Cliente Shadowsocks: como escolher, configurar e usar em 2026

Um cliente Shadowsocks é o aplicativo no seu dispositivo que se conecta a um servidor Shadowsocks e passa o seu tráfego por um túnel criptografado. Você precisa de um sempre que alguém lhe entrega um link ss://, um QR code ou um conjunto de dados de servidor. E a escolha do app pesa mais do que parece: metade dos clientes que os guias antigos recomendam não recebe atualização há anos, e alguns nem conseguem conversar com servidores modernos.

Para a maioria das pessoas, a resposta é curta. O Outline é a opção gratuita mais fácil em qualquer plataforma, o shadowsocks-android dá mais controle no Android e o sslocal do shadowsocks-rust atende Linux, servidores e roteadores. A seguir, vemos quais clientes continuam vivos em 2026, desmontamos um link ss://, configuramos cada plataforma e, por fim, confirmamos que o tráfego realmente sai pelo servidor, porque um ícone verde de “conectado” sozinho não prova isso.

O que um cliente Shadowsocks realmente faz#

O Shadowsocks é um protocolo de proxy criptografado. Ele surgiu em 2012 como forma de acessar sites indisponíveis em algumas regiões e hoje é um dos protocolos mais usados em redes restritas. A configuração sempre tem duas metades: um servidor numa rede sem restrições e um cliente no seu dispositivo.

O cliente cuida de três tarefas:

1. Ele abre um proxy local. O cliente fica escutando na sua própria máquina, normalmente como um proxy SOCKS5 em 127.0.0.1:1080. Alguns clientes também abrem um proxy HTTP ou uma interface VPN para o sistema inteiro.
2. Ele criptografa e encaminha. Cada conexão que os seus apps enviam a esse proxy local é criptografada com a chave compartilhada e repassada ao servidor Shadowsocks.
3. Ele decide o que passa pelo túnel. Dependendo do modo, pode ser todo o tráfego, só o tráfego que corresponde a regras ou apenas os apps que você direcionar para ele.

Do outro lado, o servidor descriptografa o tráfego e abre a conexão real com o site. O site vê o endereço IP do servidor em vez do seu, enquanto o seu provedor de internet vê apenas um fluxo criptografado para um único servidor, sem nenhum handshake de proxy visível.

Browser / app
   │  plain SOCKS5 or HTTP (only on your device)
   ▼
Shadowsocks client  127.0.0.1:1080
   │  encrypted Shadowsocks stream
   ▼
Shadowsocks server  (your VPS or provider)
   │  normal HTTPS
   ▼
Website

Duas suposições comuns sobre o Shadowsocks estão erradas:

• Não é um proxy SOCKS5. O cliente fala SOCKS5 com os seus apps, mas a ligação com o servidor usa outro protocolo, criptografado. Por isso você não consegue apontar um cliente Shadowsocks para um servidor SOCKS5 comum, nem o contrário.
• Por padrão, não é uma VPN completa. No modo básico, só os apps que usam o proxy local passam pelo túnel, e os apps que ignoram as configurações de proxy saem direto. Para cobrir o dispositivo inteiro, você muda o cliente para o modo VPN (TUN).

Melhores clientes Shadowsocks em 2026#

Muitas listas ainda recomendam clientes abandonados há muito tempo, então verificamos o histórico de versões de cada um em outubro de 2026. A tabela mostra em que pé cada um está.

