SNI Encriptado (ESNI)

SNI Encriptado (ESNI) aborda um vazamento sutil no HTTPS. Durante o aperto de mão TLS, o cliente normalmente envia o nome do host de destino em texto claro no campo de Indicação de Nome do Servidor, para que um servidor que hospeda muitos sites saiba qual certificado apresentar. Isso significa que um observador de rede pode ver qual site você está visitando, mesmo que o conteúdo da página esteja encriptado. O ESNI, e seu sucessor mais completo, o Encrypted Client Hello (ECH), encriptam esse campo para que o nome do host não fique mais exposto na rede.

Isso é importante porque fecha um dos últimos sinais em texto claro em uma sessão de outra forma criptografada, complementando DNS criptografado: DoH oculta a consulta, e ESNI/ECH oculta o nome do host na negociação, então juntos eles removem as maneiras fáceis de ver para onde você está indo. O suporte depende do navegador, do servidor e da CDN à sua frente, e a adoção ainda é desigual, com ECH agora sendo a direção do movimento. Para a privacidade do dia a dia, é mais uma camada em vez de uma ferramenta independente — mais útil combinada com uma VPN e DNS criptografado em vez de depender sozinha.

O suporte para ESNI e ECH depende do seu navegador, do servidor e da CDN à sua frente, e a adoção ainda é desigual, com o ECH sendo a direção a seguir. Trate isso como uma camada entre várias: combine com DNS criptografado para ocultar a consulta e um VPN para esconder seu IP, assim o nome do host, a consulta e a origem estão todos cobertos. Sozinho, ocultar o campo SNI fecha um único vazamento em vez de oferecer anonimato de ponta a ponta.