Publicação legal focada em privacidade
Hospedagem residencial com Cloudflare Tunnel sem expor seu IP
Este guia mostra como esconder seu IP residencial dos visitantes com Cloudflare Tunnel, comparar os custos reais do setup e decidir quando o roteamento por VPN ou o GhostlyShare faz mais sentido.
O limite de privacidade importa: visitantes não precisam saber seu IP residencial, mas a Cloudflare conhece sua conta e o provedor VPN sabe que você se conecta à Cloudflare.
Escrito para auto-hospedagem legítima, testes, publicação e pesquisa. Não apoia fraude, malware, phishing, assédio ou ilegalidades.
Sumário
Custos do Cloudflare Tunnel e escolhas de setup
Muitos testes pequenos podem começar sem pagar pelo túnel em si, mas a resposta real depende dos limites atuais da Cloudflare, do domínio, de recursos opcionais do Access, da VPN e do hardware. Confira os preços antes de usar em um projeto público.
Resposta curta: o Cloudflare Tunnel costuma bastar para um teste pequeno ou site pessoal, mas não calcule apenas o túnel. Os custos reais geralmente vêm do domínio, roteamento VPN opcional, hardware sempre ligado ou uma alternativa VPS.
| Item de custo | Quando importa | Como planejar |
|---|---|---|
| Cloudflare Tunnel e cloudflared | Necessário para a rota pública estável da Cloudflare até seu serviço local. | Em muitos testes pequenos, o túnel em si pode começar sem uma cobrança separada pelo túnel. Confira os limites atuais da Cloudflare antes de depender dele. |
| Domínio e DNS | Necessário quando o site deve ter um hostname real em vez de uma URL temporária de preview. | Planeje como custo anual do registrador e inclua dados do proprietário, forma de pagamento e recuperação da conta no seu modelo de privacidade. |
| Roteamento VPN opcional | Só é necessário quando a Cloudflare deve ver o IP de saída da VPN em vez do IP residencial do conector. | Trate como custo mensal de provedor. Kill switch e roteamento estável importam mais do que o plano mais barato. |
| Hardware em casa sempre ligado | Necessário quando o túnel deve rodar sem depender do seu notebook do dia a dia. | Inclua Raspberry Pi, mini PC ou host Windows, além de energia, atualizações, backups e substituições. |
| Alternativa VPS ou GhostlyShare | Use VPS para um servidor público estável; use GhostlyShare para demos temporárias, previews ou callbacks de webhook. | Um VPS costuma ser um custo mensal de servidor. O GhostlyShare é o caminho mais leve quando você não precisa de uma rota permanente. |
A Cloudflare muda limites e detalhes de planos ao longo do tempo. Confira as páginas oficiais de limites e preços antes de tratar um setup como pronto para produção.
Limites de conta da Cloudflare Preços do Cloudflare Zero Trust
O que esta configuração realmente protege
O objetivo prático não é desaparecer de todos os provedores, mas impedir que visitantes comuns, scanners e consultas DNS rotineiras descubram seu IP residencial ou acessem seu roteador.
O DNS pode apontar para a Cloudflare em vez do endereço residencial, evitando revelar onde o site está hospedado.
Um túnel nomeado é apenas de saída, então não é necessário redirecionamento de porta para o site.
Seu site pode ficar no localhost ou outra interface privada enquanto a Cloudflare gerencia o acesso público.
Isso é privacidade dos visitantes, não invisibilidade para Cloudflare, provedor VPN ou seu histórico de conta.
Quem ainda pode te identificar
A melhor forma de pensar em hospedagem anônima é separar os públicos. Cada um conhece uma parte da história.
Visitantes
- Eles veem seu hostname público, superfície TLS e qualquer conteúdo, cabeçalhos, análises e cookies que você expõe intencionalmente.
- Normalmente veem IPs da edge Cloudflare em vez do seu IP residencial quando o DNS aponta só para o túnel.
- Eles ainda podem identificar o navegador do administrador se você entrar no mesmo backend pelo mesmo dispositivo ou perfil.
Cloudflare
- A Cloudflare conhece a conta, zona, UUID do túnel, hostnames configurados e estado do túnel.
- A Cloudflare também vê o IP de origem usado pelo cloudflared, que pode ser seu IP residencial ou o IP de saída da VPN.
- Uma VPN pode ocultar o IP residencial da Cloudflare, mas não elimina a relação com a conta Cloudflare.
Provedor de VPN
- O provedor VPN ainda vê que seu dispositivo mantém tráfego criptografado para a Cloudflare.
