Como Configurar DNS over HTTPS para Máxima Privacidade

Toda vez que você visita um site, seu dispositivo silenciosamente pergunta a um servidor DNS para traduzir um nome de domínio em um endereço IP. Tradicionalmente, essas consultas trafegam pela internet completamente sem criptografia — visíveis para seu provedor de internet, seu administrador de rede e qualquer um observando a conexão. DNS sobre HTTPS (DoH) resolve isso envolvendo essas consultas dentro do tráfego HTTPS padrão, fazendo com que pareçam idênticas à navegação web comum.

DoH previne vigilância, adulteração e censura no nível do DNS. Ele não esconde seu destino uma vez que a conexão começa — seu provedor ainda pode ver quais endereços IP você está conectando — mas fecha uma brecha real de privacidade que expõe seus hábitos de navegação antes mesmo de você alcançar um site.

Como Funciona o DNS sobre HTTPS

Consultas DNS padrão rodam sobre a porta UDP 53, completamente abertas. Qualquer um sentado entre você e o servidor DNS pode ler, registrar ou modificar essas requisições. DoH envolve as mesmas consultas dentro de conexões HTTPS na porta 443, a mesma porta que seu navegador usa para todo site criptografado.

Quando seu navegador ou sistema operacional envia uma consulta DNS sobre DoH, ela vai como uma requisição HTTPS POST ou GET normal para um resolvedor compatível com DoH. O resolvedor processa e envia de volta a resposta dentro do túnel criptografado. Para qualquer um observando a rede, é indistinguível de carregar uma página web.

Isso te traz três coisas concretas.

Privacidade: Suas consultas DNS são criptografadas entre seu dispositivo e o resolvedor. Seu provedor pode ver que você está falando com o endereço IP do resolvedor, mas não quais domínios você está consultando.

Integridade: HTTPS bloqueia ataques man-in-the-middle que poderiam redirecionar suas consultas ou injetar respostas falsas. Sem isso, um atacante na sua rede pode silenciosamente apontar seubanco.com para qualquer lugar que quiser.

Contorno: Como o tráfego DoH parece HTTPS comum, ele contorna bloqueios baseados em DNS que redes usam para filtragem e censura.

Escolhendo um Provedor DoH

Seu resolvedor DoH vê todo domínio que você consulta. Isso significa que escolher um provedor confiável importa tanto quanto habilitar a criptografia em primeiro lugar. Aqui estão as opções mais amplamente usadas:

O 1.1.1.1 da Cloudflare é rápido e não escreve consultas em disco, embora as processe em memória para detecção de ameaças. Quad9 opera da Suíça e tem uma linha mais dura sobre privacidade com zero logs de IP. NextDNS te dá controles granulares de filtragem mas significa confiar em uma empresa menor com seu tráfego DNS.

Pense nisso como escolher um app de mensagens. Signal, Telegram e Session cada um faz diferentes trocas entre recursos e privacidade. Signal minimiza coleta de metadados, Telegram armazena mensagens no servidor, e Session roteia através de uma rede onion. Seu provedor DoH funciona da mesma forma — a escolha determina quem pode ver seus metadados DNS e sob quais circunstâncias.

Configurando DoH em Diferentes Plataformas

Firefox

O Firefox tem suporte DoH integrado e usa Cloudflare por padrão nos EUA. Para habilitar ou trocar provedores:

1. Abra Configurações e pesquise por "DNS"
2. Role até "DNS sobre HTTPS"
3. Selecione "Proteção Máxima" para sempre usar DoH
4. Escolha seu provedor ou cole uma URL customizada

URLs DoH customizadas se parecem com isso:

https://dns.nextdns.io/abc123
https://dns.quad9.net/dns-query

Por padrão, o Firefox volta para o DNS do sistema se o resolvedor DoH cair. Para desabilitar esse fallback, abra about:config e defina network.trr.mode para 3. Nesse ponto, o DNS ou vai através do DoH ou não vai de jeito nenhum.

