Proteção contra DDoS: o que os provedores realmente oferecem

Hoje, metade dos provedores coloca «proteção contra DDoS» na descrição dos planos. Por trás dessa linha pode haver filtragem de vários terabits ou apenas o direito de desligar o seu endereço quando um ataque atrapalha os vizinhos. Vamos ver do que a proteção é feita, como os níveis L3/L4 e L7 se diferenciam e como entender pelo contrato o que você está comprando.

Atualizado 03.11.2026 · Encontre um VPS sob medida →

Um ataque DDoS é um fluxo de requisições vindo de muitas máquinas, feito para sobrecarregar o servidor ou o seu canal, de modo que os visitantes reais não consigam acessá-lo. A proteção é montada na rede do provedor ou num provedor externo de filtragem: o tráfego suspeito é separado do normal e descartado antes de chegar ao servidor. O próprio servidor não dá conta de um ataque grande: se o canal até ele está lotado, nenhuma configuração dentro do sistema ajuda mais.

Níveis de ataque: L3/L4 e L7

Os ataques são classificados pelas camadas do modelo de rede, e a defesa contra cada tipo é diferente.

Ataques volumétricos (L3/L4) lotam o canal: chega tanto tráfego ao servidor que a porta ou os links externos do data center ficam totalmente ocupados. A potência deles é medida em gigabits e terabits por segundo.
Ataques a protocolos (L3/L4) esgotam não o canal, mas os recursos que mantêm as conexões: as tabelas de estado do firewall, a fila de novas conexões TCP. São medidos em pacotes por segundo (pps, Mpps). Contra parte desses ataques também funciona a proteção no próprio servidor, por exemplo SYN cookies (RFC 4987).
Ataques à aplicação (L7) parecem requisições HTTP normais ao site ou à API: páginas de busca, carrinho, login. O canal fica quase livre, mas o servidor web ou o banco de dados cai. São medidos em requisições por segundo (rps) e se distinguem dos visitantes pelo comportamento, não pelo volume.

A filtragem de rede L3/L4 é o que o provedor costuma ativar para todos os clientes. A proteção L7 é mais complexa: o filtro precisa entender o seu site, ver o conteúdo das requisições HTTPS e saber distinguir um visitante de um bot. Por isso ela costuma ser vendida à parte, ligada por meio de um proxy com o seu certificado ou deixada do lado do site: CDN, WAF, limite de taxa de requisições no servidor web.

«Proteção incluída» e filtragem real

Segundo o catálogo da accsly em 3 de novembro de 2026, 1.117 de 2.236 provedores com planos de VPS anunciam proteção contra DDoS, exatamente a metade. Detalhes sobre ela foram encontrados em 219 provedores do catálogo, e o quadro é variado:

35 provedores informam a capacidade de filtragem em Gbit/s ou Tbit/s;
24 indicam o nível de proteção (L3/L4 ou L7);
8 mencionam L7, e em metade deles ela é paga ou ativada sob pedido;
em cerca de um quarto das descrições a proteção é um opcional pago à parte; em outro quarto, aproximadamente, está explicitamente incluída no preço.

Os demais escrevem de forma curta: «tem», «anunciada», «proteção de rede integrada». Isso não é necessariamente ruim, mas por uma frase dessas não dá para saber o que vai acontecer durante um ataque. Por trás das mesmas palavras aparecem três coisas diferentes:

Filtragem permanente (always-on). Todo o tráfego passa sempre pelo filtro. O ataque é cortado na hora, mas o filtro às vezes afeta também o tráfego normal, por exemplo protocolos de jogos sobre UDP.
Filtragem por acionamento (on-demand). O sistema acompanha o tráfego e ativa a limpeza quando o fluxo passa do limite. Entre o início do ataque e a ativação do filtro passam segundos ou minutos, e nesse tempo o servidor pode ficar inacessível.
Só blackhole. Não há limpeza de verdade: durante o ataque, a rede do provedor simplesmente para de deixar passar o tráfego para o seu endereço. Isso protege os vizinhos e o provedor, mas não você.

