WireGuard vs OpenVPN: qual escolher em 2026?

Resposta direta

WireGuard ou OpenVPN? Para a maioria das pessoas que hospedam uma VPN num VPS pessoal em 2026: use WireGuard. É em geral mais rápido (espaço do kernel, menos sobrecarga por pacote), mais leve por conceção em dispositivos móveis, retoma após uma mudança de rede sem um novo handshake (o OpenVPN refaz um handshake TLS completo) e tem uma superfície de ataque menor (~4.000 linhas vs ~100.000 linhas de código, protocolo verificado formalmente). Novo no protocolo? Veja o que é WireGuard para os conceitos básicos primeiro.

Escolha OpenVPN se: (a) estiver regularmente em redes empresariais ou de hotéis que bloqueiam UDP de saída - OpenVPN em TCP/443 contorna a maioria desses firewalls; (b) precisar suportar dispositivos legados de antes de 2018 que não têm clientes WireGuard; ou (c) suas exigências de conformidade requerem registos detalhados de auditoria de conexão.

O veredicto curto por caso de uso:

Recomendações baseadas nas características documentadas de cada protocolo (kernel vs espaço de utilizador, handshake, transporte) e fontes públicas. Para dados sobre a sua própria ligação, execute o procedimento reprodutível iperf3. Metodologia completa →

Você digitou "wireguard vs openvpn" num motor de busca e encontrou um mar de fichas técnicas e tabelas de benchmarks. Isso não é o que precisa para tomar uma decisão. Este guia é diferente: pulamos os números brutos (há um guia de benchmark reprodutível separado para isso) e focamos na questão prática - para o seu caso de uso específico, qual protocolo deve realmente usar?

Resposta curta para os impacientes: WireGuard para quase tudo. OpenVPN para dois casos específicos. Vamos explicar porquê e quando as exceções se aplicam.

A tabela de decisão de 30 segundos

Se o seu caso de uso estiver nas linhas 4, 5 ou 6, leia a seção do OpenVPN com atenção. Caso contrário, vá com WireGuard.

O que o WireGuard faz de diferente

WireGuard foi escrito do zero em 2016 por Jason Donenfeld com um objetivo: fazer menos, mas fazer bem. O resultado são cerca de 4.000 linhas de código C dentro do próprio kernel Linux. Compare isso com as ~100.000 linhas do OpenVPN a correr no espaço de utilizador (contagem bruta dos ficheiros .c de src/openvpn no repositório oficial do GitHub a 7 de outubro de 2026).

Essa diferença arquitetónica tem quatro consequências práticas:

1. Velocidade - WireGuard é significativamente mais rápido. Porque o WireGuard corre no espaço do kernel, não há troca de contexto entre o kernel e o espaço de utilizador para cada pacote. Numa ligação rápida isso traduz-se normalmente em mais débito com menos CPU do que o OpenVPN. A diferença diminui em ligações mais lentas, onde o limite é a largura de banda e não a CPU. Meça a sua própria ligação com iperf3 em vez de confiar num número de manchete.

2. Bateria - WireGuard consome menos em dispositivos móveis. O WireGuard não envia nada quando não há tráfego e encripta num caminho de código curto dentro do kernel, enquanto o daemon em espaço de utilizador do OpenVPN trata cada pacote fora do kernel. Esse desenho deverá custar menos CPU, e portanto menos bateria, num telemóvel. Não medimos a diferença e não citamos uma percentagem: depende do dispositivo, do sistema operativo e da app cliente.

3. Reconexão - WireGuard é quase instantâneo. WireGuard é sem estado. Não há "sessão" para estabelecer ou restabelecer. Quando o seu telemóvel muda do Wi-Fi do metro para 4G, o WireGuard continua a enviar a partir do novo endereço e o túnel retoma sem renegociação. O OpenVPN precisa refazer um handshake TLS completo, que leva sensivelmente mais tempo e muitas vezes aciona uma notificação de desconexão irritante.

4. Superfície de segurança - WireGuard tem menos superfície de ataque. 4.000 linhas vs 100.000 linhas. WireGuard usa um conjunto criptográfico fixo e moderno - Curve25519 para troca de chaves, ChaCha20-Poly1305 para encriptação, BLAKE2s para hashing. Não pode configurá-lo incorretamente para usar um cifrador fraco, porque não há escolha de cifrador. Isso é intencional.

