sing-box vs Xray 2026: a verdadeira diferença é o âmbito

Divulgação de afiliados: este artigo contém links de afiliado da Contabo e da NordVPN. Se encomendar um VPS através do nosso link, recebemos uma comissão sem custo adicional para si. A comparação abaixo reflete as funcionalidades documentadas de cada projeto. Confirme a sintaxe exata da configuração na documentação oficial de cada ferramenta, porque muda entre versões.

Resposta curta: quer uma configuração anti-censura VLESS + REALITY focada e comprovada, com o maior leque de guias? Escolha Xray. Quer um único binário que seja cliente e servidor e que fale também os novos protocolos QUIC (Hysteria2, TUIC)? Acrescenta ainda Shadowsocks, VMess, VLESS, Trojan e WireGuard, por isso escolha sing-box. Ambos suportam REALITY. A verdadeira escolha é entre uma ferramenta focada e um kit tudo-em-um. É novo nestes protocolos? Comece pelo nosso guia de configuração V2Ray / VMess / VLESS.

Escolha o que escolher, a parte servidor corre num VPS fora da rede censurada. Uma opção adequada é um VPS Cloud da Contabo com Ubuntu 24.04 (link de afiliado), a partir de 5,50 € por mês num prazo de 24 meses (preço lido a 17 de outubro de 2026); escolha um datacenter perto dos seus utilizadores para reduzir a latência.

Ainda não decidiu? Não precisa de escolher antes de testar. O nosso gerador de config VLESS REALITY gratuito escreve as configs de servidor e cliente para os dois núcleos a partir das mesmas chaves, e se já tem um link vless:// ou vmess://, o conversor de links transforma-o numa config Xray e numa config sing-box lado a lado, com uma revisão de segurança do link. Ambos funcionam no seu navegador.

O que é o sing-box, e o que é o Xray?

• V2Ray (Project V): a plataforma de proxy multiprotocolo original. Introduziu o VMess e mais tarde o VLESS, com transportes como TCP, WebSocket, HTTP/2, gRPC e QUIC. Continua a ser a referência principal, mas o seu núcleo original não tem REALITY.
• Xray: um fork do V2Ray que acrescentou o XTLS Vision e o REALITY. É o núcleo mais trabalhado para contornar a censura. A maioria das configurações "V2Ray" anti-GFW em 2026 corre, na verdade, Xray por baixo. (Cobrimos uma configuração completa no nosso guia V2Ray / VMess & VLESS.)
• sing-box: muitas vezes escrito singbox em fóruns e caixas de pesquisa, embora o próprio projeto o escreva com hífen; o binário, o pacote e a chave de configuração são todos sing-box. É uma plataforma tudo-em-um mais recente (Go, binário único). Corre muitos protocolos como cliente e como servidor: Shadowsocks, VMess, VLESS, Trojan, Hysteria/Hysteria2, TUIC, WireGuard, ShadowTLS e outros. Acrescenta TLS/REALITY e vários transportes. Existem apps para Android (SFA), iOS (SFI) e macOS (SFM).

Comparação lado a lado

Qual deve escolher, sing-box ou Xray?

• Escolha Xray se o seu único objetivo é uma configuração VLESS + REALITY robusta contra DPI pesado (GFW da China, Irão, Rússia) e quer o caminho mais documentado. Faz esse trabalho muito bem.
• Escolha sing-box se quer reunir tudo numa só ferramenta: um binário para o servidor e para todos os seus dispositivos, a liberdade de testar Hysteria2/TUIC (protocolos UDP/QUIC que podem funcionar melhor em redes com perdas ou limitadas) e WireGuard integrado. É a melhor base "canivete suíço" se conta mudar de protocolo.
• Não tem a certeza? Ambos correm num VPS pequeno (que VPS serve para V2Ray/Xray) e ambos suportam REALITY, por isso nenhum é uma resposta errada. Comece por aquele que corresponde ao guia que vai realmente seguir. Para VLESS + REALITY, é muitas vezes o Xray. Para um laboratório multiprotocolo, é o sing-box.

O que precisa para experimentar um

Ambos os núcleos correm em qualquer VPS Linux pequeno com IP público, e o servidor é a única peça que não se pode pedir emprestada: tem de estar fora da rede que o filtra. O nosso gerador de configuração VLESS REALITY gratuito escreve as configurações de servidor e cliente para Xray e para sing-box a partir das mesmas chaves, geradas no seu navegador, para que possa instalar um núcleo, testá-lo e passar para o outro sem regenerar nada.

