O debate VPS vs dedicado costuma ser enquadrado como "desempenho versus preço". Para cargas de trabalho com privacidade crítica, esse é o enquadramento errado. A questão real é o que você está disposto a compartilhar — e com quem — no nível do silício. Um servidor virtualizado é por definição uma máquina multilocatária: seu kernel roda em cima de um hypervisor que simultaneamente executa kernels de desconhecidos. Para a maioria das cargas de trabalho em 2026, isso é um limite bem defendido e aceitável. Para algumas, é uma responsabilidade estrutural que nenhum hardening do SO consegue corrigir.
Este guia traça a linha. Vamos cobrir o modelo de ameaça que realmente muda a resposta, o histórico de CVEs de escape de hypervisor que você precisa conhecer, a economia prática e uma matriz de decisão sobre quais cargas de trabalho pertencem a cada tipo.
O modelo de ameaça que decide a resposta
Antes de comparar especificações, escreva um modelo de ameaça em uma frase. O tipo de servidor correto deriva disso quase mecanicamente.
Monolocação: o que ela realmente compra para você
Em um servidor dedicado — uma máquina física atribuída exclusivamente a você — você controla todas as camadas abaixo do SO que o contrato do host permite: configurações de BIOS, configuração de Secure Boot, criptografia total do disco com uma senha que o host literalmente não consegue ler, exposição do IPMI e quais módulos do kernel são carregados. Não há hypervisor entre você e o silício. Não há vizinhos compartilhando o cache L1/L2. Não há barramento de memória compartilhado onde um ataque de canal lateral poderia observar suas rodadas AES.
Em um VPS — uma fatia virtualizada de uma máquina física — você controla o SO guest e só isso. O host controla o hypervisor, as chaves de criptografia de disco (na maioria das configurações realistas) e a máquina física.
Três categorias de ameaça
Para fins de privacidade, as ameaças se dividem em três grupos:
- Adversário de rede. Alguém interceptando ou intimando o tráfego. Defendido por criptografia de transporte (TLS, WireGuard, SSH) e jurisdição. O tipo de servidor é irrelevante.
- Adversário host. O próprio provedor de hospedagem, ou quem puder coagi-lo. Defendido principalmente pela jurisdição (abordada no nosso guia de jurisdições) e secundariamente por criptografia total do disco com uma senha que o host não tem. O dedicado vence aqui, de forma modesta.
- Adversário colocatário. Alguém que alugou um VPS diferente na mesma máquina física, ou comprometeu um por outro vetor, e está tentando escapar da sua fatia. O dedicado elimina essa categoria por completo; o VPS não.
Se a categoria 3 está no seu modelo de ameaça, a conversa acabou — você precisa de um servidor dedicado. Se não estiver, um VPS bem configurado na jurisdição certa é mais do que suficiente para a esmagadora maioria das cargas de trabalho sensíveis à privacidade.
Escape de hypervisor: com que frequência acontece?
A resposta honesta mais curta: raramente, e com patches geralmente disponíveis em dias. Mas "raramente" não é "nunca", e o histórico vale a pena conhecer.
Os grandes escapes públicos
- Xen XSA-226 (2017) — um bug de corrupção de memória no tratamento de tabelas de páginas que permitia a um guest escalar para o host. Corrigido em um mês; grandes provedores de nuvem realizaram reboots de emergência.
- VENOM (CVE-2015-3456) — um overflow de buffer no controlador de disquete virtual do QEMU, afetando KVM e Xen. Antigo, mas instrutivo: a superfície de ataque era um recurso que ninguém estava usando ativamente.
- L1TF / Foreshadow (2018) — canal lateral de execução especulativa da Intel que podia vazar memória entre fronteiras de hypervisor. Mitigado por microcódigo mais mudanças de escalonamento; o impacto no desempenho ao desativar o hyperthreading foi significativo.
- Variantes KVM MDS (contínuo, última em 2024) — ataques de Amostragem de Dados Microarquitetural. Cada nova geração de chip produz uma nova variante; as mitigações têm um custo mensurável de desempenho.
Escapes públicos que chegam a um CVE são a parte visível. Exploits privados existem; escapes de nível estatal foram demonstrados no Pwn2Own na maioria dos anos. Para uma carga de trabalho em que escape de hypervisor está sequer na lista de ameaças plausíveis, você não quer estar em um hypervisor.
O canal IPMI / fora de banda
Tanto VPS quanto servidores dedicados normalmente expõem o IPMI (Interface de Gerenciamento Inteligente de Plataforma) para a equipe de operações do host. Em um VPS, a exposição ao IPMI é problema do host e não tem nada a ver com você. Em um servidor dedicado, você geralmente pode pedir que o IPMI fique em uma VLAN privada, atrás de VPN ou desativado entre as janelas de manutenção. Adotamos por padrão "IPMI desligado, a pedido" nos servidores dedicados — leia a página do servidor dedicado para os detalhes operacionais.
Criptografia total do disco: realidades práticas
Ambos os tipos de servidor suportam criptografia em repouso, mas o modelo de confiança é diferente.