O que o OpenVPN faz de diferente

OpenVPN está em produção desde 2002. Não é um protocolo pior - tem uma filosofia de design diferente e um conjunto diferente de pontos fortes.

Suporte TCP e flexibilidade da porta 443. Esta é a característica principal do OpenVPN para cenários específicos. Pode configurar o OpenVPN para ouvir na porta TCP 443, fazendo com que o túnel encriptado pareça um HTTPS padrão para um firewall. WireGuard é apenas UDP. Embora existam soluções alternativas (wstunnel, Cloak), elas adicionam complexidade. Se estiver regularmente em redes empresariais, Wi-Fi de hotéis Marriott ou hotspots de companhias aéreas, o OpenVPN TCP/443 funciona onde o WireGuard é silenciosamente bloqueado.

Compatibilidade com dispositivos legados. Clientes OpenVPN existem para praticamente todas as plataformas já feitas: Windows XP até 11, macOS a partir de 10.10, Android 4+, iOS, pfSense, DD-WRT, Synology DSM 5+, routers Cisco antigos. Se precisar dar acesso ao túnel a uma máquina de 2014, o OpenVPN é provavelmente a única opção.

Registo e conformidade. OpenVPN produz registos detalhados e estruturados de cada evento de conexão. WireGuard intencionalmente regista quase nada - por design. Se o seu modelo de ameaça requer uma trilha de auditoria (NIS2, ISO 27001, visibilidade interna de sysadmin), o OpenVPN é mais fácil de instrumentar sem recorrer a journalctl.

Comparação lado a lado

WireGuard vence - velocidade na prática

A vantagem de velocidade não é apenas uma curiosidade de benchmark. Aqui está onde ela se mostra no uso diário real:

Streaming e downloads: Se usar a sua VPN para aceder a uma biblioteca de streaming ou descarregar grandes ficheiros, a menor sobrecarga do WireGuard importa sobretudo quando o stream se aproxima do que a sua linha consegue transportar. Um stream HD a 25 Mbps numa linha de 100 Mbps? Ambos são bons. Um stream 4K que quase enche a linha? O protocolo com menos sobrecarga deixa mais margem.

Jogos: A latência importa mais do que o throughput nos jogos. O WireGuard adiciona em geral menos tempo de ida e volta do que o OpenVPN UDP, e o OpenVPN TCP é o pior caso: TCP dentro de TCP produz picos de jitter assim que a ligação perde um pacote. Execute ping através de cada túnel para ver a diferença no seu próprio percurso.

VoIP e videochamadas: Mesma história. O jitter consistentemente baixo do WireGuard faz com que Zoom, Teams e Google Meet pareçam normais através do túnel. OpenVPN UDP é aceitável. OpenVPN TCP introduz artefatos de áudio perceptíveis sob qualquer perda de pacotes.

OpenVPN vence - quando UDP é bloqueado

Este é o único cenário onde o OpenVPN é genuinamente melhor, não apenas comparável.

Muitas redes empresariais, algumas cadeias de hotéis e certos ISPs nacionais (em países com inspeção profunda de pacotes) bloqueiam UDP de saída, exceto para DNS (porta 53). WireGuard falha silenciosamente neste ambiente - verá o túnel conectar-se no lado do cliente, mas nenhum pacote realmente chegará ao servidor. Isso não é óbvio de depurar, especialmente para utilizadores não técnicos.

OpenVPN configurado na porta TCP 443 parece uma conexão HTTPS padrão para o firewall. A maioria dos firewalls L4 permite-o. Mesmo muitos dispositivos DPI (Fortinet, Palo Alto) precisam de configuração explícita para detetá-lo e bloqueá-lo, o que a maioria não tem configurado.

Recomendação prática: se auto-hospedar num VPS Contabo, configure ambos:

• WireGuard em UDP 51820 - seu padrão, uso diário
• OpenVPN em TCP 443 - seu backup quando o Wi-Fi bloqueia UDP

Executar ambos no mesmo VPS não custa nada adicional e leva 15 minutos extras para configurar. O guia de bypass WireGuard + DPI cobre a configuração combinada.

