WireGuard no Android: Guia Completo de Configuração (2026)

WireGuard é o protocolo VPN mais rápido e simples para usar num telemóvel - uma vez configurado, a ligação é feita com um único toque, e consome menos bateria comparado com protocolos mais antigos. Este guia percorre WireGuard no Android de ponta a ponta em 2026: instalação da app, importação da configuração do servidor, ativação de um kill switch, tunelização dividida por app, e resolução de problemas de handshake e MTU. Funciona com qualquer servidor WireGuard - PiVPN, NetBird, ou uma configuração manual. Ainda não tens uma configuração para importar? O nosso gerador de configuração WireGuard gratuito escreve o ficheiro do servidor e o do telemóvel no teu navegador, com um código QR para digitalizar a partir da app.

Ainda sem servidor? Ver as opções depois dos passos

O que precisa antes de começar

• Um telemóvel ou tablet Android com Android 10 ou superior (versões mais antigas funcionam, mas as opções de sempre ligado/kill-switch são mais limpas nas versões recentes).
• Um servidor WireGuard em funcionamento com um endpoint público acessível - um Raspberry Pi em casa com uma porta UDP encaminhada, ou um pequeno VPS. A app Android é apenas o cliente.
• A configuração do cliente para este dispositivo - um código QR no ecrã ou um ficheiro .conf. Dê a cada dispositivo o seu próprio par de chaves; reutilizar uma configuração entre telemóveis quebra o handshake porque dois peers partilham então uma chave pública.
• Só tem esse .conf no computador? Cole-o no conversor gratuito de .conf para QR no topo do nosso guia do código QR do WireGuard: desenha o código no seu navegador, não envia nada pela rede e avisa-o se o Endpoint for um endereço privado ou CGNAT que o telemóvel não conseguirá alcançar fora do seu Wi-Fi.

Passo 1 - Instalar a app

Instale a app oficial WireGuard da Play Store ou F-Droid (versão open-source). Evite clones "WireGuard" de terceiros.

Play Store ou F-Droid?

Ambas fornecem o mesmo cliente oficial. A versão da Play Store atualiza automaticamente e é adequada para a maioria das pessoas. A versão da F-Droid é compilada a partir do código-fonte pela F-Droid, não tem dependências do Google, e é ideal para um telemóvel sem Google - a desvantagem é que as atualizações chegam um pouco mais devagar. Ambas são confiáveis; apenas evite apps semelhantes de editores desconhecidos, já que um cliente VPN lida com todo o seu tráfego.

Passo 2 - Importar a configuração do seu servidor

Na app, toque em + e escolha uma das opções:

• Scanear a partir de código QR - mais rápido e menos propenso a erros. O seu servidor gera a configuração do cliente como um QR (pivpn -qr, app do NetBird, ou qrencode numa configuração manual). O comando exato e os cuidados a ter estão no nosso guia do código QR WireGuard: o código contém a chave privada do cliente.
• Importar de ficheiro - copie o .conf para o telemóvel e selecione-o.
• Criar do zero - cole as chaves e o endpoint [Peer] manualmente.

WireGuard é a metade cliente; precisa de um endpoint de servidor. Se não tiver um, um VPS Contabo a €5.50/mês executa confortavelmente um servidor WireGuard pessoal.

Ainda não tem uma configuração para importar? O nosso gerador de configuração WireGuard gratuito cria no navegador a configuração do servidor e as dos clientes, com um código QR por cliente para ler na app Android. O gerador é gratuito e sem conta, até 250 dispositivos, e a sua exportação ZIP junta cada .conf de cliente e o seu código QR em PNG, prático para configurar um escritório ou uma família inteira de uma só vez.

Passo 3 - Conectar e verificar

Ative o túnel. Verifique se o último handshake atualiza (não "nunca") e se o seu IP público muda. Para mais informações sobre o protocolo, veja WireGuard vs OpenVPN.

Passo 4 - Ativar um kill switch (sempre ligado)

O Android tem isso incorporado: Definições > Rede e internet > VPN > (ícone de engrenagem ao lado do WireGuard) → ative VPN sempre ligado e Bloquear conexões sem VPN. Agora o telemóvel nunca vaza tráfego fora do túnel se o WireGuard cair - o equivalente Android de um kill switch.