Limite e blackhole

Toda proteção tem um teto: o volume ou o número de pacotes a partir do qual o provedor deixa de filtrar. Normalmente isso aparece nas regras assim: «em caso de ataque acima de N Gbit/s, o endereço pode ser desligado temporariamente». O desligamento é feito via blackhole: a operadora anuncia às redes vizinhas que o tráfego para o seu endereço deve ser descartado. Para isso o BGP tem a marca padrão BLACKHOLE (RFC 7999), e, sempre que possível, desliga-se exatamente um endereço, /32 para IPv4 ou /128 para IPv6, para não afetar os vizinhos.

Para o dono do servidor isso significa uma coisa simples: o ataque atinge o objetivo, só que não no seu servidor, e sim na rede. O endereço fica inacessível para todos até o blackhole ser removido, e o prazo varia entre provedores; ele também deve ser procurado nas regras. Se o projeto não sobrevive a uma parada dessas, o limite de filtragem precisa estar bem acima dos ataques que você realmente espera, e vale colocar uma proteção L7 adicional na frente do site.

Outro detalhe é a porta. Num plano com porta de 100 Mbit/s, até um ataque pequeno a ocupa por inteiro, e o filtro do lado do provedor precisa cortá-lo antes que chegue à sua porta. Como ler a velocidade da porta e o canal compartilhado está no artigo Banda e tráfego: o que significam 1 Gbit/s e ilimitado.

O que perguntar ao provedor e conferir no contrato

Níveis. Só L3/L4 ou também L7? Se há L7, como ela é ligada: por proxy, por troca de DNS, com o seu certificado ou sem ele.
Capacidade. Quantos Gbit/s e quantos milhões de pacotes por segundo o filtro aguenta por endereço, e não para a rede inteira.
Modo. A filtragem é permanente ou é ativada por limite; quanto tempo leva até ser ativada.
O que acontece depois do limite. Se o endereço é desligado, por quanto tempo, se dá para reativá-lo antes e quanto custa passar para uma proteção maior.
Onde fica o filtro. No próprio data center ou num provedor externo; se a proteção vale para todas as localizações do provedor, pois às vezes ela existe só numa cidade.
Preço e prazos. Se a proteção está incluída no plano ou é um opcional pago à parte, e se não há cobrança por cada ataque mitigado.
Responsabilidade. Se o tempo de ataque entra no SLA de disponibilidade. Muitas vezes não: as regras excluem ataques da garantia.

Vale ter as respostas por escrito, num ticket de suporte: essas passam a ser as suas condições se a descrição no site for vaga. Dicas gerais de leitura de planos estão no artigo Como ler os planos de hospedagem: limites ocultos.

O que fazer você mesmo

Mesmo com uma boa proteção do provedor, parte do trabalho fica do seu lado:

feche no firewall tudo o que não for porta necessária e ative os SYN cookies (na maioria das distribuições Linux eles já vêm ativados); a configuração básica está no artigo Primeiros 10 passos depois de comprar uma VPS: segurança;
num site, limite a taxa de requisições às páginas pesadas (busca, login, carrinho) direto no servidor web e coloque na frente do site uma CDN com proteção L7;
se o site está atrás de uma CDN ou proxy, não publique o endereço direto do servidor no DNS nem em e-mails: do contrário, o tráfego chegará ao servidor sem passar pelo filtro;
monitore a disponibilidade de fora para saber do ataque antes dos visitantes; sobre isso, o artigo Monitoramento de servidor: uptime, carga e alertas;
mantenha um backup recente e um roteiro de migração: se o provedor não der conta, o projeto pode ser colocado no ar em outro lugar.

Planos em que a proteção é anunciada no preço estão reunidos na seleção VPS com proteção contra DDoS. Servidores de jogos precisam de proteção mais do que os outros, e normalmente justamente L3/L4 sobre UDP: seleções VPS para servidor de jogos e servidores dedicados para jogos.

Perguntas frequentes

Qual a diferença entre a proteção L3/L4 e a L7?

A L3/L4 filtra o tráfego de rede por volume e por pacotes: protege o canal e as conexões. A L7 analisa as requisições HTTP ao site e distingue visitantes de bots. A primeira os provedores costumam ativar para todos; a segunda é vendida à parte com mais frequência ou colocada por meio de uma CDN.

