DNS over HTTPS: Guia Completo de Privacidade e Segurança

Início » DNS over HTTPS: Guia Completo de Privacidade e Segurança

Você já parou para pensar que, mesmo quando navega em sites seguros, existe uma pequena brecha por onde alguém pode saber exatamente onde você está clicando? Pois é, a maioria de nós confia cegamente na conexão, mas o processo de tradução de nomes de sites para endereços de máquina acontece, geralmente, de forma totalmente aberta. É aí que entra o DNS over HTTPS (DoH), uma solução moderna que chega para fechar essa porta e dar um upgrade na nossa privacidade digital.

Basicamente, estamos falando de transformar a maneira como o seu dispositivo pergunta “onde fica este site?” para a rede. Em vez de gritar essa pergunta para todo mundo ouvir, o DoH coloca a solicitação dentro de um envelope criptografado, tornando a navegação muito mais discreta e protegendo o usuário contra olhares curiosos ou mal-intencionados que orbitam a conexão.

Entendendo o DNS e o funcionamento tradicional

Para compreender o salto tecnológico do DoH, primeiro precisamos lembrar que o DNS (Domain Name System) funciona como a lista telefônica da internet. Como nós humanos preferimos nomes como “google.com” em vez de sequências numéricas complexas como “142.250.190.46”, o DNS faz essa tradução em tempo real. No modelo clássico, essa consulta viaja via protocolo UDP em texto plano, o que significa que qualquer pessoa no caminho — do seu provedor de internet (ISP) ao administrador do Wi-Fi do café — consegue ler qual site você quer visitar.

O fluxo comum envolve várias etapas: tudo começa com o resolvedor DNS (geralmente do seu provedor), que pode consultar servidores raiz, servidores de TLD (como .com ou .org) e, finalmente, o servidor autoritativo do domínio. Para evitar que isso demore, as respostas ficam guardadas em caches locais, acelerando a carga em visitas repetidas. No entanto, essa simplicidade é a raiz do problema de segurança, deixando a porta aberta para ataques de spoofing de DNS ou envenenamento de cache, onde você é redirecionado para um site falso sem perceber.

O que é e como atua o DNS over HTTPS (DoH)

O DNS sobre HTTPS é a evolução que resolve esse gargalo. Em vez de enviar a consulta de forma aberta, ele a encapsula dentro do protocolo HTTPS, o mesmo usado para proteger compras online e senhas bancárias. Isso significa que a pergunta sobre o endereço do site é enviada através do porto 443, misturando-se ao tráfego web comum. Para quem olha de fora, é impossível distinguir se você está enviando uma mensagem ou apenas fazendo uma busca de DNS.

Essa tecnologia traz benefícios claros: além de blindar seus hábitos de navegação contra a vigilância dos provedores de internet, ela mitiga ataques de “homem no meio” (MitM), onde um hacker intercepta a conversa para roubar dados. Vale destacar que o DoH não é a única opção; existe também o DNS over TLS (DoT), que usa o porto 853. A diferença é que o DoT é mais fácil de ser bloqueado por firewalls por usar um porto exclusivo, enquanto o DoH é quase indetectável por estar fundido ao tráfego HTTPS.

Configurando o DoH nos principais navegadores e sistemas

A boa notícia é que você não precisa ser um expert em redes para ativar essa proteção. A maioria dos navegadores modernos já traz isso integrado. No Google Chrome, basta acessar as configurações de Privacidade e Segurança, ir até a seção de Segurança e ativar a opção “Usar DNS seguro”. Você pode deixar o Chrome escolher o provedor ou selecionar um de sua preferência.

Para quem usa Mozilla Firefox — que foi um dos pioneiros nessa jornada junto com a Cloudflare —, o caminho é pelas Opções, em Geral, descendo até a Configuração de Rede e marcando a caixa “Ativar DNS sobre HTTPS”. Já no Microsoft Edge, o processo é similar ao do Chrome, permitindo que você defina um resolvedor personalizado para garantir que suas consultas não passem pelo servidor padrão do seu ISP.

