O Gmail é seguro e privado?

O Gmail é difícil de invadir. O Google afirma que bloqueia mais de 99,9% do spam, das tentativas de phishing e do malware antes que cheguem até você, e uma chave de acesso ou chave de segurança torna sua conta muito difícil de ser roubada. Isso torna o Gmail seguro contra muitas ameaças comuns, mas não necessariamente privado.

Segurança e privacidade respondem a perguntas diferentes:

• A segurança pergunta se um criminoso pode acessar a caixa de entrada.
• A privacidade pergunta quem mais pode ler o conteúdo, incluindo a empresa que o administra.

O Gmail não é criptografado de ponta a ponta por padrão, o que significa que as mensagens não são criptografadas de uma forma que somente você e o destinatário possam descriptografar. O Google detém as chaves das mensagens armazenadas, processa o conteúdo delas para executar a filtragem de spam e recursos como o Smart Compose, e vincula a conta ao mesmo perfil do Google que alimenta o negócio de publicidade da empresa. Em resumo, o Gmail é relativamente seguro, mas não é um serviço de e-mail privado.

• O Gmail é criptografado?
• O Gmail é seguro?
• O Gmail é privado?
• Como tornar o Gmail mais seguro e privado
• Uma alternativa mais segura ao Gmail

O Gmail é criptografado?

Sim, mas não de ponta a ponta. O Gmail padrão usa TLS em trânsito e criptografia em repouso. Clientes corporativos de alguns planos pagos do Google Workspace podem adicionar opções mais robustas.

Tipo de criptografia	O que ela protege	Disponível em	O Google pode ler a mensagem?
TLS	E-mail trafegando entre servidores de e-mail, quando o outro servidor oferece suporte a isso	Todas as contas	Sim
Criptografia em repouso	E-mails armazenados, contra drives roubados e alguns ataques à infraestrutura	Todas as contas	Sim
S/MIME hospedado	E-mail entre usuários que têm certificados S/MIME	Planos Enterprise Plus, Frontline Plus e Education	Sim: certificados e chaves privadas são enviados ao Gmail
Criptografia do lado do cliente (CSE)	E-mail criptografado no navegador com chaves que a organização controla	Enterprise Plus, Frontline Plus, Education Standard e Plus	Não, mas a organização pode

No Gmail pessoal, a verdadeira criptografia de ponta a ponta exige uma extensão PGP de terceiros, como o Mailvelope, e o destinatário também precisa de PGP (software que segue o OpenPGP, um padrão aberto para criptografia de ponta a ponta).

O modo confidencial do Gmail criptografa e-mails?

Não. O modo confidencial permite definir uma data de expiração, revogar o acesso, exigir um código de acesso por SMS e impedir que os destinatários encaminhem, copiem, imprimam ou baixem uma mensagem. Os destinatários ainda podem tirar capturas de tela ou fotos de e-mails. O modo confidencial limita o que o destinatário pode fazer, mas não torna a mensagem privada para o Google.

O Gmail é seguro?

Sim. Contra senhas roubadas, phishing, spam e malware, o Gmail é um dos serviços de e-mail mais robustos disponíveis, especialmente depois de substituir a senha por uma chave de acesso ou uma chave de segurança. Veja os motivos:

Criptografia em trânsito e em repouso

O Gmail criptografa mensagens com TLS (Transport Layer Security) enquanto elas trafegam entre servidores de e-mail, então os e-mails ficam protegidos em trânsito desde que o provedor de e-mail do outro lado da linha também ofereça suporte a TLS. Se aparecer um ícone vermelho de cadeado aberto ao lado de uma mensagem, isso significa que o e-mail não está criptografado.

Quando o e-mail chega aos servidores do Google, ele é criptografado em repouso. O documento técnico sobre criptografia(nova janela) do Google Workspace lista mensagens e anexos do Gmail como criptografados com AES usando uma chave de 128 bits ou mais forte, que é gerada e gerenciada pelo Google.

Ambas as proteções impedem agentes externos, como alguém que intercepta uma conexão de rede ou rouba um drive de um data center. No entanto, como o Google detém as chaves, ele mantém acesso técnico aos e-mails. Essa é a diferença em relação à criptografia de ponta a ponta, em que apenas o remetente e o destinatário podem descriptografar a mensagem.

Autenticação de dois fatores e chaves de acesso

O Google oferece suporte à autenticação de dois fatores (A2F). É possível confirmar o início de sessão com uma solicitação do Google no celular, um aplicativo de autenticação, uma chave de acesso, uma chave de segurança física ou um código enviado por SMS ou ligação. Códigos de verificação enviados por SMS ou ligação são vulneráveis a ataques baseados em número de telefone, e um porta-voz do Gmail disse à Forbes em fevereiro de 2025(nova janela) que o Google quer “deixar de enviar mensagens SMS para autenticação.” As chaves de acesso, opção padrão de início de sessão do Google, são mais fortes, pois podem resistir a ataques on-line como o phishing.

