de IP pegou o caso. Nessa mesma linha, o levantamento complementar sobre os outros Poderes identificou pelo menos 6 tribunais eleitorais cujo IP é registrado em nome do próprio órgão, mas cuja rota na internet é anunciada por uma empresa estrangeira — Cloudflare, num arranjo do tipo usado para proteção contra ataques de negação de serviço. É uma categoria intermediária entre servidor próprio e nuvem estrangeira, detalhada na seção sobre os outros Poderes.

Este é um retrato de um único dia: DNS muda, e toda afirmação sobre um órgão específico deve ser reconferida na data em que for usada — o método para isso está descrito na próxima seção.

Por fim, a separação entre Executivo federal, estado, município, Legislativo, Judiciário, conselho profissional e duplicata foi feita por reconhecimento manual apenas para os 201 domínios sem sigla de UF, tratados no recorte federal. As linhas por unidade da federação usam classificação automática por padrão de nome, sem a mesma revisão manual, e podem conter erro equivalente em escala menor.

Reprodutibilidade: como qualquer pessoa confere

Descobrir para onde vai o e-mail de um órgão não exige nada além de uma consulta pública de DNS — o mesmo tipo de ferramenta gratuita disponível em qualquer site de consulta de domínio, ou, para quem usa terminal, o comando "dig" seguido de "+short MX" e do domínio em questão. O resultado aparece na hora: o nome do servidor que aquele domínio designou para receber e-mail. O mesmo vale para o registro SPF (consultando o TXT do domínio) e para o DMARC (consultando o TXT do subdomínio "_dmarc").

Para confirmar o trânsito real de uma mensagem por servidor no exterior — não só a delegação por DNS —, basta receber um e-mail autêntico do próprio órgão: resposta de ouvidoria, do Fala.BR, de assessoria de imprensa, ou notificação automática de um sistema oficial. No cliente de e-mail, a opção "mostrar original" ou "exibir código-fonte" revela o cabeçalho completo da mensagem. Ali, é possível conferir se existe uma assinatura DKIM válida do domínio do remetente — prova de que a mensagem é autêntica, não forjada — e, nas linhas de cabeçalho "Received", os nomes dos servidores pelos quais a mensagem passou: nos servidores da Microsoft, um código de região como "NAM" ou "EOP-NAM" indica América do Norte, enquanto "BRAP", "LAMP" ou "BRAZILSOUTH" indicam Brasil ou América Latina; para outros provedores, o país do IP do primeiro salto externo cumpre o mesmo papel.

Os dados brutos completos desta apuração — a lista dos 7.477 domínios, o resultado bruto de MX/SPF/DMARC/IP/país/rede para cada um, os agregados, o código do levantamento e a reclassificação manual do recorte federal, domínio por domínio, com a justificativa de cada classificação — estão preservados em arquivo do VERBO e disponíveis para conferência por qualquer pessoa interessada, incluindo os órgãos citados neste texto.

Os outros Poderes: Judiciário, Ministério Público, Legislativo e Forças Armadas

Um levantamento complementar, pelo mesmo método, cobriu também os domínios .jus.br (Judiciário), .mp.br (Ministério Público), .leg.br (Legislativo) e .mil.br (Forças Armadas) — a maior parte deles fora do escopo de qualquer levantamento anterior sobre o tema.

  • Judiciário (.jus.br): 113 domínios com e-mail ativo, 87,6% em rede de empresa estrangeira.
  • Ministério Público (.mp.br): 31 domínios com e-mail ativo, 87,1% em rede de empresa estrangeira.
  • Executivo (.gov.br, para referência): 5.679 domínios com e-mail ativo, 20,5% com MX direto em empresa estrangeira (46% considerando a rede que registra o bloco de IP do servidor principal, método um pouco mais amplo — a diferença entre os dois métodos está descrita na seção de método).
  • Legislativo (.leg.br): 1.088 domínios com e-mail ativo, 35,3% em rede de empresa estrangeira.
  • Forças Armadas (.mil.br): 34 domínios com e-mail ativo, 2,9% em rede de empresa estrangeira — um único domínio, o Departamento de Controle do Espaço Aéreo, da Aeronáutica.

Um achado específico vale registro à parte: o Tribunal Superior Eleitoral e ao menos 6 Tribunais Regionais Eleitorais — Acre, Bahia, Goiás, Minas Gerais, Paraíba e Sergipe — usam blocos de IP registrados em nome do próprio tribunal, mas cuja rota na internet é anunciada por uma rede de empresa americana, a Cloudflare, num arranjo do tipo usado para proteção contra ataques de negação de serviço. Não é aluguel de nuvem estrangeira — os endereços são do próprio tribunal —, mas também não é infraestrutura inteiramente independente: quem decide, na prática, por onde esse tráfego pode ser desviado é uma empresa sob jurisdição americana. É uma categoria intermediária entre as duas, e vale mantê-la separada de ambas.

Pontos de apuração sugeridos, ainda não verificados

Dois caminhos ficam abertos para quem quiser continuar esta apuração: ouvir os órgãos citados sobre a região de armazenamento contratada, as cláusulas de residência de dados e a análise de risco feita no momento da contratação; e examinar, no Portal da Transparência e no Compras.gov.br, os contratos públicos de licenças Microsoft 365 e Google Workspace dos órgãos listados, especificamente a região de dados contratada e as cláusulas de jurisdição.