- Se a VPN estiver ligada ao seu email ou identidade de pagamento, essa relação existe fora do túnel.
- A VPN altera o IP de origem que a Cloudflare vê, mas não elimina a confiança que você deposita no provedor de VPN.
Seu histórico de identidade mais amplo
- Dados do registrador, emails de recuperação, pagamentos e nomes de usuário reutilizados ainda podem vincular o projeto a você.
- Entrar em painéis administrativos pelo navegador pessoal pode correlacionar o site com sua identidade diária.
- Na prática, anonimato depende tanto da disciplina operacional quanto do próprio túnel.
Como funciona o caminho do tráfego
O caminho limpo é simples: o lado público termina na Cloudflare, o privado fica local, acessível só pelo cloudflared.
Solicita seu hostname e alcança a rede edge da Cloudflare.
Termina HTTPS, aplica regras e encaminha a requisição para o túnel nomeado.
Mantém conexões de túnel apenas de saída do seu Windows para a Cloudflare.
Responde no localhost ou outra origem privada sem exposição direta à internet.
Se o cloudflared usar VPN antes, a Cloudflare verá o IP de saída da VPN. Sem kill switch, o cloudflared pode reconectar pelo IP residencial.
Dispositivo pequeno sempre ligado para um túnel em casa
Um Raspberry Pi ou mini computador similar de baixo consumo é útil quando o túnel precisa ficar online sem depender do laptop do dia a dia. Mantenha o sistema atualizado, use conexão cabeada quando possível e ainda teste o caso de falha da VPN antes de confiar na configuração.
O que o cloudflared.exe faz no Windows
cloudflared.exe não é VPN nem rede de anonimato. É o conector Cloudflare que autentica o túnel, mantém conexões de saída e mapeia hostname público para serviço local.
Você pode fazer login uma vez, criar um túnel nomeado e reutilizá-lo para um hostname estável, sem links descartáveis.
A Cloudflare documenta que cada túnel mantém várias conexões duradouras para garantir resiliência se um caminho falhar.
Um arquivo de configuração pode direcionar app.example.com para http://localhost:3000 sem expor o localhost como origem pública.
Você pode testar o túnel no terminal e depois convertê-lo em serviço Windows sempre ativo.
O Cloudflare Tunnel pode publicar serviços HTTP, HTTPS, TCP, SSH, RDP e similares, mas este guia foca em sites.
Para o fluxo exato do fornecedor, compare sua configuração com Guia local do túnel Cloudflare e o Guia do serviço Windows.
Configuração Windows: cloudflared.exe passo a passo
Este caminho assume que o site já funciona localmente e seu domínio usa DNS Cloudflare. O exemplo usa app.example.com e serviço local na porta 3000.
Use PowerShell 7 para todos os comandos abaixo. Substitua hostname, nome do túnel e serviço local antes de copiar.
Passo 1: defina os valores que usará
Comece no PowerShell 7 e substitua hostname, nome do túnel e serviço local pelos seus valores antes de continuar.
$TunnelName = "ghostly-home-site"
$PublicHostname = "app.example.com"
$LocalService = "http://localhost:3000"
$CloudflaredHome = "C:\Cloudflared\bin"
$ConfigPath = "$env:USERPROFILE\.cloudflared\config.yml"Passo 2: prepare o cloudflared.exe
Renomeie o binário baixado, crie uma pasta dedicada e copie o executável para ela.
Rename-Item "$env:USERPROFILE\Downloads\cloudflared-windows-amd64.exe" "cloudflared.exe"
New-Item -ItemType Directory -Force $CloudflaredHome
Copy-Item "$env:USERPROFILE\Downloads\cloudflared.exe" "$CloudflaredHome\cloudflared.exe"Passo 3: entre na pasta de trabalho e verifique o binário
Entre na pasta e confirme que o cloudflared.exe inicia sem erros antes de autenticar.
Set-Location $CloudflaredHome
.\cloudflared.exe --versionPasso 4: faça login e autorize a zona Cloudflare
Abre o navegador para aprovar a zona. O certificado da conta é salvo no diretório padrão .cloudflared.
.\cloudflared.exe tunnel loginPasso 5: crie o túnel nomeado e salve o UUID
Crie o túnel e cole o UUID do comando na variável abaixo para reutilização nos próximos comandos.
.\cloudflared.exe tunnel create $TunnelName
$TunnelId = "<paste-the-tunnel-uuid-from-the-create-output>"Passo 6: escreva o config.yml linha a linha
Esses comandos criam o config.yml local no perfil Windows para o túnel saber qual hostname público encaminhar para qual serviço local.