O que significa «proteção contra DDoS incluída» no plano?

Apenas que o provedor tem algum tipo de filtragem. Pode ser limpeza permanente de terabits, um filtro que é ativado ao passar de um limite ou só o desligamento do endereço durante o ataque. Confirme o nível, a capacidade por endereço e o que acontece depois do limite.

O que é blackhole num ataque DDoS?

O provedor para de deixar passar todo o tráfego para o endereço atacado, normalmente para exatamente um IP. Isso protege o resto da rede, mas nesse período o seu servidor fica inacessível para todos.

Quanto tempo dura o desligamento do endereço via blackhole?

Não há prazo único: alguns provedores removem o desligamento depois de um tempo fixo, outros quando o ataque termina. Procure o prazo e a possibilidade de reativação antecipada nas regras ou pergunte ao suporte antes de pagar.

Um site pequeno precisa de proteção contra DDoS?

A filtragem de rede básica do provedor e uma CDN na frente do site costumam bastar. Uma proteção paga à parte é necessária se a parada custa dinheiro: loja virtual, servidor de jogos, serviço com clientes pagantes.

O tempo de ataque entra no SLA de uptime?

Muitas vezes não: muitas regras excluem ataques DDoS da garantia de disponibilidade. Se isso é importante para você, procure essa condição no SLA especificamente.