Passo 5 - Tunelização dividida por app

Edite o túnel → Aplicações → Excluir apps (tudo passa pelo túnel exceto aquelas - útil para uma app de banco) ou Incluir apenas apps escolhidas. Integrado no cliente, sem software extra.

Roteamento a nível de rede: IPs Permitidos

A tunelização dividida por app (Passo 5) decide quais apps usam o túnel. AllowedIPs na configuração [Peer] decide quais destinos o fazem - e os dois combinam:

• 0.0.0.0/0, ::/0 roteia todo o IPv4 e IPv6 através do seu servidor - o padrão de túnel completo que deseja para privacidade em Wi-Fi público.
• Um intervalo restrito como 10.0.0.0/24 envia apenas a sua sub-rede doméstica/escritório através do túnel, deixando o resto do seu tráfego na conexão normal - perfeito para aceder um NAS doméstico ou Pi-hole sem desacelerar tudo.

Se executar um túnel completo mas ainda quiser imprimir ou transmitir em casa, a rota mais limpa é manter esses dispositivos na LAN e usar a exclusão por app para a app de transmissão, já que o cliente Android não tem a opção "excluir IPs privados" do iOS.

Para manter a rede local ou um endereço fora de um túnel completo, a calculadora de AllowedIPs, gratuita, transforma "tudo exceto X" nos intervalos a colar.

Resolução de problemas

• Sem handshake (fica "nunca"): IP/porta de Endpoint errados, porta UDP do servidor não aberta no firewall, ou uma chave pública não correspondente. Verifique se o servidor está a ouvir e acessível. O verificador de porta WireGuard, gratuito, deteta o CGNAT e escreve as regras de reencaminhamento e de firewall do seu servidor.
• Conecta mas sem internet: reduza o MTU (por exemplo, 1280) na configuração da interface - resolve muitos problemas de MTU em redes móveis. A calculadora de MTU, gratuita, escreve a linha MTU = exata a partir do seu teste de ping ou do tipo de ligação.
• Desconecta ao desligar o ecrã: desative a otimização de bateria para a app WireGuard (Definições → Apps → WireGuard → Bateria → Sem restrições).
• Vazamentos de DNS: defina o DNS do túnel para o seu servidor ou um resolvedor confiável, depois teste com o nosso guia de vazamento de DNS.
• "Sempre ligado" desativado: o Android só permite sempre ligado depois de um túnel ser importado corretamente e conectar pelo menos uma vez - conecte manualmente primeiro, depois defina.
• Reconecta lentamente após mudar Wi-Fi↔móvel: adicione PersistentKeepalive = 25 ao [Peer] para que o túnel mantenha o caminho ativo através de mudanças de rede e atrás de NAT.

Para modelos reutilizáveis de cliente/servidor, veja Modelos de configuração WireGuard.

Para ter o essencial à mão: a WireGuard Cheat Sheet gratuita (PDF de 5 páginas em inglês, download direto, sem registo) reúne as tabelas de keepalive e MTU, os comandos wg genkey/wg pubkey/wg genpsk e as quatro verificações de servidor numa linha a correr primeiro quando um túnel não passa tráfego. O WireGuard Self-Hosting Kit pago (9 USD, em inglês) acrescenta uma checklist de diagnóstico com 12 causas e 11 modelos de configuração.

Uma VPN muda o seu IP. Não muda o seu navegador.

Um túnel substitui o endereço que um serviço vê. Não altera nada do que o seu navegador anuncia por conta própria - tipos de letra, ecrã, fuso horário, pilha gráfica - e essa combinação costuma bastar para o reconhecer de uma sessão para a outra.

Meça a sua impressão digital de navegador - medição passiva, sem perguntas, sem conta, sem e-mail.

Conclusão

WireGuard no Android é uma configuração de cinco minutos: instale a app oficial, importe a configuração do seu servidor por QR, ative, e habilite sempre ligado + bloquear sem VPN para um kill switch. Adicione tunelização dividida por app conforme necessário, e mantenha o truque do MTU na manga para redes móveis instáveis. Só precisa de um servidor WireGuard para apontar - um VPS Contabo ou um Raspberry Pi em casa fazem o trabalho.

Guia editorial baseado no comportamento documentado do cliente oficial WireGuard para Android e nas funcionalidades de VPN sempre ligada do Android. A segurança depende da configuração do seu servidor e da higiene das chaves. Links comerciais possuem o atributo rel="sponsored nofollow"; uma comissão de afiliado pode ser aplicada sem custo adicional para si.