Integração em Sistemas Operacionais

Além dos browsers, o suporte agora chega ao núcleo do sistema. No Windows 11, você pode configurar o DoH diretamente nas propriedades de rede, editando a atribuição do servidor DNS e selecionando a opção “Somente criptografado”. No Windows 10, isso pode ser feito via registro do sistema ou configurações de rede em versões mais recentes. No macOS e iOS (a partir do 14), a Apple também integrou suporte a DNS criptografado, permitindo perfis de configuração para todo o sistema.

No mundo Linux, embora não venha ativado por padrão, existem ferramentas poderosas como o systemd-resolved ou o dnscrypt-proxy que permitem que qualquer distribuição utilize essa camada extra de sigilo. Já no Android, a função de “DNS Privado” implementa majoritariamente o DoT, mas apps específicos podem forçar o uso do DoH.

Principais provedores de DNS Seguro

Não adianta cifrar a pergunta se você a envia para alguém em quem não confia. Existem vários serviços públicos excelentes:

• Cloudflare (1.1.1.1): Famoso pela velocidade absurda e políticas rigorosas de não guardar logs de usuários.
• Google Public DNS (8.8.8.8): Extremamente estável e com infraestrutura global massiva.
• Quad9 (9.9.9.9): Focado em segurança, bloqueando automaticamente domínios maliciosos conhecidos.
• AdGuard: Uma ótima escolha para quem quer filtrar anúncios e rastreadores logo na raiz da conexão.
• OpenDNS (Cisco): Oferece controles parentais e filtragem personalizável.

DoH vs. VPN: Entenda a diferença crucial

Aqui é onde muita gente se confunde. DoH não substitui uma VPN. Para usar uma analogia: o DoH é como colocar a sua pergunta em um envelope lacrado, mas você ainda está caminhando pela rua pública. Já a VPN é como viajar dentro de um túnel privado e blindado desde a sua casa até o destino final. O DoH protege apenas a busca do nome, enquanto a VPN protege todo o tráfego de dados de todas as suas aplicações.

Um ponto fundamental é que o DoH não esconde o seu endereço IP real dos sites que você visita. Se você entrar em um portal usando apenas DoH, o dono do site ainda saberá de onde você vem. A VPN, por outro lado, mascara seu IP, fazendo você parecer estar em outra cidade ou país. O ideal, para quem busca o máximo de anonimato, é combinar as duas ferramentas, embora a maioria das VPNs de qualidade já gerencie o DNS internamente para evitar vazamentos (DNS leaks).

Impactos na Segurança Corporativa e Rede

Nem tudo são flores. Para administradores de redes e equipes de TI, o DoH pode ser um desafio. Ferramentas de monitoramento e IDS/IPS costumam analisar o tráfego DNS para barrar malware ou exfiltração de dados. Como o DoH esconde essas consultas, as ameaças podem passar despercebidas. Além disso, o filtragem de conteúdo feita por empresas (para bloquear sites impróprios, por exemplo) pode ser burlada facilmente por usuários que ativam o DoH no navegador.

Para mitigar isso, organizações costumam configurar suas próprias políticas de grupo (GPO no Windows) para forçar o uso de servidores DoH controlados internamente. Outra camada importante é o DNSSEC, que, embora não cifre os dados, garante que a resposta recebida seja autêntica e não tenha sido alterada no caminho.

Criptografar as resoluções de nomes via HTTPS é um passo essencial para quem deseja retomar parte da sua privacidade, evitando que provedores de internet criem perfis detalhados do comportamento do usuário. Embora não torne a pessoa invisível na rede — já que cookies e endereços IP continuam existindo —, essa tecnologia elimina a vulnerabilidade do texto plano, tornando a internet um lugar um pouco menos exposto e significativamente mais seguro contra ataques simples de interceptação.