Clientes oficiais e de protocolo único#

Cliente	Plataformas	Cifras Shadowsocks 2022	Plugins	Situação em 2026
Outline Client	Windows, macOS, Linux, Android, iOS, ChromeOS	Não, só cifras clássicas	Não	Em desenvolvimento ativo; mantido pela organização sem fins lucrativos Outline Foundation desde janeiro de 2026
shadowsocks-android	Android	Sim	Sim, como apps separados	Mantido no GitHub (v5.3.4); a página no Google Play não é atualizada desde 2021
ShadowsocksX-NG	macOS	Não	Sim	Última versão v1.10.3, de outubro de 2024; roda nativamente em Apple Silicon
shadowsocks-rust (sslocal)	Linux, macOS, Windows, roteadores	Sim	Sim	A implementação de referência, com lançamentos regulares (v1.25.0)
Shadowsocks for Windows	Windows	Não	Sim	Ainda funciona, mas a última versão (4.4.1.0) é de fevereiro de 2022
shadowsocks-libev, hoje shadowsocks-c	Linux, roteadores	Ainda não em uma versão lançada	Sim	Revivido com novo nome; a v3.3.6 saiu em fevereiro de 2026
shadowsocks-qt5	Linux, Windows	Não	Não	Abandonado; use o sslocal ou um app multiprotocolo no lugar dele
shadowsocks em Python (pip)	Qualquer	Não	Não	Abandonado há anos, então não use
ShadowsocksR (SSR)	Várias	Não	Não	Um fork morto com protocolo próprio, que servidores modernos não aceitam

Clientes multiprotocolo que também falam Shadowsocks#

Se houver chance de você precisar mais tarde de VLESS, Trojan ou Hysteria, um único app dá conta de todos eles junto com o Shadowsocks:

• Desktop: Clash Verge Rev, construído sobre o núcleo mihomo, e v2rayN.
• Android: NekoBox, Hiddify e o app oficial do sing-box. O NekoBox é atualizado devagar e a página dele no Google Play é mantida por terceiros, então instale pelo GitHub.
• iOS: o app gratuito sing-box MT, indicado na documentação do sing-box, e o Potatso, que continua recebendo atualizações na App Store, embora o antigo repositório de código aberto esteja abandonado. Apps pagos como Shadowrocket, Stash e Surge acrescentam roteamento baseado em regras.

O sing-box e o mihomo suportam as cifras do Shadowsocks 2022. Eles também já trazem os plugins mais comuns embutidos, então você não precisa instalá-los como programas separados.

Escolhas rápidas#

• O mais fácil em qualquer dispositivo: Outline. Você cola uma chave e aperta Connect.
• Android com controle total: shadowsocks-android.
• Mac: ShadowsocksX-NG, ou Clash Verge Rev se você quiser regras de roteamento e cifras mais novas.
• Linux, servidores e roteadores: sslocal do shadowsocks-rust.
• iPhone: Outline de graça, ou um app baseado em regras se você precisar de roteamento por site, algo que o Outline não oferece.

O que você precisa do servidor#

Todo cliente Shadowsocks precisa dos mesmos quatro valores, seja digitando, seja importando:

Campo	Exemplo	Observações
Servidor	203.0.113.10	Endereço IP ou nome de domínio
Porta	8388	Qualquer porta em que o servidor escute; 443 é comum
Senha / chave	Secret0	Precisa ser idêntica à do servidor
Cifra (método)	chacha20-ietf-poly1305	Precisa ser idêntica à do servidor

Uma cifra ou senha errada não gera um erro claro. O cliente conecta e depois nada carrega, e é por isso que esse é, de longe, o problema de configuração mais comum.

Como ler um link ss://#

Provedores e painéis de servidor costumam entregar os quatro valores num único link no formato SIP002, muitas vezes acompanhado de um QR code:

ss://Y2hhY2hhMjAtaWV0Zi1wb2x5MTMwNTpTZWNyZXQw@203.0.113.10:8388#Frankfurt

Parte	Significado
ss://	O esquema que todo cliente Shadowsocks reconhece
Y2hhY2hh…	A cifra e a senha, chacha20-ietf-poly1305:Secret0, codificadas em Base64 seguro para URL
@203.0.113.10:8388	Endereço e porta do servidor
#Frankfurt	Um rótulo exibido no app, que não afeta a conexão

Para conferir o que você recebeu, decodifique a parte do meio com echo Y2hhY2hh… | base64 -d. Links para cifras do Shadowsocks 2022 têm outra cara, porque nesse caso a especificação proíbe Base64: a cifra e a chave aparecem em texto puro, com os caracteres especiais em percent-encoding. Se o servidor usa um plugin, o link ganha um parâmetro /?plugin= depois da porta.

