Quando um site se recusa a carregar em um país e carrega normalmente em outro, a suposição comum é censura. Muitas vezes não é nada disso. O bloqueio foi colocado ali pelo próprio site, ou pela rede em que ele opera, decidindo a quem vai atender.
Essa prática, o geo-blocking do lado do servidor, é comum, raramente explicada para a pessoa bloqueada, e surpreendentemente difícil de medir. Vários estudos revisados por pares mediram isso mesmo assim. Juntos, eles dão uma resposta clara sobre quais países são mais bloqueados, e uma mais interessante sobre quem está fazendo isso.
Principais conclusões
- Na maior medição global, Síria, Irã, Sudão e Cuba foram geo-bloqueados muito mais do que qualquer outro país, todos sob sanções dos EUA na época. O país mediano foi bloqueado por 3 de 8.000 sites populares; a Síria, por 71.
- A maior parte do bloqueio passa por um punhado de provedores de infraestrutura. Nesse estudo, 40,7% dos clientes do Google App Engine entre os principais sites bloqueavam ao menos um país, contra 3,1% dos clientes do Cloudflare e 1,4% dos clientes do Amazon CloudFront.
- Após a invasão da Ucrânia em 2022, 444 sites estrangeiros geo-bloquearam usuários russos, incluindo sites de notícias e universidades dos EUA.
- Uma medição de 2023 feita a partir de Cuba encontrou 546 domínios bloqueados, e 88% deles não davam nenhum motivo. Apenas 9 usavam o código de status HTTP criado para bloqueios legais.
- O ranking global de países data de 2018. Nenhum estudo desde então repetiu isso mundialmente, e as sanções dos EUA à Síria foram revogadas em julho de 2025.
Geo-blocking não é censura
A distinção importa, porque os dois são causados por agentes diferentes e corrigidos por pessoas diferentes.
| Geo-blocking | Censura | |
|---|---|---|
| Quem age | O site, ou seu provedor de hospedagem ou CDN | Um governo, geralmente através de redes locais |
| Onde acontece | No servidor | Dentro do país do visitante |
| Sinal típico | Uma página 403, um aviso, ou uma recusa silenciosa | Manipulação de DNS, resets de conexão, endereços bloqueados |
| Motivo usual | Sanções, licenciamento, fraude, custo, risco legal | Controle político ou legal da informação |
Os dois podem parecer idênticos para um visitante, e contaminam as medições um do outro. O estudo de 2018 abaixo constatou que 9% dos domínios em uma lista de teste de censura amplamente usada retornaram uma página de bloqueio de CDN em ao menos um país, o que significa que algumas descobertas de “censura” eram na verdade o site dizendo não.
Os países mais bloqueados
O único ranking mundial vem de “403 Forbidden: A Global View of CDN Geoblocking”, apresentado na ACM Internet Measurement Conference em 2018 por uma equipe liderada pela University of Michigan, com a Cloudflare contribuindo com seus próprios dados de regras de clientes. Eles carregaram 8.000 dos 10.000 principais sites do Alexa a partir de pontos de observação em 177 países, usando conexões residenciais, e contaram páginas de bloqueio explícitas.
| País | Sites do top 10 mil que o geo-bloqueiam |
|---|---|
| Síria | 71 |
| Irã | 67 |
| Sudão | 66 |
| Cuba | 66 |
| China | 11 |
| Nigéria | 11 |
| Rússia | 10 |
| Brasil | 8 |
| Iraque | 6 |
| Paquistão | 5 |
O país mediano foi bloqueado por 3 sites. Os autores colocam isso diretamente: os quatro primeiros foram Síria, Irã, Sudão e Cuba, “por uma margem ampla”, e todos os quatro eram sancionados pelos Estados Unidos. O bloqueio se concentrava em sites de finanças e bancos, consistente com conformidade a sanções.
Uma amostra maior de clientes de CDN entre o milhão de sites principais repetiu o padrão, com o Irã bloqueado por 178 domínios, o Sudão por 169, a Síria por 168 e Cuba por 165, seguidos pela China com 34, a Rússia com 28 e a Ucrânia com 22. Dos 177 países testados, apenas as Seychelles não sofreram nenhum bloqueio.
Dois avisos antes de citar essa tabela. A medição é de 2018, e nada desde então repetiu isso mundialmente. E um dos quatro primeiros mudou de status: as sanções dos EUA à Síria foram revogadas com efeito a partir de 1º de julho de 2025. Quantos sites removeram desde então suas regras para a Síria não foi medido.
Quem faz o bloqueio
A camada de infraestrutura
Muito poucos sites constroem o geo-blocking por conta própria. Eles o ativam em seu CDN ou plataforma de nuvem, e é por isso que os mesmos poucos provedores dominam todos os estudos. Entre os 10.000 principais sites na medição de 2018:
| Provedor | Clientes que bloqueiam ao menos um país |
|---|---|
| Google App Engine | 40,7% |
| Cloudflare | 3,1% |
| Amazon CloudFront | 1,4% |
O número do App Engine foi impulsionado por sanções: os autores relatam que ele bloqueava o mesmo conjunto sancionado entre seus clientes, em vez de cada site escolher individualmente. Em outros casos, o bloqueio é uma decisão do cliente. A documentação da Amazon descreve as listas de permissão e de bloqueio do CloudFront e afirma que um visitante bloqueado recebe um 403 Forbidden. A documentação da Cloudflare diz que o bloqueio por país está disponível nos planos Enterprise, e que outros clientes podem bloquear países com regras personalizadas de WAF.