Para pessoas em risco elevado, o Google oferece o Programa de Proteção Avançada. Ele exige uma chave de acesso ou chave de segurança para iniciar sessão, permite que apenas aplicativos do Google e aplicativos de terceiros verificados acessem os dados da conta e executa verificações mais rigorosas nos arquivos baixados. Ele não altera a forma como o Gmail criptografa e-mails, então o Google ainda pode ler as mensagens.

Proteção contra spam, phishing e malware

O Gmail filtra e-mails recebidos automaticamente. A empresa afirma que bloqueia quase 10 milhões de e-mails de spam a cada minuto e que um modelo de IA mais recente, introduzido no final de 2024, bloqueia 20% a mais de spam do que antes. O Gmail também:

• Recusa tipos de anexo arriscados, como arquivos executáveis, e avisa antes de baixar um anexo perigoso.
• Mostra avisos em mensagens suspeitas, conteúdo inseguro e links enganosos.
• Exige que qualquer pessoa que envie para o Gmail autentique o domínio usando SPF ou DKIM, envie por TLS e mantenha as taxas de spam abaixo de 0,3%. Remetentes de mais de 5.000 mensagens por dia também devem usar SPF e DKIM, além de DMARC e de um recurso para cancelar assinatura com um clique. E-mails que não atendem a esses requisitos são rejeitados ou enviados para a pasta de spam.
• Mostra um logotipo verificado (Brand Indicator for Message Identification, ou BIMI), que se parece com um sinal de verificação azul, ao lado de marcas que verificaram o domínio e o logotipo. Isso dificulta a falsificação de identidade.

Filtros reduzem o risco, mas não o removem. A Microsoft detectou cerca de 8,3 bilhões de ameaças de phishing baseadas em e-mail(nova janela) no primeiro trimestre de 2026, e atacantes têm abusado dos próprios sistemas do Google: em abril de 2025, golpistas enviaram alertas falsos(nova janela) de no-reply@google.com que passaram pelas verificações de autenticação do Gmail.

O filtro de spam do Gmail também tem exceções, e o Google decide quem as recebe. Desde setembro de 2026, o Programa de remetentes verificados do Gmail permite que comitês políticos registrados nos EUA contornem o filtro se enviarem de domínios verificados e mantiverem as reclamações abaixo de 0,3%. E-mails políticos que o Gmail antes teria identificado como spam agora chegam à caixa de entrada, e cabe a você filtrá-los novamente.

Recursos de segurança da conta

As ferramentas de conta do Google detectam muitas tentativas de invasão logo no início:

Verificação de segurança oferece recomendações personalizadas, como remover dispositivos antigos ou adicionar um método de recuperação.

Alertas de segurança notificam você por telefone ou e-mail se alguém iniciar sessão em um novo dispositivo ou se a conta enviar um número incomum de e-mails. Golpistas imitam esses alertas: em 2024, solicitações falsas de recuperação combinadas com ligações de voz por IA(nova janela) foram usadas para invadir contas. Verifique um alerta abrindo diretamente a Conta do Google, em vez de clicar nos links do alerta.

Gerenciamento de dispositivos permite ver todos os dispositivos com sessão iniciada e encerrar a sessão remotamente. Use-o depois de qualquer alarme de malware: em 2024, pesquisadores(nova janela) encontraram infostealers que mantiveram acesso a contas do Google mesmo após a redefinição de senha, reutilizando tokens de sessão roubados. O Google afirmou que encerrar a sessão no navegador afetado, ou revogá-la na página de dispositivos, interrompe esse acesso.

Telefone e e-mail de recuperação ajudam você a recuperar o acesso caso ele tenha sido bloqueado.

Navegação segura aprimorada adiciona mais proteção contra phishing e malware no Chrome e no Gmail.

Incidentes e ataques de segurança no Gmail

Aqui estão alguns incidentes de segurança conhecidos no Gmail. Observe que eles começaram do lado do usuário, por meio de phishing, malware ou vazamentos de senhas, e não de uma violação dos sistemas do Google.