Set-Content $ConfigPath "tunnel: $TunnelId"
Add-Content $ConfigPath "credentials-file: $env:USERPROFILE\.cloudflared\$TunnelId.json"
Add-Content $ConfigPath ""
Add-Content $ConfigPath "ingress:"
Add-Content $ConfigPath " - hostname: $PublicHostname"
Add-Content $ConfigPath " service: $LocalService"
Add-Content $ConfigPath " - service: http_status:404"Passo 7: revise e valide a configuração
Imprima o arquivo para revisar, depois deixe o cloudflared validar as regras antes de publicar o DNS.
Get-Content $ConfigPath
.\cloudflared.exe tunnel ingress validatePasso 8: crie a rota DNS e inspecione o túnel
Informa à Cloudflare qual hostname deve direcionar para o túnel nomeado antes de servir tráfego ao vivo.
.\cloudflared.exe tunnel route dns $TunnelName $PublicHostname
.\cloudflared.exe tunnel info $TunnelNamePasso 9: execute o túnel em primeiro plano
Mantenha esta janela do PowerShell 7 aberta enquanto testa o site em outra rede. Pare com Ctrl+C quando terminar.
.\cloudflared.exe tunnel run $TunnelNameFaça isso só após o túnel interativo funcionar. Execute os comandos abaixo em PowerShell 7 elevado, pois o serviço usa perfil do sistema e registro.
Passo 1 do serviço: instale o shell do serviço Windows
Abra um PowerShell 7 elevado para esta etapa opcional e instale o serviço Cloudflared primeiro.
Set-Location $CloudflaredHome
.\cloudflared.exe service installPasso 2 do serviço: copie cert.pem, credenciais e config para o perfil do sistema
O serviço Windows roda no perfil do sistema, precisando de uma pasta .cloudflared com certificado, credenciais e config.yml.
$SystemCloudflaredHome = "C:\Windows\System32\config\systemprofile\.cloudflared"
New-Item -ItemType Directory -Force $SystemCloudflaredHome
Copy-Item "$env:USERPROFILE\.cloudflared\cert.pem" "$SystemCloudflaredHome\cert.pem"
Copy-Item "$env:USERPROFILE\.cloudflared\$TunnelId.json" "$SystemCloudflaredHome\$TunnelId.json"
Set-Content "$SystemCloudflaredHome\config.yml" "tunnel: $TunnelId"
Add-Content "$SystemCloudflaredHome\config.yml" "credentials-file: $SystemCloudflaredHome\$TunnelId.json"
Add-Content "$SystemCloudflaredHome\config.yml" ""
Add-Content "$SystemCloudflaredHome\config.yml" "ingress:"
Add-Content "$SystemCloudflaredHome\config.yml" " - hostname: $PublicHostname"
Add-Content "$SystemCloudflaredHome\config.yml" " service: $LocalService"
Add-Content "$SystemCloudflaredHome\config.yml" " - service: http_status:404"Passo 3 do serviço: aponte ImagePath para config do sistema e inicie o serviço
A documentação do serviço Windows da Cloudflare exige que o ImagePath do Cloudflared aponte para o arquivo de configuração do perfil do sistema.
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\Cloudflared" -Name ImagePath -Value "C:\Cloudflared\bin\cloudflared.exe --config=C:\Windows\System32\config\systemprofile\.cloudflared\config.yml tunnel run"
sc.exe start cloudflaredSegue o fluxo do serviço Windows da Cloudflare: copie cert.pem e credenciais para o perfil do sistema, crie config.yml e aponte ImagePath para ele.
Posicionamento e regras de segurança para VPN
O túnel é tão privado quanto a rota abaixo dele. Para a Cloudflare ver IP VPN em vez do residencial, a VPN deve estar ativa antes do cloudflared iniciar.
Verifique primeiro o IP público do host. Se mostrar o IP do ISP, a Cloudflare verá esse IP ao conectar o túnel.
Se a VPN cair e não houver firewall, o cloudflared pode reconectar pelo IP residencial.
Vincule o serviço web ao localhost ou interface privada para que o túnel seja o único caminho público.
A documentação da Cloudflare alerta que logs de depuração podem capturar URLs, métodos, protocolos, tamanhos e cabeçalhos. Use logs normais no dia a dia.
Opções e comparação de VPNs
Quer um atalho rápido de VPN ou uma comparação mais ampla?
Se quiser um ponto inicial simples, o botão rotativo abaixo abre uma opção atual. Para comparar mais, use o diretório completo de provedores.
Escolha atual rotativa: Proton VPN
Se o túnel parar com o DNS ativo, visitantes verão erro Cloudflare até o conector voltar. É barulhento, mas evita vazamento silencioso do IP residencial.