Planos sobre o tema

Ranking de hospedagem VPS 2026

Mais no guia

Servidor em nuvem ou VPSUm servidor em nuvem e uma VPS costumam ser a mesma máquina virtual em KVM. A diferença está no que vem em volta: a nuvem vende recursos por hora via API e oferece discos em rede, snapshots e serviços prontos, enquanto a VPS clássica é um plano fixo por mês, com disco local e um pacote de tráfego. Veja do que você realmente precisa e quanto isso custa.
Servidor dedicado ou VPSUma VPS é uma parte de um servidor físico; um servidor dedicado é a máquina inteira. Com 4 núcleos e 8–16 GB de memória, a VPS custa quase a metade; com 4 núcleos e 32 GB, os preços se igualam; e com 64 GB em 8 núcleos ou 128 GB em 16 núcleos, o servidor dedicado sai um terço mais barato que o virtual no catálogo. Veja o que muda além do preço: vizinhos, garantias, prazos, falhas de hardware e gerenciamento remoto.
Hospedagem ou VPS para um siteA hospedagem compartilhada é um espaço pronto para o site, em que quem cuida do servidor é o provedor. A VPS é um servidor seu, em que você configura tudo. Para uma landing page e um site comum em WordPress, a hospedagem basta e custa várias vezes menos. A VPS é necessária quando os limites da conta não dão conta do site ou quando ele precisa de um programa que a hospedagem não permite. Abaixo está o que cada opção inclui, quanto custa e uma tabela para escolher.
Servidor de e-mail em VPS: SPF, DKIM, DMARCInstalar o Postfix ou um pacote pronto como o Mailcow numa VPS leva uma hora. Fazer as mensagens chegarem à caixa de entrada, e não ao spam, é mais difícil: os serviços de e-mail olham a porta, o endereço do servidor, a reputação dele e três registros DNS. Vamos ver o que conferir no provedor antes da compra e como configurar SPF, DKIM e DMARC.
Monitoramento de servidor: uptime, carga e alertasSem monitoramento, você fica sabendo que o servidor caiu pelos visitantes, e que o disco está acabando quando o banco de dados para de gravar. Bastam algumas verificações de fora e uma dezena de métricas de dentro para ver o problema antes dos usuários. Vamos ver o que medir, onde colocar as verificações e como fazer isso de graça.
Como ler os planos de hospedagem: limites ocultosO card do plano mostra núcleos, memória, disco e preço mensal. Mas dois planos com os mesmos números podem custar valores diferentes já depois de um ano e se comportar de forma diferente sob carga. A diferença está nas condições escritas em letra miúda, nas regras de uso ou só no contrato. Abaixo estão oito pontos que vale conferir antes de pagar.
IPv4 e IPv6 no servidorUma VPS comum tem um endereço IPv4 público e, se o provedor oferece suporte, uma sub-rede IPv6. Um IPv4 adicional quase sempre custa dinheiro, e os planos mais baratos às vezes nem vêm com IPv4 próprio. Vamos ver de onde vem essa escassez, o que dá para fazer só com IPv6 e quais configurações de endereço um servidor de e-mail precisa.
Banda e tráfego: o que significam 1 Gbit/s e ilimitadoO plano de um servidor costuma ter duas linhas de rede: velocidade da porta e volume de tráfego. A primeira diz com que rapidez o servidor pode enviar dados; a segunda, quanto ele pode enviar por mês. As duas estão ligadas por uma aritmética simples, e, sabendo fazer a conta, fica fácil entender o que «1 Gbit/s ilimitado» realmente oferece e se «5 TB» bastam para você.
Docker em VPS: por onde começarCom o Docker, você roda no servidor um bot, um site, um banco de dados e o monitoramento sem que um atrapalhe o outro, e mudar para outra VPS se resume a copiar alguns arquivos e os dados. A instalação leva cinco minutos; os problemas de verdade aparecem depois: portas do banco abertas para a internet, logs de dezenas de gigabytes e dados que sumiram junto com o contêiner. Veja como evitá-los desde o início.
Como migrar um site da hospedagem para uma VPSA migração em si leva umas duas horas, e os erros costumam acontecer em volta dela: uma tarefa do cron esquecida, regras do .htaccess que o nginx não lê, um registro AAAA com o endereço antigo ou um e-mail que sumiu junto com a troca de IP. Abaixo, a ordem dos passos com comandos e verificações para um site em PHP e MySQL.
Painéis de controle de servidor: ISPmanager, FASTPANEL, aaPanelO painel transforma a VPS em algo parecido com o painel da hospedagem compartilhada: sites, bancos de dados, e-mail e certificados são criados com o mouse, e não editando arquivos de configuração. Os três painéis mais instalados em servidores russos e em servidores baratos no exterior são o ISPmanager, o FASTPANEL e o aaPanel. Eles diferem no preço, na memória que exigem e no quanto tomam conta do servidor.
VPS Windows para 1CUm servidor alugado para o 1C livra a empresa daquele computador debaixo da mesa do escritório que ninguém atualiza nem copia. Mas o 1C em VPS tem particularidades: a licença de software fica vinculada aos parâmetros da máquina virtual, os usuários precisam de licenças tanto do 1C quanto do Windows, e a frequência dos núcleos importa mais que a quantidade. Veja como montar um servidor para o 1C numa empresa pequena.
