Protegendo a Rede do Escritório: WPA3, DNS sobre HTTPS (DoH) e Isolamento de VLANs

Edson Feitosa de Oliveira Júnior

Fundador & Desenvolvedor Full Stack

A rede Wi-Fi do escritório é uma porta de entrada que muitas empresas esquecem. A senha impressa na parede, o roteador com configuração de fábrica e clientes conectados na mesma rede dos computadores do financeiro são situações comuns. Este guia mostra três medidas que fazem diferença: WPA3, DNS criptografado e separação da rede de visitantes.

1. Criptografia do Wi-Fi: WPA2 ou WPA3

A criptografia do Wi-Fi impede que alguém próximo capture o tráfego da rede e dificulta a descoberta da senha.

• WEP e WPA: obsoletos e quebráveis em minutos. Se o roteador só oferece isso, ele precisa ser trocado.
• WPA2-AES: ainda seguro com senha longa. Evite o modo TKIP.
• WPA3: o padrão atual. Protege contra tentativas de adivinhar a senha capturando a conexão e oferece mais segurança mesmo com senhas medianas.

Se o roteador suporta WPA3 mas há aparelhos antigos, use o modo de transição WPA2/WPA3. Em qualquer caso, use uma senha longa, de pelo menos 12 caracteres, e troque-a quando alguém sair da empresa.

2. Separe a rede de visitantes

Clientes, fornecedores e celulares pessoais não deveriam estar na mesma rede dos computadores que guardam dados da empresa. Um aparelho infectado na rede pode tentar atacar os outros.

• Rede de convidados: quase todo roteador moderno tem essa opção. Ela dá internet ao visitante sem acesso aos computadores internos e à impressora.
• VLANs: em redes um pouco maiores, switches e roteadores profissionais dividem a rede em segmentos isolados: computadores administrativos, câmeras, visitantes, máquinas de cartão.
• Dispositivos de Internet das Coisas (câmeras, TVs, assistentes) também devem ficar fora da rede principal, porque recebem poucas atualizações de segurança.

3. DNS criptografado

Toda vez que você acessa um site, o computador pergunta a um servidor DNS qual é o endereço daquele nome. Por padrão, essa pergunta viaja sem criptografia, e quem controla a rede ou o caminho pode ver ou até alterar a resposta, levando a um site falso.

O DNS sobre HTTPS (DoH) e o DNS sobre TLS (DoT) criptografam essas consultas. Como ativar:

• Windows 11: em Configurações > Rede e Internet, na conexão usada, edite a atribuição do servidor DNS, informe um provedor compatível e ative a opção de DNS criptografado.
• Navegadores: Chrome, Edge e Firefox têm a opção "DNS seguro" nas configurações de privacidade.
• Celulares Android: a opção "DNS privado" aceita provedores como Cloudflare (1.1.1.1) e Google.

Alguns provedores de DNS também oferecem filtros que bloqueiam domínios conhecidos de malware e phishing, uma camada extra de proteção barata.

4. Cuide do roteador

• Troque a senha de administrador padrão do roteador.
• Atualize o firmware e substitua roteadores que não recebem mais atualizações.
• Desative o WPS, que facilita ataques à senha.
• Desative a administração remota se não for usada e revise redirecionamentos de portas.

5. Wi-Fi rápido também importa

Segurança e desempenho andam juntos: um roteador atualizado e bem posicionado é mais seguro e mais rápido. Se a rede vive caindo, veja Wi-Fi lento: causas e soluções.

Checklist rápido

1. WPA3 ou WPA2-AES com senha longa.
2. Rede de convidados separada para clientes e celulares pessoais.
3. Câmeras e aparelhos de IoT fora da rede principal.
4. DNS criptografado nos computadores e navegadores.
5. Senha do roteador trocada, WPS desligado e firmware em dia.

Para quem trabalha fora do escritório, veja também se VPN vale a pena e o checklist de segurança digital.

Perguntas frequentes