Lista de verificação antes de confiar
Não presuma que a configuração é privada só porque o site carregou. Verifique a rota como um operador, não como um vendedor.
Uma consulta rápida externa deve mostrar registros apontando para a Cloudflare, não para um endereço residencial.
Verifique o IP público da máquina para saber o que a Cloudflare verá no conector.
Teste usando dados móveis ou outra rede externa para evitar atalhos locais de roteamento.
Simule uma falha. Se o cloudflared reconectar pela rota ISP, o modelo de privacidade está comprometido.
Quando GhostlyShare é o caminho mais fácil
Se precisar só de prévia pública temporária, demo rápida ou URL de webhook, GhostlyShare é mais simples, evitando configuração manual.
Use cloudflared manual para controle total do túnel, DNS, conta e hospedagem prolongada. Use GhostlyShare para rapidez sem burocracia.
Ver GhostlySharePerguntas frequentes
A Cloudflare ainda sabe quem eu sou?
Sim. A Cloudflare ainda sabe a conta, zona, túnel e IP de origem que chega à sua edge. VPN pode substituir o IP residencial, mas não remove a relação com a conta.
Os visitantes veem meu IP residencial?
Normalmente não, se seu DNS aponta só para Cloudflare e você não expôs a origem de outra forma. Visitantes acessam a Cloudflare, não o IP residencial.
Preciso redirecionar portas no roteador?
Não. O Cloudflare Tunnel é só de saída, o conector se conecta à Cloudflare, não espera tráfego de entrada da internet.
Cloudflare Tunnel é gratuito para hospedagem em casa?
Muitos testes pequenos podem começar sem pagar pelo túnel em si, mas a resposta real depende dos limites atuais da Cloudflare, do domínio, de recursos opcionais do Access, da VPN e do hardware. Confira os preços antes de usar em um projeto público.
Cloudflare Tunnel é a mesma coisa que uma VPN?
Não. O Cloudflare Tunnel publica um serviço local por conexões de saída do conector. A VPN muda o caminho de rede do conector; ela não transforma o Cloudflare Tunnel em uma VPN de consumo nem torna o projeto anônimo sozinha.
Posso executar o cloudflared.exe só quando precisar?
Sim. Execute o túnel interativamente no PowerShell para uso temporário. Converta em serviço Windows para manter a rota após logout ou reinício.
O que acontece se a VPN cair
Sem kill switch, o cloudflared pode reconectar pela rota residencial normal e a Cloudflare verá o IP do ISP. Por isso o caso de falha importa tanto quanto o de sucesso.
Isso é suficiente para tornar o projeto todo anônimo?
Não. Registro de domínio, pagamentos, emails de recuperação, impressões digitais e comportamento administrativo ainda podem identificar você. O túnel resolve só parte do problema.
Guias relacionados
Entenda o que o Cloudflare Tunnel esconde, o que a Cloudflare e a VPN ainda veem, e por que Tunnel mais VPN não garante anonimato. Escolha melhor agora.
GuiaCloudflare Tunnel no Raspberry Pi: servidor em casaPublique um servidor caseiro no Raspberry Pi com Cloudflare Tunnel. Configure cloudflared, use systemd e escolha GhostlyShare quando for mais simples.
GuiaO que é VPN? Privacidade, Segurança e Anonimato ExplicadosEntenda o básico da rede antes de depender da VPN para ocultar o IP que a Cloudflare vê.
GuiaVerifique sua impressão digital online e exposição a rastreamentoUse a página de impressão digital para reduzir pistas no navegador que correlacionam suas sessões administrativas.
FerramentaGhostlyShare: compartilhe localhost no Windows e LinuxUse o caminho desktop mais simples para prévia pública sem configurar todo o fluxo Cloudflare manualmente.
FerramentaGhostlyDDns: mantenha registros DNS da Cloudflare sincronizadosUse DNS dinâmico quando escolher um caminho de self-hosting baseado em DNS em vez de um setup apenas com túnel.
FerramentaGhostlyHosting: implante Blazor em um VPS UbuntuUse a rota VPS quando preferir um servidor público em vez de hardware sempre ligado em casa.
FerramentaGhostlyBridge: gerencie servidores e fluxos de túnelUse o fluxo de servidor desktop quando VPS, SSH, uploads ou gestão de túneis fizerem mais sentido do que hospedar em casa.
DiretórioProvedores de VPN no mundo: compare auditorias, privacidade e adequaçãoUse o diretório completo de VPNs para comparar vários provedores antes de escolher um para o túnel.