Em 5 de agosto de 2026, o comitê do Senado dos EUA sobre comércio realizou a marcação de cinco projetos de lei da internet "infantil". Quatro foram aprovados: Kids Online Safety Act, CHATBOT Act, Youth AI Privacy Act do senador Edward Markey e Children's Artificial Intelligence Toy Safety Act da senadora Tammy Duckworth. O quinto — SCREEN Act — obteve 15 votos a favor e 13 contra, mas não saiu do comitê: no momento da contagem, não havia quórum na sala.
Para a indústria de proxies, isso não é uma notícia passageira. O SCREEN Act é o primeiro projeto de lei federal dos EUA que insere diretamente no texto da lei a categoria "endereços VPN conhecidos" e exige a aplicação de verificação de idade a eles. E enquanto o nível federal patina no procedimento, em nível estadual uma norma semelhante já está em vigor: a lei de Utah SB 73 entrou em vigor em 6 de maio de 2026.
O que exatamente o SCREEN Act exige dos endereços IP
O SCREEN Act é o S. 737 no 119º Congresso, com o nome completo Shielding Children's Retinas from Egregious Exposure on the Net Act. O autor é o senador Mike Lee, entre os co-patrocinadores estão John Curtis, Jim Banks e James Lankford. O projeto de lei foi apresentado em 26 de fevereiro de 2025 e até agosto de 2026 ficou sem movimento.
A mecânica é a seguinte. O serviço é obrigado a aplicar "medidas tecnológicas de verificação" aos usuários, determinando sua localização pelo endereço IP, a menos que consiga estabelecer que o usuário está fora dos EUA. E um ponto separado da lei exige que o tráfego de endereços VPN conhecidos passe pela verificação. Um simples checkbox "tenho mais de 18 anos" não é suficiente: a lei deixa claro que a auto-declaração não é suficiente, são necessários métodos vinculados à identidade real.
A Electronic Frontier Foundation, em uma análise de 31 de julho de 2026, aponta dois efeitos colaterais. O primeiro — abrangência: as formulações estão escritas de tal forma que praticamente qualquer serviço que tenha pelo menos um fragmento de conteúdo explícito se enquadra, como Netflix, Reddit, Discord, Bluesky. O segundo — armazenamento de dados: os requisitos de proteção para os documentos coletados são formulados de forma fraca, as empresas têm o direito de armazená-los por tempo indeterminado, se considerarem razoável.
Utah: uma lei que já está funcionando
O projeto de lei federal é, por enquanto, uma intenção. Já a SB 73 "Online Age Verification Amendments" foi assinada pelo governador de Utah, Spencer Cox, em 19 de março de 2026, e a parte sobre VPN entrou em vigor em 6 de maio.
Utah abordou a questão de uma forma inesperada — não através da proibição de VPN para usuários, mas através da responsabilidade dos sites. De acordo com a SB 73, um usuário é considerado acessando de Utah se estiver fisicamente lá, independentemente de qual proxy ou VPN esteja mascarando seu IP. A responsabilidade pela verificação permanece com o site, mesmo quando o visitante altera a geolocalização. Além disso, há uma proibição separada: plataformas com uma quantidade significativa de materiais prejudiciais a menores não têm permissão para publicar instruções sobre como contornar verificações através de VPN.
A NordVPN chamou a estrutura de "armadilha de responsabilidade" e "paradoxo insolúvel de conformidade". A lógica é simples: se o site não consegue determinar com precisão a localização real da pessoa por trás da VPN, e a lei exige que isso seja feito, ele tem duas opções — bloquear todos os IPs marcados como VPN e proxies ou exigir verificação de todos os visitantes do planeta. Ambas as opções vão muito além da tarefa original.
Utah se tornou o primeiro estado onde isso foi formalizado em lei. Wisconsin tentou ir mais longe e estabelecer uma proibição direta de VPN na SB 130 / AB 105, mas após críticas públicas, o senador Van Wanggaard retirou esse ponto em fevereiro de 2026, e o projeto foi enviado ao governador já sem ele. De acordo com a Free Speech Coalition, leis de verificação de idade foram aprovadas em 25 estados, e cerca de 15 estão em consideração.
Como funcionam as listas de "endereços VPN conhecidos"
O mais interessante nessas leis é que elas se baseiam em uma tecnologia que não descrevem. "Endereço VPN conhecido" não é um fato jurídico, mas uma string em uma base comercial de reputação de IP. Serviços como IPQualityScore, IPinfo e ipgeolocation.io vendem essas listas, que são coletadas de várias camadas.
- Mapeamento ASN. Os intervalos são comparados com dados de registradores de internet regionais: de quem é o endereço — do provedor de hospedagem ou do provedor de internet residencial.
- Intervalos publicados de nuvens. AWS, DigitalOcean, OVH e outros publicam suas redes. Servidores VPN comerciais quase sempre estão lá, e não em linhas residenciais, — portanto, todo o pool de data centers é suspeito por padrão.
- DNS reverso e padrões de nomes. Registros PTR típicos de hospedagem revelam a infraestrutura tão bem quanto o ASN.
- Sinais comportamentais. Densidade anômala de diferentes usuários em um único endereço, discrepância entre a geolocalização do IP e o fuso horário e idioma do cliente.
Segundo os fornecedores, sistemas contra endereços VPN comerciais conhecidos oferecem mais de 95% de acertos, com uma taxa de falsos positivos abaixo de 1% em redes residenciais. Isso soa bem até o momento em que esse 1% é multiplicado por todo o tráfego do país.
Onde as listas falham
Falsos positivos na reputação de IP não são raridade, mas uma característica estrutural. Fontes típicas de erros:
- Reutilização de endereços. Um IP que tinha um ponto de extremidade VPN no mês passado agora é atribuído a um negócio comum. Em listas negras desatualizadas, ele continua marcado.