Você também pode topar com outros dois formatos que distribuem servidores por meio de uma URL:

• URLs de assinatura SIP008. É um link HTTPS que retorna uma lista de servidores em JSON. O cliente baixa essa lista de novo de tempos em tempos (por padrão, o shadowsocks-rust faz isso a cada hora), então o provedor pode trocar os servidores sem mandar links novos para você.
• Chaves ssconf:// do Outline. São as chaves de acesso dinâmicas do Outline. O app troca ssconf:// por https:// e busca nesse endereço os dados atuais do servidor.

Trate qualquer um deles como uma senha, já que quem tiver o link pode usar o seu servidor.

Qual cifra usar#

Cifra	Família	Usar?
2022-blake3-aes-128-gcm, 2022-blake3-aes-256-gcm, 2022-blake3-chacha20-poly1305	Shadowsocks 2022	Sim, se cliente e servidor suportarem. A proteção contra replay já vem embutida.
chacha20-ietf-poly1305	AEAD clássica	Sim. Todo cliente compatível com a especificação precisa suportá-la, e ela é a opção mais rápida em celulares e roteadores.
aes-256-gcm, aes-128-gcm	AEAD clássica	Sim. São as mais rápidas em PCs com AES por hardware.
aes-256-cfb, aes-128-ctr, rc4-md5, salsa20 e outras cifras de fluxo	Legadas	Não. Elas não têm verificação de integridade, e o próprio projeto as considera completamente quebradas.

As cifras de fluxo não são um risco teórico. Um ataque de 2020 mostrou que alguém que gravou o seu tráfego conseguiria descriptografá-lo com a ajuda de um servidor que ainda usa uma cifra de fluxo com a mesma senha.

O Shadowsocks 2022 também muda o funcionamento das chaves, porque não aceita uma senha qualquer. A chave precisa ser formada por bytes aleatórios em Base64, com 16 bytes para 2022-blake3-aes-128-gcm e 32 bytes para as outras duas, então você a gera com openssl rand -base64 16 ou openssl rand -base64 32. O protocolo também verifica carimbos de tempo e trata como replay qualquer mensagem com mais de 30 segundos de diferença. Na prática, isso significa que um relógio do dispositivo meio minuto adiantado ou atrasado faz todas as conexões falharem.

Como configurar um cliente Shadowsocks#

Primeiro, copie o seu link ss://. Todos os clientes abaixo conseguem importá-lo, o que poupa você de digitar a cifra e a chave à mão.

Windows#

A opção mais simples é o Outline:

1. Baixe o Outline Client para Windows no site do Outline e instale.
2. Clique em Add server (adicionar servidor), cole o link ss:// ou a chave de acesso no campo Paste access key here e confirme.
3. Clique em Connect e aprove o aviso de rede na primeira vez. A partir daí, todo o tráfego passa pelo túnel.

A opção clássica é o Shadowsocks for Windows:

1. Baixe o ZIP mais recente na página de releases do projeto no GitHub e descompacte numa pasta que você vai manter.
2. Instale o .NET Framework 4.8 e o Visual C++ 2015 Redistributable (x86), caso o Windows ainda não tenha, e depois execute Shadowsocks.exe.
3. Clique com o botão direito no ícone de avião de papel na bandeja, abra Servers e escolha Import URL from Clipboard…, ou adicione o servidor manualmente em Edit Servers….
4. Em System Proxy, escolha PAC para mandar pelo túnel apenas os sites da lista, ou Global para mandar tudo.

macOS#

1. Baixe ShadowsocksX-NG.dmg na página de releases do GitHub e arraste o app para a pasta Aplicativos. Se o macOS se recusar a abri-lo na primeira vez, libere a abertura em Ajustes do Sistema → Privacidade e Segurança.
2. No ícone da barra de menus, escolha Import Server URLs… ou Scan QR Code From Screen. Você também pode inserir os valores em Server Preferences….
3. Ative o Shadowsocks e escolha um modo: Auto Mode By PAC, Global Mode ou Manual Mode, em que só os apps que você mesmo configurar usam o túnel.