Duração da bateria em dispositivos móveis - WireGuard vence claramente

Este é o fator decisivo para a maioria das pessoas que usam uma VPN no telemóvel.

A implementação em espaço de kernel do WireGuard e o seu silêncio em repouso são vantagens de conceção num telemóvel. Não fizemos um teste de bateria controlado, por isso não damos aqui nenhuma percentagem: o consumo depende do dispositivo, da versão do sistema operativo, da app cliente e da frequência das mudanças de rede. Se a bateria é o seu fator decisivo, use cada protocolo durante um dia normal no seu próprio telemóvel e compare.

A história da reconexão também é importante para dispositivos móveis: cada vez que vai para o subsolo (metro), sai de um edifício ou muda entre redes Wi-Fi, o WireGuard reconecta-se sem problemas. A renegociação TLS do OpenVPN significa que notará uma pausa percetível. Quando está no telemóvel o dia todo, isso acontece dezenas de vezes.

Segurança: o que as auditorias realmente dizem

Os dois protocolos foram analisados de formas diferentes. Eis o que dizem as fontes públicas:

WireGuard:

• Verificação formal do protocolo: provas simbólicas (Tamarin, ProVerif) e provas computacionais (modelo eCK, CryptoVerif), listadas em wireguard.com/formal-verification. Diz respeito ao desenho do protocolo, não a cada implementação.
• Inclusão no kernel Linux (desde o kernel 5.6, março de 2020): revisado por Linus Torvalds e os mantenedores do netdev.
• Superfície de ataque: ~4.000 linhas de C, sem caminhos criptográficos opcionais.

OpenVPN:

• Auditorias do OpenVPN 2.4 (2017): uma da QuarksLab, encomendada pela OSTIF, e outra da Cryptography Engineering, financiada pela Private Internet Access. A OSTIF reportou 1 vulnerabilidade crítica/alta e 1 média (CVE-2017-7478 e CVE-2017-7479, ambas de negação de serviço), corrigidas na versão 2.4.2.
• Dependência do OpenSSL: Heartbleed (2014) afetou o OpenVPN porque usa OpenSSL. Este tipo de risco existe enquanto o OpenVPN depender de uma grande biblioteca externa.
• Cripto configurável: o OpenVPN moderno usa por padrão AES-256-GCM. Mas seguir um tutorial antigo pode deixá-lo em Blowfish-128-CBC, que é fraco. WireGuard torna isso impossível por design.

Veredicto honesto: ambos são confiáveis. A vantagem do WireGuard é a simplicidade arquitetónica e a incapacidade de ser mal configurado. A vantagem do OpenVPN são duas décadas de exposição em produção e ciclos ativos de correção. Para uma VPN pessoal auto-hospedada, ambos são adequados - mas a menor superfície de ataque do WireGuard e os seus primitivos modernos dão-lhe uma ligeira vantagem.

Compatibilidade: a única área onde o OpenVPN lidera

WireGuard requer:

• Kernel Linux 5.6+ (integrado) ou 3.10+ (módulo DKMS)
• Windows 10 v1903+ (cliente oficial)
• macOS 12+ (cliente oficial da App Store)
• Android 5.0+ / iOS 15+ (aplicações oficiais)

Se precisar suportar dispositivos mais antigos, o OpenVPN tem cobertura. Clientes existem para:

• Windows 7/8/8.1 (via build da comunidade)
• macOS Catalina (10.15) e anteriores
• Android 4.0+
• Synology DSM 5, 6, 7
• pfSense / OPNsense (integrado)
• Routers DD-WRT, Tomato

Para a maioria das pessoas configurando uma VPN em 2026, os requisitos de compatibilidade do WireGuard não são um obstáculo. Mas se alguém na sua casa ou equipa estiver a usar hardware antigo, tenha isso em mente.

Complexidade de configuração - WireGuard vence

Uma configuração mínima de servidor WireGuard tem cerca de 10 linhas. Uma configuração mínima de servidor OpenVPN tem cerca de 30 linhas, além de uma PKI (infraestrutura de chave pública) com CA, certificado de servidor, parâmetros DH e certificados por cliente. A configuração inicial é genuinamente mais difícil.