Se se liga a partir da China ou do Irão, a localização do datacenter conta mais do que as especificações. A Contabo tem localizações em Singapura e Tóquio, além da Europa e dos EUA, e o seu plano de entrada (4 vCPU, 8 GB de RAM, 5,50 €/mês nos primeiros 24 meses) excede largamente o que um proxy pessoal precisa. Nenhum fornecedor garante que as suas gamas de IP continuem acessíveis, por isso trate o servidor como substituível e mantenha a configuração pronta para voltar a instalar num IP novo.

Protocolos e transportes num relance

Os dois núcleos sobrepõem-se nos protocolos proxy clássicos mas divergem nos mais recentes. É a diferença factual mais nítida entre eles.

• Terreno comum: ambos falam VLESS, VMess, Trojan e Shadowsocks, e ambos suportam REALITY e TLS. Os dois oferecem ainda transportes comuns como TCP, WebSocket, HTTP/2 e gRPC. Portanto, para um túnel VLESS + REALITY, qualquer um dos núcleos serve.
• O foco do Xray: o núcleo Xray é construído em torno da pilha VLESS + XTLS Vision + REALITY. O XTLS Vision é o design de controlo de fluxo próprio do Xray, que reduz a sobrecarga "TLS dentro de TLS" de tunelar tráfego TLS dentro de um proxy TLS. É a configuração pela qual o Xray é mais conhecido e mais documentado.
• Os protocolos extra do sing-box: o sing-box acrescenta protocolos mais recentes baseados em QUIC/UDP no mesmo binário, nomeadamente Hysteria/Hysteria2 e TUIC, além de WireGuard como inbound/outbound integrado e de ShadowTLS. Essa amplitude é a principal razão para optar pelo sing-box em vez do Xray.

Qual resiste melhor à inspeção profunda de pacotes?

Ambos os projetos tratam o REALITY como a sua primeira linha contra a inspeção profunda de pacotes. O REALITY funciona tomando emprestado o handshake TLS real de um site legítimo de terceiros (um design do tipo "roubar o handshake de outro"), de modo que, para um observador, a ligação pareça HTTPS normal para esse site e não um proxy. Crucialmente, foi concebido para resistir ao active probing, em que um censor se liga ao seu servidor para ver se ele se comporta como um proxy: como o REALITY reencaminha as sondas inesperadas para o verdadeiro site alvo, a sonda vê uma resposta TLS normal em vez de um proxy que se denuncia.

O Xray é o projeto onde o REALITY foi introduzido e onde o XTLS Vision reduz a impressão digital de dupla cifragem de um túnel TLS. O sing-box também implementa o REALITY e sobrepõe-no ao seu conjunto mais amplo de protocolos, de modo que pode combinar o REALITY com, por exemplo, um protocolo baseado em QUIC noutro ponto de acesso. Nenhuma das abordagens é um contorno garantido: os sistemas de censura mudam, e a posição honesta é que o anti-DPI é um jogo do gato e do rato permanente, não um problema resolvido.

Design e governação

Os projetos vêm de linhagens diferentes, e isso molda a forma como cada um é construído.

• sing-box (SagerNet) é um binário único multifunções: o mesmo executável é cliente e servidor, com regras de encaminhamento, gestão de DNS e vários inbounds/outbounds configurados num único ficheiro JSON unificado. É o mais recente dos dois e pretende ser uma plataforma universal, e não a referência de um único protocolo.
• Xray (Project XTLS) é um fork comunitário do V2Ray (Project V). Mantém-se próximo do papel de núcleo proxy: é sobretudo o motor, sendo a experiência de cliente normalmente fornecida por apps de terceiros separadas. A sua identidade está ligada ao XTLS Vision e ao REALITY, as funcionalidades anti-deteção de que foi pioneiro.

Portanto, a divisão não é apenas funcionalidade a funcionalidade. É um kit tudo-em-um frente a um núcleo proxy focado, rodeado de um vasto ecossistema de clientes.

As licenças não são as mesmas, e as comparações continuam a esquecê-lo

Ambos os projetos são de código aberto, e a maioria das comparações fica por aí. Não estão sob os mesmos termos, e é o tipo de diferença que conta se distribuir algo construído sobre um deles.

O Xray-core está sob a Mozilla Public License 2.0. A API do GitHub normaliza-a como MPL-2.0. É um copyleft ao nível do ficheiro: se modificar um ficheiro MPL, esse ficheiro continua MPL, mas pode combiná-lo com código sob outras licenças.