Criptografia em VPS
Você pode executar o LUKS dentro do seu VPS, o que criptografa no nível do sistema de arquivos guest. Isso protege contra um ladrão que rouba o disco subjacente após o VPS ser desligado. Não protege contra um snapshot de memória ao vivo tirado pelo hypervisor — suas chaves de criptografia estão na RAM que o hypervisor pode ler. Para a maioria das ameaças realistas, isso é aceitável; para um adversário host crível, é teatro.
Criptografia em dedicado
Em um servidor dedicado, a criptografia total do disco com uma senha digitada remotamente (usando dropbear no initramfs ou similar) fornece uma chave que o host literalmente não consegue recuperar sem sua cooperação. A desvantagem: um ciclo de energia requer que você insira a senha, o que é aceitável para infraestrutura pessoal mas problemático para autoescalamento. A vantagem: um host compelido que apreende a máquina obtém texto cifrado.
VPS vs dedicado, frente a frente
| Dimensão | VPS | Dedicado |
|---|---|---|
| Monolocação | Não (compartilha CPU, RAM, hypervisor) | Sim (isolamento físico completo) |
| Superfície de ataque colocatário | Hypervisor + cache compartilhado | Nenhuma |
| FDE vs adversário host | Teatro (chave na RAM legível pelo hypervisor) | Real (host obtém texto cifrado) |
| Tempo de inicialização | Minutos | Horas a alguns dias |
| Upgrade de hardware | Redimensionar plano | Migrar para nova máquina |
| Preço típico 2026 (offshore) | $5–$15/mês | $60–$200/mês |
| Exposição IPMI | Oculta (problema do host) | Configurável (seu problema) |
| Melhor para | Endpoints VPN, servidores de build, e-mail pessoal, relays Tor, desenvolvimento | Servidores de e-mail em escala, custódia de chaves, plataformas de imagem, qualquer coisa com ameaça de categoria 3 |
Matriz de decisão por carga de trabalho
VPN pessoal, servidor de build, dev box, relay Tor
VPS. A ameaça é adversário de rede mais jurisdição; escape de colocatário não é uma preocupação realista em relação ao custo operacional. Veja os planos VPS e escolha o país que corresponde ao resultado do seu guia de jurisdições.
Servidor de e-mail pessoal, servidor XMPP pequeno, homeserver Matrix
VPS é suficiente para até ~50 usuários. Acima disso, o desempenho começa a prejudicar e você vai querer dedicado para a throughput da fila IMAP/SMTP, independentemente do eixo de privacidade.
Plataforma pública com dados de usuário (fórum, imageboard, chat)
VPS para crescimento inicial, migre para dedicado quando a contagem de usuários ou o conteúdo começar a atrair atenção. A monolocação se torna valiosa quando você é um alvo, e não apenas incidental.
Nó cripto com fundos significativos
Dedicado. A ameaça de categoria 3 é real — um comprometimento de colocatário que lê sua seed por um canal lateral não é ficção científica nesse tamanho de ativo. Os planos de servidor dedicado com criptografia total do disco e IPMI desligado são o piso mínimo.
Plataforma de denúncias / host de vazamentos
Dedicado, na Islândia ou Suíça, com criptografia total do disco e dropbear-initramfs. Esta é a carga de trabalho onde cada camada importa. Combine com o guia de jurisdições para a camada jurídica.
Distribuição de conteúdo em massa (vídeo, hospedagem de grandes arquivos)
Dedicado, mas por razões de desempenho mais do que de privacidade. Um dedicado com 1 Gbps ilimitado é mais barato do que um VPS com burst na mesma taxa.
A economia, de forma honesta
Os preços de VPS em 2026 se comprimiram: 4 GB / 2 vCPU / 80 GB NVMe em uma jurisdição offshore fica em torno de $9 a $15 por mês dependendo do país. O hardware dedicado nas mesmas localizações começa em $60 (Atom de baixo custo ou Xeon mais antigo) e vai até $200+ para geração atual EPYC ou Xeon Scalable. O multiplicador de 4 a 10 vezes é real, e para a maioria das cargas de trabalho não se justifica apenas pela privacidade — se justifica pelo desempenho.
A divisão honesta: cerca de 80% das cargas de trabalho de "preciso de hospedagem com privacidade" são melhor atendidas por um VPS de $10 no país certo. Os 20% restantes — custódia de ativos cripto de alto valor, plataformas jornalísticas, conteúdo em escala com atenção de adversários — precisam de dedicado. Não gaste a mais, e não gaste a menos.
Checklist operacional para o que você escolher
- Confirme a política de IPMI do host por escrito antes de fazer o pedido.
- Verifique o suporte à criptografia total do disco — para VPS, que o LUKS seja permitido; para dedicado, que o dropbear-initramfs seja permitido na instalação inicial.
- Verifique no AUP cláusulas explícitas de divulgação de escape de hypervisor para VPS — um host sério se compromete a notificar clientes em até 24 horas após um escape confirmado.
- Para dedicado, pergunte se a máquina é nova, pouco usada ou recondicionada — e se você pode solicitar um wipe antes da entrega.
- Leia o restante da pilha de privacidade: escolha de protocolo VPN, privacidade de pagamentos e o caso de uso de hospedagem anônima.