VPS Windows: licenciamento, RDP e acesso seguroUm servidor Windows custa mais que um Linux não só por causa da memória: o preço inclui uma licença, e a forma como ela é contratada define se o uso está regular e quantas pessoas podem se conectar. Uma porta RDP exposta também é o caminho mais comum para invadir esses servidores. Veja os dois temas.
Quando migrar da hospedagem compartilhada para uma VPSUma VPS não deixa o site mais rápido por si só: ela dá recursos e liberdade e, junto com eles, o trabalho de administrar um servidor. Veja como saber que a hospedagem ficou pequena, quando o problema se resolve sem mudança e como migrar um site sem que os visitantes percebam.
Backups de VPS: estratégias e ferramentasNuma VPS, os backups são responsabilidade sua, mesmo que o plano diga «backups incluídos». Vamos ver o que exatamente copiar, por que o snapshot do provedor não basta, como configurar o restic ou o BorgBackup em meia hora e como ter certeza de que dá mesmo para restaurar a partir da cópia.
Primeiros 10 passos depois de comprar uma VPS: segurançaTentativas de adivinhar a senha de um servidor novo começam poucos minutos depois que ele ganha um IP público. Abaixo estão dez passos que, em uma hora, fecham as brechas mais comuns: comandos para Ubuntu e Debian, as diferenças para AlmaLinux e Rocky Linux e as verificações sem as quais é fácil perder o acesso ao seu próprio servidor.
Como escolher o país do servidorColoque o servidor onde estão os seus visitantes. Para um público no Brasil, São Paulo dá o menor ping; Miami e a costa leste dos EUA são a alternativa comum, e a Europa fica bem mais longe. A LGPD não obriga a manter os dados no Brasil, mas a transferência para fora precisa de base legal. O preço quase não decide: no mesmo provedor, Europa e EUA costumam custar o mesmo, e só Ásia e Austrália saem bem mais caras.
Cobrança por hora: quando ela compensaA cobrança por hora compensa se você precisa do servidor menos de três semanas por mês: para um teste, um build, uma tarefa pesada pontual. Na maioria dos provedores, a hora custa exatamente o preço mensal dividido por 730 horas, então num mês cheio você quase não paga a mais. O custo extra está em outro lugar: os planos com cobrança por hora são, em média, mais caros, e para um servidor que roda o ano inteiro o plano mensal ou anual costuma sair mais barato.
Quanta memória e quantos núcleos um site precisaA maioria dos sites roda bem com 2 GB de memória e um ou dois núcleos; uma loja com milhares de produtos precisa de 4 GB e dois núcleos. Memória importa mais que núcleos: quando ela falta, o site fica lento ou cai, e um núcleo a mais sem memória quase não ajuda. Abaixo mostro como calcular a memória para o seu site e como descobrir quanto ele gasta de verdade.
KVM ou OpenVZ: o que escolherEm 2026 quase sempre vale escolher KVM: ele custa no máximo uns dois dólares por mês a mais que o OpenVZ, mas nele tudo funciona, do Docker ao Windows. O OpenVZ só se justifica num caso estreito, e abaixo você vê qual; no final estão os comandos para conferir o seu servidor em um minuto.
NVMe ou SSD: faz diferença para um site?Para um site pequeno, a diferença entre NVMe e SSD é quase imperceptível: as páginas saem da memória, não do disco. Ela aparece em lojas virtuais e sites com banco de dados grande. E no mesmo provedor o NVMe custa só uns US$ 0,50–1 por mês a mais, às vezes até menos que o SSD, então o que decide normalmente não é o tipo de disco, e sim o tamanho e como o provedor o limitou.
O que é VPS, explicado de forma simplesUma VPS é um pedaço de um servidor físico potente que você aluga e que se comporta como um computador independente: com sistema próprio, endereço IP próprio e acesso total. Veja como ela se diferencia da hospedagem, para quem serve, quanto custa e o que conferir logo depois da contratação.
VPS para bot do Telegram: do que o bot precisa e como escolher o planoUm bot com menu e alguns comandos roda bem no servidor mais barato, enquanto um bot com disparos, arquivos e banco de dados esbarra em limites totalmente diferentes. Veja o que um bot realmente consome, quais limites do Telegram definem a escolha do servidor e como não pagar a mais.
Como testar ping e velocidade de uma VPS antes de pagarOs números de um plano não dizem qual será a latência até seus usuários nem a velocidade real do disco. Quase tudo pode ser medido antes de pagar, e o resto na primeira hora depois de ligar o servidor. Veja as ferramentas e como interpretar os resultados.
Rede corporativa em VPS: acesso remoto ao escritórioUm servidor alugado pode virar o centro da rede privada de uma empresa: funcionários remotos e filiais se conectam por ele ao ERP, ao servidor de arquivos, ao CRM e ao Git. Veja os esquemas mais comuns, os protocolos, os requisitos do servidor e o básico de segurança.
Como escolher uma VPS: os 7 parâmetros que decidemDois planos com os mesmos «2 núcleos, 4 GB, 50 GB» podem ter velocidade várias vezes diferente e custar o dobro um ano depois. Veja o que existe por trás de cada linha de um plano VPS e o que conferir antes de pagar.
VPS ou VDS: existe diferença e o que realmente importaNa maioria dos mercados, VPS e VDS significam a mesma coisa: um servidor virtual. A diferença que de fato afeta o seu trabalho não está no nome, e sim no tipo de virtualização e em os recursos serem garantidos ou não.