• Em janeiro de 2026, um pesquisador encontrou um banco de dados exposto com 149 milhões de credenciais roubadas(nova janela), cerca de 48 milhões delas do Gmail. O Google disse que as credenciais de início de sessão foram coletadas por malware nos dispositivos dos próprios usuários, e não obtidas do Google.
• Em agosto de 2025, hackers conhecidos como ShinyHunters roubaram dados de um banco de dados do Salesforce do Google: detalhes de contato e anotações sobre pequenas e médias empresas. Nenhum dado do Gmail foi envolvido.
• Em julho de 2025, pesquisadores(nova janela) demonstraram que texto oculto em um e-mail poderia induzir o recurso “Resumir este e-mail” do Gemini a exibir um falso aviso de segurança.
• Em abril de 2025, phishers enviaram alertas falsos(nova janela) de no-reply@google.com que passaram pelas verificações de autenticação do Gmail, direcionando para uma página de suporte falsa no Google Sites.
• Em outubro de 2024, golpistas usaram ligações de voz geradas por IA se passando por suporte do Google(nova janela) junto com falsas solicitações de recuperação de conta para invadir contas do Gmail.
• Entre outubro e dezembro de 2018, dois erros do Google+ expuseram dados de perfil de até 500.000 e depois 52,5 milhões de usuários. O Google encerrou o Google+ e restringiu o acesso de terceiros ao Gmail.

O Gmail é privado?

Não exatamente. O Gmail protege bem você contra pessoas de fora, mas o próprio Google pode acessar as mensagens, coleta dados sobre como você as usa e vincula esses dados à Conta do Google. Provedores de e-mail focados em privacidade que usam criptografia de ponta a ponta e criptografia de acesso zero são projetados para não conseguir fazer isso.

O Gmail não é criptografado de ponta a ponta por padrão

Para indexar a caixa de entrada para pesquisa e sugerir respostas, os servidores do Google trabalham com os e-mails em formato legível. Isso só é possível porque o Google, e não você, detém as chaves de criptografia.

Somente o Google Workspace pago, por meio de criptografia do lado do cliente, oferecia criptografia de ponta a ponta. Com a criptografia de ponta a ponta, uma mensagem é criptografada no dispositivo do remetente e só é descriptografada no dispositivo do destinatário. O provedor armazena dados embaralhados para os quais não tem chave.

Quais dados o Google coleta dos usuários do Gmail?

A política de privacidade do Google se aplica ao Gmail da mesma forma que à Pesquisa, ao Maps e ao YouTube, então a atividade em todos eles contribui para o que o Google sabe sobre você. Ela menciona estas categorias:

Categoria	Exemplos da política de privacidade do Google
Coisas que você cria ou fornece	Nome, senha, número de telefone, informações de pagamento e conteúdo, incluindo e-mails
Aplicativos, navegadores e dispositivos	Identificadores exclusivos, tipo de navegador e de dispositivo, sistema operacional, relatórios de falhas
Endereço IP e localização	Endereço IP(nova janela), GPS, dispositivos próximos e localização inferida com base na atividade
Atividade nos serviços do Google	Pesquisas, vídeos assistidos, atividade de compras e comunicações, dependendo das configurações

A partir de outubro de 2026, o marcador de privacidade da App Store do iOS para o aplicativo Gmail lista os dados que coleta como “Dados vinculados a você”, incluindo compras, localização aproximada, contatos, e-mails e outros conteúdos do usuário, histórico de pesquisa, IDs de usuário e de dispositivo e dados de publicidade.

Altere as configurações de privacidade do Google para pausar a Atividade na Web e em Apps, desativar anúncios personalizados no Meu Centro de Anúncios, interromper o rastreamento de localização e muito mais.

O Google usa dados do Gmail para anúncios?

O Google diz que não usa o conteúdo dos e-mails para direcionar anúncios. Isso parou em 2017, quando afirmou: “Conteúdo do Gmail para consumidores não será usado nem escaneado para qualquer personalização de anúncios.” A política de privacidade do Google agora afirma: “Não mostramos anúncios personalizados com base no conteúdo do Drive, do Gmail ou do Fotos.”

A caixa de entrada ainda faz parte do negócio de anúncios do Google de outras formas. Por exemplo, o Gmail exibe anúncios com base em “sua atividade on-line enquanto você está com a sessão iniciada no Google”, como pesquisas e histórico do YouTube. Em 2025, a autoridade francesa de proteção de dados multou o Google em €\u00a0325 milhões(nova janela), em parte por inserir anúncios entre e-mails nas guias Promoções e Social sem consentimento. O Google recorreu, e nenhuma decisão foi divulgada até outubro de 2026.

O Gmail usa os e-mails para treinar IA?

O Google diz que não. Em novembro de 2025, um porta-voz disse ao Tom’s Guide(nova janela): “Não usamos conteúdo do Gmail para treinar nosso modelo de IA Gemini.”

No entanto, se você permitir que o Gemini leia o Gmail, o conteúdo de e-mail que ele traz para um chat segue as regras do Gemini, nas quais o Google pode usar seus prompts e respostas para treinamento de IA enquanto a atividade do Gemini é salva. Chats que revisores humanos analisam são mantidos por até três anos.