Linux (e roteadores, servidores, Docker)#

No Linux, use o sslocal do shadowsocks-rust. Dá para instalá-lo pelo gerenciador de pacotes, com snap install shadowsocks-rust ou brew install shadowsocks-rust, ou baixar um binário pronto na página de releases.

O jeito mais rápido de começar é passar o link diretamente:

sslocal -b 127.0.0.1:1080 --server-url "ss://Y2hhY2hh...@203.0.113.10:8388"

Para uma configuração permanente, coloque os valores num arquivo de configuração:

{
  "server": "203.0.113.10",
  "server_port": 8388,
  "password": "Secret0",
  "method": "chacha20-ietf-poly1305",
  "local_address": "127.0.0.1",
  "local_port": 1080
}

sslocal -c config.json                    # SOCKS5 proxy on 127.0.0.1:1080
sslocal -c config.json --protocol http    # HTTP proxy instead

O pacote snap também traz um serviço sslocal-daemon, que você pode ativar com o systemd, e existe uma imagem Docker oficial, ghcr.io/shadowsocks/sslocal-rust.

Android#

1. Instale o shadowsocks-android pela página de releases no GitHub. A versão do Google Play ainda funciona, mas não é atualizada desde 2021.
2. Toque no ícone de adicionar perfil, no topo da tela, e escolha Scan QR code, Import from Clipboard ou Manual Settings.
3. Selecione o perfil, toque no botão redondo de conexão e aceite a solicitação de VPN.
4. Nas configurações do perfil, defina Route (por exemplo, Bypass LAN mantém os endereços locais fora do túnel). Se só alguns apps devem usar o túnel, ative Apps VPN mode e selecione-os.

iPhone e iPad#

1. Instale o Outline pela App Store.
2. Copie o link ss://. O Outline oferece adicioná-lo assim que você abre o app, ou você pode tocar em Add server e colar.
3. Toque em Connect e permita a configuração de VPN.

Apps baseados em regras, como Shadowrocket ou Potatso, funcionam do mesmo jeito: você adiciona um servidor colando o link ou lendo o QR code e depois o ativa. A diferença é que eles conseguem mandar pelo túnel só os sites escolhidos, enquanto o Outline sempre passa tudo pelo túnel.

Modos de roteamento: o que realmente passa pelo túnel#

O modo define qual tráfego usa o Shadowsocks, e escolher o modo errado é o segundo motivo mais comum para um cliente “funcionando” parecer não fazer nada.

Modo	O que passa pelo túnel	Indicado para
Manual	Só os apps que você aponta para 127.0.0.1:1080	Scripts, um único perfil de navegador, testes
Global (proxy do sistema)	Todo app que respeita a configuração de proxy do sistema	Navegar com o navegador inteiro no túnel
PAC / Auto / regras	Só os domínios de uma lista, enquanto todo o resto vai direto	Manter os sites locais rápidos enquanto os estrangeiros usam o túnel
VPN / TUN	Todo o tráfego do dispositivo, inclusive UDP e apps que ignoram as configurações de proxy	Jogos, mensageiros, celulares e tudo o que “não enxerga” o proxy

O Outline e os apps móveis sempre trabalham em modo VPN. Os clientes clássicos de desktop usam o proxy do sistema por padrão, enquanto apps multiprotocolo como Clash Verge Rev e v2rayN permitem ativar um modo TUN.