Os próprios dados de regras da Cloudflare, publicados no mesmo artigo referentes a julho de 2018, mostram o que os clientes escolheram bloquear. Em todas as zonas, Rússia e China foram bloqueadas cada uma por 0,22%, na frente da Coreia do Norte com 0,20% e do Irã com 0,18%. Entre os clientes Enterprise a ordem mudou completamente: Coreia do Norte 16,50%, Irã 15,57%, Síria 13,74%, Rússia 4,90%. Organizações grandes bloqueiam por sanções; as menores bloqueiam onde veem abuso.
Plataformas sob controles comerciais
Alguns serviços declaram suas restrições abertamente. A página de controles comerciais do GitHub diz que seus serviços não estão disponíveis para desenvolvedores na Coreia do Norte, e que a empresa possui uma licença do Office of Foreign Assets Control do Tesouro dos EUA para fornecer serviços de nuvem a desenvolvedores no Irã. Políticas assim mudam com as sanções, então a própria página, e não um resumo secundário, é a única fonte confiável.
A Rússia depois de 2022
Um estudo apresentado na USENIX Security 2023 mediu a rede nas semanas após a invasão da Ucrânia, com medições diárias de 14 de março a 22 de abril de 2022 e um escaneamento completo em 10 de maio de 2022.
Sites estrangeiros se moveram rapidamente. Os autores encontraram 444 sites estrangeiros geo-bloqueando usuários russos. No nível HTTP, 286 de 8.763 domínios populares (3,26%) retornaram assinaturas de bloqueio para todos os pontos de observação russos, e a Rússia foi geo-bloqueada por significativamente mais domínios do que qualquer outro país testado. A maior parte desse bloqueio passava pela Cloudflare, 87 domínios, e pela Akamai, 57. Entre os bloqueadores havia 42 domínios de notícias e mídia, a maioria sediada nos EUA, nacionais e locais.
O bloqueio também ocorreu no sentido contrário. Mais de 45% dos domínios governamentais russos testados bloqueavam o acesso de países diferentes da Rússia e do Cazaquistão.
Cuba, por dentro
O estudo de país mais recente veio de um único ponto de observação residencial em Cuba, publicado na USENIX Security 2024. Entre 11 e 22 de maio de 2023, os pesquisadores testaram 10.093 domínios populares e encontraram 546 geo-bloqueando visitantes cubanos, incluindo serviços conhecidos de tecnologia, negócios e finanças.
| Como o bloqueio se manifestou | Domínios |
|---|---|
| Resposta HTTP com página de bloqueio | 395 |
dos quais 403 Forbidden | 347 |
dos quais 200 OK, uma página de bloqueio apresentada como sucesso | 32 |
dos quais 451 Unavailable For Legal Reasons | 9 |
| Falhou no estágio de DNS, TCP, TLS ou HTTP sem servir uma página | o restante, alguns domínios em mais de um estágio |
A descoberta mais relevante para quem é afetado: 88% dos domínios bloqueados não davam nenhum aviso informativo sobre o motivo. E o status HTTP 451, criado especificamente para sinalizar um bloqueio legal, permaneceu raro. O estudo de 2018 o viu apenas duas vezes em toda a sua execução.
A UE: bloqueio dentro de um único mercado
A Europa oferece um quadro diferente, porque legislou contra o geo-blocking entre estados-membros. O Regulamento de Geo-blocking se aplica desde dezembro de 2018. A revisão de curto prazo da Comissão em 2020 constatou que apenas 0,2% de cerca de 9.000 sites pesquisados bloqueavam o acesso, e que as exigências de localização caíram de 26,9% para 14%. O conteúdo audiovisual está excluído do Regulamento, e isso se reflete nos dados: a mesma revisão constatou que um consumidor europeu conseguia acessar, em média, 14% dos filmes disponíveis online na UE, variando de 1,3% na Grécia a 43,1% na Alemanha. A Comissão abriu uma avaliação formal do Regulamento em fevereiro de 2025.
O bloqueio também chegou à Europa de fora. Quando o GDPR entrou em vigor em 2018, vários sites de notícias dos EUA bloquearam visitantes da UE em vez de mudar suas práticas de dados. Um estudo revisado por pares sobre quatro deles, o Los Angeles Times, o Chicago Tribune, o USA Today e a Us Weekly, constatou que os visitantes mensais únicos da UE caíram entre 82% e 96% durante os bloqueios, e que o público não voltou totalmente depois que o acesso foi restaurado. A mesma questão agora se repete com as consent walls, que variam fortemente por país.
Por que isso é difícil de medir
Todo estudo acima diz a mesma coisa sobre o método: não se pode medir geo-blocking a partir de um único lugar.