O sing-box está sob a GPL versão 3 ou posterior, mais uma cláusula própria. O seu ficheiro LICENSE contém a concessão padrão GPLv3 ou posterior e acrescenta depois:

In addition, no derivative work may use the name or imply association with this application without prior consent.

(Ou seja: além disso, nenhuma obra derivada pode usar o nome nem sugerir associação a esta aplicação sem consentimento prévio.) É por causa desta frase acrescentada que o GitHub não a normaliza: a API indica Other / NOASSERTION em vez de GPL-3.0, porque o texto já não é a licença sem alterações. (Ambos os valores foram lidos na API do GitHub a 20 de agosto de 2026, juntamente com 41 119 estrelas para o Xray-core e 37 139 para o sing-box.)

Se aloja para uso próprio, nada disto lhe diz respeito: executar um software não é redistribuí-lo. Se está a construir um produto, um serviço ou um equipamento sobre um destes núcleos, "GPLv3 ou posterior com restrição de nome" e "MPL-2.0" são pontos de partida muito diferentes, e essa é uma questão para quem trata das suas licenças, não algo a decidir a partir de um artigo comparativo.

Que clientes funcionam com o sing-box e o Xray?

Para o uso diário, a forma como se liga conta tanto como o núcleo do servidor.

• Apps cliente: o sing-box disponibiliza apps oficiais complementares, SFA (Android), SFI (iOS) e SFM (macOS), que correm o mesmo núcleo no dispositivo. O Xray não distribui apps próprias para o consumidor; em vez disso, está integrado em clientes de terceiros populares como o v2rayNG no Android e o Shadowrocket no iOS, que muita gente já usa.
• Configuração: ambos os núcleos se configuram em JSON. O sing-box usa um esquema unificado que cobre inbounds, outbounds, DNS e regras de encaminhamento num único ficheiro, o que se adequa a uma configuração tudo-em-um. O JSON do Xray centra-se no inbound/outbound do proxy, com o seu próprio bloco de encaminhamento. Nenhum é trivial, e ambos os esquemas mudam entre versões: é na configuração, e não na instalação, que a maioria das montagens corre mal.

"sing-box ou v2rayN?" é a comparação errada

Esta pergunta surge constantemente, e mistura dois tipos diferentes de software.

O sing-box é um núcleo. Fala os protocolos, termina o túnel e encaminha o tráfego. O v2rayN é um cliente: uma interface de desktop para Windows que gere os seus perfis, importa links de subscrição e inicia e para a ligação. Não implementa os protocolos por si próprio: comanda um núcleo por baixo. Consoante a versão que instalar, esse núcleo é o V2Ray, o Xray ou o sing-box.

Por isso os dois não são alternativas. A forma honesta de colocar a decisão tem duas partes:

• Que núcleo quer a tratar do protocolo e da resistência ao DPI, sing-box ou Xray? É a comparação que esta página faz acima.
• Que cliente quer a comandá-lo na sua máquina? No Windows, o v2rayN é a resposta habitual, seja qual for o núcleo escolhido. No Android, o equivalente é o v2rayNG, e o sing-box tem também as suas apps oficiais (SFA, SFI, SFM).

Se já usa o v2rayN e se pergunta se deve "passar para o sing-box", o que está realmente a ponderar é mudar o núcleo que ele lança, e não substituir a aplicação. Verifique que núcleos a sua versão do v2rayN suporta antes de concluir seja o que for, porque isso varia de versão para versão.

Como migrar do Xray para o sing-box?

Uma pergunta que surge depois da escolha feita: pode simplesmente converter-se o ficheiro de configuração? Editando-o à mão, não. Uma migração do V2Ray para o sing-box recria a configuração em vez de a traduzir: os dois núcleos descrevem a mesma ligação com nomes de chave diferentes, por isso não há localizar e substituir que o leve até lá.

A forma da diferença, tomando um outbound VMess como exemplo:

À mudança de nomes juntam-se duas notas práticas. A documentação atual do Xray mostra o outbound VMess com address, port e id diretamente sob settings, e já não o array vnext que muitos exemplos publicados ainda usam: mesmo dentro da mesma linhagem, nem todas as configurações se parecem. E o sing-box separa em tls e transport aquilo que o Xray mantém junto sob streamSettings, e é aí que uma cópia mecânica campo a campo costuma correr mal.