As configurações de recursos inteligentes do Gmail alimentam o Smart Compose, o rastreamento de encomendas e os cartões de resumo. O Google diz que, se você as ativar, “também podemos processar seu Conteúdo e atividade do Workspace para melhorar esses recursos.” Desativar o Gemini no Gmail, porém, desativa outros recursos úteis com IA, como categorias da caixa de entrada e Respostas inteligentes.

Processos judiciais e violações de privacidade no Gmail

O Google já foi multado e processado repetidamente pela forma como lida com os dados dos usuários do Gmail. Seguem alguns exemplos:

• Em novembro de 2025, Thele v. Google(nova janela) alegou que o Google ativou o Gemini para Gmail, Chat e Meet sem consentimento. Um juiz rejeitou a ação em julho de 2026, com possibilidade de emenda, e uma petição emendada está pendente.
• Em setembro de 2025, a CNIL multou o Google em €\u00a0325 milhões(nova janela) por exibir anúncios entre e-mails nas guias Promoções e Social do Gmail sem consentimento, e por cookies definidos na criação da conta. A CNIL afirma que 53 milhões de pessoas viram os anúncios. O Google recorreu.
• Em julho de 2018, o Wall Street Journal informou(nova janela) que funcionários de aplicativos de e-mail de terceiros tinham lido mensagens de usuários do Gmail. O Google respondeu que “ninguém no Google lê o seu Gmail”, exceto com consentimento ou por motivos de segurança, e que os usuários concedem acesso a esses aplicativos. Mais tarde, em outubro, limitou o acesso à API do Gmail a aplicativos que “aprimoram diretamente a funcionalidade de e-mail”.
• Em 2013 e 2014, usuários processaram o Google pelo escaneamento de conteúdo de e-mails para direcionar anúncios(nova janela). A ação coletiva fracassou, e a maioria dos autores fez acordos individuais. O Google deixou de escanear conteúdo para anúncios em 2017.

Como tornar o Gmail mais seguro e privado

Essas etapas tornam a conta muito mais difícil de invadir e reduzem o que o Google coleta. Nenhuma delas impede o Google de acessar as mensagens.

1. Use uma chave de acesso ou chave de segurança. Configure uma na Conta do Google, em Segurança. As chaves de acesso resistem a phishing de um modo que senhas e códigos por SMS não resistem.
2. Ative a autenticação de dois fatores e prefira as solicitações do Google ou um aplicativo autenticador em vez de mensagens de texto.
3. Use uma senha única gerada por um gerenciador de senhas, para que um vazamento de outro site não consiga desbloquear seu Gmail.
4. Revise seus dispositivos e encerre a sessão de qualquer um que não reconheça.
5. Remova aplicativos de terceiros que você não usa mais da lista de aplicativos conectados à sua conta, especialmente qualquer um com permissão para ler seu e-mail.
6. Execute a verificação de segurança e adicione um telefone de recuperação e um e-mail que você controle.
7. Desative os recursos Smart nas configurações do Gmail se não quiser que o Google processe seu e-mail para o Smart Compose, cartões de resumo e recursos entre produtos, e revise seus controles de atividade nas configurações de Dados e privacidade da sua Conta do Google.
8. Aprenda a identificar phishing. Desconfie de alertas urgentes de segurança, mesmo os que parecem vir do Google.
9. Não envie informações altamente sensíveis. Use um e-mail privado e seguro para isso.

Uma alternativa mais privada e segura ao Gmail

Se você quer uma alternativa mais segura e privada ao Gmail, procure um serviço com criptografia de ponta a ponta e criptografia de acesso zero integrada. O Proton Mail oferece as duas, além dos recursos do dia a dia que você espera do Gmail, nos planos gratuitos e pagos.

Os e-mails que você envia para outros usuários do Proton ou para destinatários que usam PGP são criptografados de ponta a ponta, incluindo o corpo da mensagem e os anexos. Para outros casos, você pode adicionar proteção por senha. Assim, somente você e a pessoa com quem você está escrevendo podem ler esses e-mails. No improvável evento de uma violação dos servidores da Proton, o conteúdo dos seus e-mails continua protegido. O mesmo vale se a Proton receber uma ordem judicial.

A Proton é financiada por assinaturas, não por dados sobre você. Nunca mostramos anúncios, não rastreamos você, não vendemos seus dados nem os usamos para treinar IA. Como todos os aplicativos da Proton, o Proton Mail é protegido pelas leis de privacidade suíças, entre as mais rigorosas do mundo.

Você pode migrar do Google com o Easy Switch. Ele importa suas mensagens, contatos e calendários do Gmail, encaminha novos e-mails para o Proton Mail e permite que você continue enviando e-mails pelo seu endereço do Gmail enquanto se acostuma com sua nova caixa de entrada. Quando estiver pronto para deixar o Google de vez, você pode fazer a migração completa e excluir sua conta do Gmail, um passo importante rumo a uma vida sem o Google.