WireGuard usa pares de chaves estáticas (chave pública/privada por peer, sem CA). Não há expiração de certificados para gerir, nem manutenção de PKI. Essa simplicidade é uma característica: menos para configurar errado, menos para manter ao longo do tempo.

Se auto-hospedar num Contabo Cloud VPS 4, pode seguir o nosso guia passo a passo de configuração do WireGuard e ter um túnel funcional em menos de 20 minutos. A configuração equivalente do OpenVPN leva pelo menos uma hora para um iniciante.

Veredicto por caso de uso

Quer uma VPN pessoal num VPS barato → WireGuard

Configure uma vez num Contabo Cloud VPS 4 (~€5.50/mês), copie e cole a configuração nos seus dispositivos, pronto. A simplicidade e o desempenho do WireGuard fazem dele a escolha óbvia.

Se preferir um fornecedor dos EUA com 30 dias de reembolso, o VPS Basic da Ultahost custa 5,52 $ por mês em 24 meses (1 GB de RAM, IPv4 dedicado, lido a 21 de outubro de 2026), suficiente para um servidor WireGuard com poucos dispositivos.

Viaja frequentemente e encontra redes corporativas / de hotéis → ambos no mesmo VPS

WireGuard como seu padrão. OpenVPN TCP/443 como seu fallback de bypass de firewall. Um VPS, duas configurações, cinco minutos de configuração extra. O guia de roteamento + bypass DPI explica isso.

Preocupa-se com a bateria móvel e reconexão sem interrupções → WireGuard

Sem contestação. A história da reconexão sozinha, sem renegociação contra um handshake TLS completo, muda materialmente a experiência diária no telemóvel.

Tem dispositivos legados para suportar → OpenVPN

Verifique primeiro a compatibilidade do cliente WireGuard. Se o seu dispositivo antigo puder executar WireGuard, faça-o. Caso contrário, OpenVPN é o recurso.

Não quer gerir um VPS de todo → Proton VPN

Auto-hospedagem é poderosa, mas requer um VPS e alguma manutenção. Se isso for muito complicado, uma VPN comercial confiável com uma política de não registo auditada e suporte ao WireGuard (Proton VPN usa WireGuard sob o capô para seus servidores rápidos) é uma opção legítima e mais simples.

Uma VPN muda o seu IP. Não muda o seu navegador.

Um túnel substitui o endereço que um serviço vê. Não altera nada do que o seu navegador anuncia por conta própria - tipos de letra, ecrã, fuso horário, pilha gráfica - e essa combinação costuma bastar para o reconhecer de uma sessão para a outra.

Meça a sua impressão digital de navegador - medição passiva, sem perguntas, sem conta, sem e-mail.

Indo mais além

• WireGuard vs OpenVPN: guia de benchmark VPS 2026 - um procedimento reprodutível de iperf3 para medir a diferença de velocidade você mesmo
• Auto-hospedar VPN na Contabo: guia passo a passo do WireGuard 2026 - o guia completo de configuração
• Guia de roteamento WireGuard + bypass DPI - executando WireGuard + OpenVPN TCP/443 no mesmo VPS Contabo
• Melhor VPN auto-hospedada 2026 - comparação mais ampla incluindo Tailscale, Headscale e Nebula para equipas considerando mais do que apenas WireGuard vs OpenVPN
• Gerador de configuração WireGuard - obtenha um wg0.conf pronto para colar sem definir manualmente chaves, sub-redes e regras PostUp; gratuito e sem conta até 250 dispositivos, com um ZIP de todos os ficheiros de cliente e os seus códigos QR.

Publicado em 2026-06-11. Baseado nas características documentadas do WireGuard 1.0.x e OpenVPN 2.6.x e fontes públicas; o desempenho é descrito como tendências que seguem o design de cada protocolo, não como medições internas. Para dados sobre a sua própria ligação, veja o guia de benchmark VPS reprodutível.

Divulgação de afiliados: este artigo contém links de afiliados da Contabo, Ultahost e Proton VPN. Eles nos pagam uma comissão se subscrever - sem custo adicional para si. As nossas recomendações assentam nas especificações publicadas e na documentação, não em testes internos.