A via fiável é, portanto, escrever o outbound do sing-box a partir dos parâmetros do servidor que já conhece (anfitrião, porta, UUID, transporte, definições TLS) e não a partir do ficheiro antigo, e validá-lo antes de arrancar seja o que for: sing-box check -c config.json reporta erros de esquema e sing-box format -w -c config.json reescreve o ficheiro em forma canónica. Como diz o aviso mais abaixo, confirme os nomes dos campos na documentação atual da versão que realmente instalou, porque estes esquemas mudam entre versões.

Se usa o v2rayN no Windows, a migração é outro trabalho. Aí não está a reescrever uma configuração de servidor, está a trocar o núcleo que o cliente comanda, já que o v2rayN pode correr o núcleo Xray ou o núcleo sing-box por baixo da mesma interface. Isso muda as opções que a interface gráfica expõe e, sobretudo, o componente que resolve o DNS. Explicamos essa troca e a sua armadilha recorrente em v2rayN com o núcleo sing-box.

De que servidor precisa para correr qualquer um deles?

Se o WireGuard simples basta para a sua rede e não precisa de um protocolo ofuscado, o nosso gerador de configuração WireGuard gratuito dá-lhe uma configuração de servidor e cliente funcional num minuto, com as chaves geradas no seu navegador.

Seja qual for o núcleo escolhido, o túnel falha da mesma forma quando o MTU está errado: os pedidos pequenos passam, as transferências grandes encravam e a ligação cai sob carga. Esse padrão é muitas vezes atribuído ao fornecedor. O mtu-probe mede o maior pacote que o seu caminho transporta realmente, para que possa definir o MTU da interface a partir de uma medição e não de um valor por defeito, subtraindo 60 bytes para WireGuard sobre IPv4 e 80 sobre IPv6.

Seja qual for o núcleo escolhido, aloja-o no seu próprio VPS. É isso que mantém a configuração privada e sob o seu controlo. Uma instância pequena chega bem para uso pessoal; se ainda está a escolher fornecedor, veja como a Contabo, a Hetzner e a OVH se comparam para uma VPN auto-alojada.

Uma opção prática é um VPS da Contabo (Ubuntu 24.04). Escolha um datacenter perto da sua região alvo para uma latência menor. Veja os preços do VPS da Contabo →

Com o VPS pronto, o nosso gerador de configuração VLESS REALITY escreve as configurações de servidor e cliente para qualquer um dos núcleos, Xray ou sing-box, a partir das mesmas chaves, para que possa experimentar os dois.

O que o deve fazer hesitar?

Contornar a censura pode violar a lei local em alguns países. Este artigo explica a tecnologia; não é aconselhamento jurídico. Além disso, os esquemas de configuração dos núcleos de proxy mudam entre versões. Trate qualquer excerto de configuração que encontrar (mesmo em guias) como um ponto de partida. Confirme-o na documentação oficial atual do sing-box ou do Xray antes de confiar nele.

E se manter um core de proxy lhe parecer demasiado, o caminho chave na mão é uma VPN comercial com servidores ofuscados, como a NordVPN (que agora funcionam com o seu protocolo NordWhisper). O compromisso é real: os IP dos seus servidores são partilhados e conhecidos dos censores, por isso num país muito filtrado é bloqueada mais vezes do que o seu próprio servidor REALITY.

A sua VPN esconde o seu IP. Não esconde o seu navegador.

Um túnel WireGuard bem configurado substitui o endereço que um site vê. Não muda nada naquilo que o seu navegador anuncia por si próprio: tipos de letra, ecrã, fuso horário, pilha gráfica. Essa combinação é muitas vezes única o suficiente para o seguir de sessão em sessão, com ou sem túnel.

Meça a impressão digital do seu navegador, de forma passiva, sem perguntas, sem conta, sem email. Diz-lhe quantos navegadores em N se parecem com o seu, e que atributo o faz destacar-se.

Guias relacionados

• v2rayN explicado: o cliente Windows para VLESS e VMess
• Masquerade do Hysteria2: esconder o túnel atrás de um site plausível
• Configuração V2Ray: VMess & VLESS para China, Irão, Rússia
• Shadowsocks vs VPN: comparação técnica
• Cloak: ofuscação TLS para VPN auto-alojada
• Anti-DPI: contornar a inspeção profunda de pacotes
• A repressão às VPN na Rússia em 2026: o que está bloqueado e o que ainda funciona
• v2rayN com o núcleo sing-box: o que muda, e a armadilha do DNS

Ambos os núcleos precisam de um servidor onde correr. Se essa parte ainda não está resolvida, a nossa comparação dos VPS mais baratos para WireGuard lista o que cada fornecedor cobra pelas especificações de que estas configurações realmente precisam.