- É preciso um ponto de observação dentro de cada país. Um bloqueio direcionado à Rússia é invisível a partir da Alemanha.
- Os códigos de status mentem. Páginas de bloqueio servidas como
200 OKpassam por qualquer verificação que olhe apenas para o status. - Falhas silenciosas parecem redes ruins. Um timeout de um país bloqueado e um timeout de um país com rede lenta são o mesmo evento até você comparar com um controle.
- Censura e geo-blocking se sobrepõem. Os pesquisadores os separam pelo ponto do caminho em que a falha acontece, e ainda assim marcam os casos ambíguos.
A medição também traz um peso ético. Os pesquisadores de 2018, testando através de conexões residenciais, se abstiveram de investigar categorias de sites de alto risco para proteger as pessoas cujas conexões carregavam o tráfego. Essa cautela pertence a qualquer projeto de medição sério, e o mesmo raciocínio percorre o argumento para registrar onde os dados da web foram observados.
O que equipes internacionais devem tirar disso
Se você publica, vende ou opera através de fronteiras, a pergunta é menos “quais países são bloqueados” e mais “o que meu público em cada mercado realmente recebe”.
- Teste suas próprias propriedades a partir de cada mercado que você atende. Regras de CDN e WAF são fáceis de adicionar e fáceis de esquecer. Uma regra adicionada para um pico de abuso três anos atrás pode ainda estar recusando um país inteiro.
- Verifique a página, não só o status. Procure por texto de bloqueio no corpo da resposta, além do código.
- Se você precisa bloquear, diga por quê. Um aviso claro, e idealmente um
451quando o motivo for legal, transforma um mistério em uma resposta. - Registre o ponto de observação junto com qualquer resultado que você publique.
Para o primeiro ponto, uma requisição direcionada a um país através do gateway residencial da Shifter mostra o que um visitante naquele mercado recebe, sem mudar mais nada no seu teste:
curl -s -o /dev/null -w "%{http_code}\n" \
-x customer-USERNAME-country-br:PASSWORD@p.shifter.io:443 \
https://www.example.com/Os códigos de país são ISO 3166-1 alpha-2. A documentação de geo-targeting cobre segmentação por região, cidade e ASN, e como testar seus próprios lançamentos dessa forma se estende a verificações de geo-compliance.
Um ponto não é negociável. O geo-blocking para conformidade com sanções é uma obrigação legal da empresa que o aplica, e proxies residenciais não devem ser usados para contornar isso, nem para contornar restrições de licenciamento, de lugar nenhum. O uso descrito aqui é a observação das suas próprias propriedades e a medição pública, e se você não tiver certeza de onde fica essa linha para a sua situação, busque orientação jurídica antes de testar.
Conclusão
Os países mais bloqueados são os que estão sob sanções, e o bloqueio acontece principalmente porque os provedores de infraestrutura o tornam uma simples opção a marcar. Em torno desse núcleo há uma camada maior e mais difusa: sites bloqueando a Rússia depois de 2022, editoras dos EUA bloqueando a Europa depois do GDPR, empresas menores bloqueando onde viram abuso. Quase nada disso diz ao visitante bloqueado o motivo.
A maior lacuna é a própria informação. O único ranking mundial de países tem oito anos, e um de seus quatro primeiros já não está mais sob sanções dos EUA. Quem precisa de uma resposta atual para seus próprios mercados precisa medir isso, de dentro desses mercados.
Fontes e referências
- McDonald, Bernhard, Valenta, VanderSloot, Scott, Sullivan, Halderman e Ensafi, 403 Forbidden: A Global View of CDN Geoblocking, ACM Internet Measurement Conference 2018. Contagens por país, taxas por provedor e dados de regras da Cloudflare.
- Ramesh, Sundara Raman, Virkud, Dirksen, Huremagic, Fifield, Rodenburg, Hynes, Madory e Ensafi, Network Responses to Russia’s Invasion of Ukraine in 2022: A Cautionary Tale for Internet Freedom, USENIX Security 2023. Medido de março a maio de 2022.
- Ablove, Chandrashekaran, Le, Sundara Raman, Ramesh, Oppenheimer e Ensafi, Digital Discrimination of Users in Sanctioned States: The Case of the Cuba Embargo, USENIX Security 2024. Medido entre 11 e 22 de maio de 2023.
- US Department of the Treasury, Office of Foreign Assets Control, Recent actions, 30 June 2025. Revogação das sanções à Síria com efeito a partir de 1º de julho de 2025.
- Amazon Web Services, Restrict the geographic distribution of your content. Restrições geográficas do CloudFront.
- Cloudflare, IP Access rules. Bloqueio por país conforme o plano.
- GitHub, GitHub and Trade Controls.
- European Commission, Short-term review of the Geo-blocking Regulation, 30 November 2020, e evaluation launch, 11 February 2025.
- Thurman, Sly, Fletcher e Wilczek, The International Communication Gazette, resumido pelo Reuters Institute: Many EU visitors shut out of US sites in response to GDPR never came back, 19 July 2022.