Como usar o proxy local em apps específicos#

• Firefox: abra as Configurações, pesquise por “proxy” e clique em Configure proxy na seção Proxy settings. Escolha Manual proxy configuration, informe 127.0.0.1 e a porta 1080 como SOCKS Host, selecione SOCKS v5 e confira se Proxy DNS when using SOCKS v5 está marcado. As versões recentes já vêm com essa opção marcada, e sem ela as consultas DNS passam por fora do túnel.
• Chrome e Edge: eles seguem o proxy do sistema. Para passar só um navegador pelo túnel, inicie-o com --proxy-server="socks5://127.0.0.1:1080". Com SOCKS5, o Chrome sempre resolve os nomes de domínio do lado do proxy, então o DNS não vaza.
• Extensões de navegador: um alternador de proxy permite mandar só os sites escolhidos por 127.0.0.1:1080 e mudar as regras com um clique. O Proxy SwitchyOmega original não funciona mais no Chrome atual, e o fork mantido dele é o ZeroOmega. A Chrome Web Store também tem um falso “SwitchyOmega V3”, então confira quem publicou a extensão antes de instalar. No Firefox, verifique se a opção de DNS remoto da extensão está ativada.
• Linha de comando: use curl --socks5-hostname 127.0.0.1:1080 … ou defina ALL_PROXY=socks5h://127.0.0.1:1080. Muitas ferramentas só entendem proxies HTTP, e para elas você pode rodar o sslocal com --protocol http.
• Git: git config --global http.proxy socks5h://127.0.0.1:1080.

O h em socks5h faz diferença, porque diz à ferramenta para resolver os nomes de domínio pelo proxy em vez do seu DNS local.

Confira se realmente funciona#

Um ícone verde só significa que o cliente iniciou. Para ver por onde o seu tráfego sai, rode um comando:

curl --socks5-hostname 127.0.0.1:1080 https://ifconfig.me

Ele deve mostrar o endereço IP do seu servidor Shadowsocks, e não o seu. No modo VPN, rode só curl https://ifconfig.me, sem a flag de proxy. Depois disso, abra um teste de vazamento de DNS no navegador: os servidores DNS listados devem pertencer à rede do servidor ou a um resolvedor público, e não ao provedor de internet da sua casa.

Plugins e o quanto o Shadowsocks é detectável em 2026#

Plugins#

O Shadowsocks pode entregar o seu tráfego a um plugin, definido pelo padrão SIP003, que o embrulha em outro transporte. O plugin roda nas duas pontas, então o cliente precisa do mesmo plugin que o servidor, com configurações correspondentes (no v2ray-plugin, o mesmo host, o mesmo path e a mesma escolha quanto ao TLS). Só um plugin pode rodar por vez, e os plugins transportam apenas tráfego TCP.

Plugin	O que faz	Observações
v2ray-plugin	Embrulha o tráfego em WebSocket, opcionalmente com TLS	Pode rodar atrás de uma CDN ou de um servidor web comum na porta 443
kcptun	Envia o tráfego por um protocolo baseado em UDP, ajustado para links com perda de pacotes	Ajuda em conexões móveis instáveis ou de longa distância, ao custo de mais banda
simple-obfs	Disfarça o tráfego como HTTP simples ou TLS	Obsoleto; use o v2ray-plugin no lugar
Cloak	Faz o servidor parecer um site HTTPS comum para quem tenta sondá-lo	Exige uma configuração própria de cliente e servidor

O Outline e muitos apps de iOS não rodam plugins. Se o seu servidor usa um, escolha um cliente com “Sim” na coluna de plugins da tabela lá em cima ou um app multiprotocolo com o plugin embutido.

O Shadowsocks pode ser detectado?#

Sim, por filtros de rede bem equipados. O Shadowsocks não tem um handshake à vista: o primeiro pacote já carrega dados criptografados, então o fluxo inteiro parece uma sequência de bytes aleatórios. Esse design também é o seu ponto fraco. Em novembro de 2021, sistemas de filtragem em regiões com restrições começaram a derrubar conexões cujo primeiro pacote parece “aleatório demais”.

Uma equipe de pesquisadores de várias universidades dos EUA descreveu como isso funciona num artigo apresentado no USENIX Security 2023. O sistema aplica regras simples ao primeiro pacote de dados, como a proporção de caracteres imprimíveis, e verifica só cerca de um quarto das conexões. Os autores estimaram que, mesmo assim, ele poderia pegar cerca de 0,6% do tráfego normal da internet como dano colateral. Em resposta, o shadowsocks-rust adicionou prefixos de payload configuráveis no início de 2022, e o Outline incluiu no seu cliente uma opção parecida, chamada “prefix”, mais tarde naquele mesmo ano.