- CGNAT em provedores. Operadoras escondem milhares de assinantes atrás de um único endereço, e padrões ASN não típicos fazem com que os classificadores confundam usuários residenciais com proxies.
- Operadoras móveis. Parte do tráfego celular é roteado através de infraestrutura adjacente à de data centers, — e isso gera suspeitas.
- VPN corporativas. Tecnicamente, elas são indistinguíveis das de consumo: o mesmo túnel, o mesmo endereço de saída de hospedagem.
Enquanto essa lista for uma ferramenta antifraude, o erro custa uma captura de captcha a mais. Quando se torna uma ferramenta de conformidade, o erro custa a negação de acesso — e o site não tem motivação para investigar, porque a multa ameaça por omissão, e não por excesso de cautela. É por isso que a pressão regulatória sempre desloca os limites em direção a bloqueios mais agressivos. Uma análise detalhada de como as plataformas classificam endereços e quais critérios usam para distinguir tráfego residencial de infraestrutura foi feita em um material sobre inteligência de IP e detecção de proxies residenciais.
Quem mais será afetado, além do público-alvo da lei
Formalmente, o SCREEN Act e a SB 73 foram escritos sobre conteúdo adulto. Praticamente, eles mudam a economia dos bloqueios para toda a internet de uma vez — porque o site não constrói uma camada separada de detecção "para conformidade" e outra "para todo o resto". Ele compra uma única base de reputação de IP e a aplica a todo o tráfego.
Na sequência, tudo que vive em endereços de infraestrutura sofre:
- Coleta de dados e monitoramento. Análise de preços, verificação de resultados por regiões, rastreamento de sortimentos — tarefas onde o pool de data centers historicamente foi a solução mais barata.
- Verificação de resultados locais e publicidade. Agências precisam ver a página pelos olhos de um usuário de um estado ou país específico; um filtro VPN agressivo quebra exatamente isso.
- Múltiplas contas e SMM. Plataformas, mesmo sem novas leis, já consideram o sinal "proxy" como um sinal de risco ao registrar e entrar.
- Usuários comuns de túneis corporativos. Um funcionário que está em uma VPN de trabalho parece para o site como alguém que está escondendo sua localização.
O que isso significa para a escolha do tipo de proxy
A principal conclusão prática: a lacuna entre endereços de infraestrutura e endereços residenciais só vai aumentar, e é determinada não pela qualidade do tráfego, mas pela origem do IP.
Proxies de data center entram nas listas primeiro e quase automaticamente: seu ASN é publicamente conhecido, os intervalos são publicados pelos próprios provedores de hospedagem. Este ainda é a opção mais rápida e barata para plataformas que não se importam com o tipo de endereço — APIs internas, análise de fontes leais, testes de carga. Mas usá-los onde há verificação de VPN na entrada se torna cada vez mais sem sentido.
Proxies residenciais passam por linhas de assinantes reais de provedores domésticos: pelo ASN, pertencem a ISPs comuns, e esse tráfego não entra na categoria "endereço VPN conhecido". Isso os torna uma opção viável onde a verificação da origem do IP está se tornando mais rigorosa.
Proxies móveis se baseiam em pools de operadoras móveis, onde um único endereço abriga naturalmente dezenas e centenas de assinantes. É por isso que bloquear esses endereços é o mais caro para as plataformas: o custo de um falso positivo é medido não por um visitante, mas por todo o pool.
Ao mesmo tempo, nenhum tipo de endereço anula os outros sinais de detecção — impressão TLS, comportamento do navegador, consistência de cabeçalhos e fuso horário. Mudar o IP resolve apenas uma parte do problema; sobre como o restante se apresenta, escrevemos em uma análise sobre iniciativas britânicas para limitar VPNs.
Para onde a situação está se movendo fora dos EUA
A história americana é parte de um deslocamento geral. A Austrália lançou uma proibição de redes sociais para crianças menores de 16 anos em 10 de dezembro de 2025, a Malásia seguiu em 1 de junho de 2026, a norma brasileira entrou em vigor em março de 2026, e a Turquia em abril de 2026 limitou o acesso para usuários menores de 15 anos. O Serviço de Pesquisa do Parlamento Europeu registrou um aumento significativo no uso de VPNs para contornar verificações de idade, e no Reino Unido está sendo discutida a ideia de limitar o acesso aos próprios serviços de VPN com censura de idade.
O vetor geral é claro: primeiro, os reguladores exigem a verificação de idade, depois descobrem que a verificação é contornada pela troca de IP, e o próximo passo é tentar fechar a própria possibilidade de troca de IP. A linguagem jurídica, no entanto, sempre fica atrás da técnica — "endereço VPN conhecido" continua sendo uma referência a uma base de dados comercial, que ninguém é obrigado a publicar ou contestar.
Conclusão
A falha do SCREEN Act em 5 de agosto é um adiamento no procedimento, e não uma anulação do curso: o projeto obteve a maioria dos votos e não passou apenas devido à ausência. Um precedente real já foi criado em Utah, onde a responsabilidade pelo usuário por meio de VPN recai sobre o site desde 6 de maio de 2026, e a lógica dessa lei empurra as plataformas para um bloqueio total de endereços marcados.
Para aqueles que usam proxies em seu trabalho, a conclusão prática é: endereços de infraestrutura estão se tornando mais baratos em custo e mais caros em riscos, e a confiabilidade do acesso depende cada vez mais de onde o IP foi fisicamente obtido. É importante verificar não a velocidade declarada do pool, mas sua origem e como ele aparece nas bases de reputação de IP — porque é exatamente nelas que a lei agora se baseia.
```