Veja o que isso significa na prática:

• Em redes comuns, como o Wi-Fi de hotéis e cafés, os firewalls de escritório ou numa viagem de trabalho, o Shadowsocks puro com uma cifra AEAD moderna ou do 2022 funciona bem.
• Em regiões com restrições, nenhum protocolo fica acessível para sempre. Protocolos que imitam tráfego TLS real, como VLESS com Reality ou Trojan, hoje costumam durar mais, e um cliente multiprotocolo permite trocar de protocolo sem reinstalar nada.
• Quanto à privacidade, lembre-se de que o Shadowsocks não tem sigilo futuro (forward secrecy), nem mesmo na edição 2022. Quem grava o seu tráfego e depois obtém a chave consegue descriptografá-lo, então troque as chaves de tempos em tempos e não espalhe os links por aí.

Solução de problemas#

Sintoma	Causa provável	Solução
Conectado, mas nenhum site carrega	A cifra ou a senha não bate com a do servidor	Importe de novo o link ss:// em vez de digitar os valores, ou decodifique-o para comparar
A conexão expira	Servidor fora do ar, porta errada ou porta fechada na sua rede	Verifique se o servidor está rodando e tente outra porta, como a 443
O navegador funciona, os outros apps não	Esses apps ignoram o proxy do sistema	Mude para o modo VPN/TUN ou ajuste a configuração de proxy do próprio app
Os sites ainda mostram o seu país real	O DNS ou o tráfego passa por fora do túnel	Use socks5h, marque “Proxy DNS” no Firefox ou mude para o modo VPN
Toda conexão falha com uma cifra 2022	A chave não é um Base64 válido de 16 ou 32 bytes, ou o relógio do dispositivo está mais de 30 segundos fora	Gere a chave de novo com openssl rand -base64 32 (16 para aes-128) e sincronize o relógio
Erro “Unsupported method”	O cliente não conhece a cifra	Atualize o cliente ou use chacha20-ietf-poly1305 nas duas pontas
Um servidor com plugin não conecta	O cliente não tem o plugin, ou as configurações dele diferem das do servidor	Instale o mesmo plugin com host, path e TLS correspondentes, ou use um cliente com suporte a plugins
Funciona por alguns minutos e depois para	Filtragem ou limitação de velocidade na rede	Tente um plugin, outra porta ou um protocolo baseado em TLS
Velocidade baixa	Servidor distante, VPS sobrecarregado ou link móvel com perda de pacotes	Escolha um servidor mais próximo e experimente o kcptun em conexões instáveis

Shadowsocks vs. proxy SOCKS5 vs. VPN#

Os três resolvem problemas diferentes, e é comum as pessoas escolherem o errado.

	Shadowsocks	Proxy SOCKS5	VPN (WireGuard, OpenVPN)
Criptografia até o servidor	Sim	Não; o tráfego e o login ficam visíveis na rede	Sim
Aparência na rede	Bytes aleatórios, sem handshake	Um handshake de proxy reconhecível	Um handshake de VPN reconhecível
O que cobre	Apps que usam o proxy local, ou o dispositivo inteiro no modo TUN	Os apps que você configurar	O dispositivo inteiro
Configuração típica	Um servidor privado dividido entre poucas pessoas	Muitos IPs de um provedor	Um servidor ou a rede de um provedor
Ideal para	Redes filtradas e regiões com restrições	Scraping, automação, trabalho com várias contas, testes por geolocalização	Privacidade no dia a dia em redes não confiáveis

O Shadowsocks oferece um túnel criptografado difícil de identificar, mas com um único endereço de saída. Coleta de dados e automação precisam do contrário, ou seja, de muitos IPs de saída sem o custo extra da criptografia, e para essa tarefa os proxies SOCKS5 são a escolha mais adequada. Se você só quer proteger um dispositivo inteiro no Wi-Fi público, uma VPN como a FineVPN é mais simples do que manter o seu próprio servidor Shadowsocks.