Chrome e Navegadores Chromium

O Chrome automaticamente atualiza para DoH quando detecta que seu provedor DNS do sistema suporta. Você também pode configurar manualmente:

1. Abra Configurações → Privacidade e segurança → Segurança
2. Role até "Usar DNS seguro"
3. Ative e escolha um provedor ou insira uma URL customizada

Edge, Brave e outros navegadores baseados em Chromium têm as mesmas configurações no mesmo lugar.

macOS e iOS

A Apple adicionou suporte DoH no macOS Big Sur e iOS 14, mas não há interface nativa para isso. Você instala um perfil de configuração do seu provedor DoH, ou cria um você mesmo.

Para configurar DoH em todo o sistema com Cloudflare no Mac:

curl -O https://developers.cloudflare.com/1.1.1.1/encrypted-dns/apple/Cloudflare.mobileconfig
open Cloudflare.mobileconfig

Depois de baixar, vá em Preferências do Sistema → Perfis e instale. No iOS, abra o arquivo .mobileconfig através do app Arquivos e siga os mesmos passos.

Windows 11

O Windows 11 suporta DoH nativamente, embora você precise configurar através das Configurações e PowerShell juntos. Comece em Configurações → Rede e internet → Ethernet ou Wi-Fi:

1. Clique em "Editar" ao lado de atribuição de servidor DNS
2. Mude para Manual e habilite IPv4
3. Insira o endereço IP do seu provedor DoH (ex: 1.1.1.1 para Cloudflare)

Então abra o PowerShell para registrar o template DoH para aquele endereço:

Get-DnsClientServerAddress
Set-DnsClientServerAddress -InterfaceAlias "Ethernet" -ServerAddresses ("1.1.1.1","1.0.0.1")
Set-DnsClientDohServerAddress -ServerAddress "1.1.1.1" -DohTemplate "https://cloudflare-dns.com/dns-query"

Substitua "Ethernet" pelo nome real da sua interface do primeiro comando.

Linux e Configurações Avançadas

No Linux, você tem três opções: configurar DoH por navegador, rodar um proxy DNS local, ou ir para todo o sistema. A abordagem mais flexível é o dnscrypt-proxy, que lida com cache e filtragem em cima do DoH.

Instale:

sudo apt install dnscrypt-proxy

Edite /etc/dnscrypt-proxy/dnscrypt-proxy.toml:

server_names = ['cloudflare', 'quad9-dnscrypt-ip4-filter-pri']
listen_addresses = ['127.0.0.1:53']
require_dnssec = true

Inicie e habilite o serviço:

sudo systemctl enable dnscrypt-proxy
sudo systemctl start dnscrypt-proxy

Então aponte seu resolvedor do sistema para ele editando /etc/resolv.conf:

nameserver 127.0.0.1

Se você está rodando uma configuração híbrida — digamos, Tor Browser para navegação sensível junto com apps clearnet regulares — configurar DoH na estação de trabalho previne vazamentos de DNS de qualquer coisa que não esteja indo através do Tor. O Tor Browser já roteia DNS dentro da rede Tor; são as outras aplicações que você precisa se preocupar.

Configuração no Nível do Roteador

Configure DoH no seu roteador e todo dispositivo na rede se beneficia automaticamente, sem necessidade de configuração por dispositivo. Isso requer firmware customizado como OpenWrt ou pfSense.

No OpenWrt, instale o pacote de proxy DNS:

opkg update
opkg install https-dns-proxy luci-app-https-dns-proxy

Configure através da interface web LuCI em Serviços → HTTPS DNS Proxy. Escolha seu provedor, então configure o servidor DHCP para anunciar 127.0.0.1 como servidor DNS para toda a rede.

Limitações do DoH que Vale Conhecer

DoH criptografa sua consulta DNS, mas não esconde a conexão que segue. Seu provedor ainda pode te ver conectando a 104.16.132.229 mesmo que nunca tenha te visto consultar example.com. Para sites atrás de CDNs ou hospedagem compartilhada, esse IP diz relativamente pouco. Para um site com endereço IP dedicado, diz exatamente onde você foi.

“Privacy is not something that I'm merely entitled to, it's an absolute prerequisite.”

— Marlon Brando

Server Name Indication (SNI) é outra brecha que vale conhecer. Durante um handshake TLS, seu navegador anuncia o hostname ao qual está conectando em texto plano. Encrypted Client Hello (ECH) resolve isso, mas a adoção ainda é limitada. Até que ECH seja mais amplamente implementado, DoH protege suas consultas DNS enquanto seus handshakes TLS ainda vazam nomes de domínio para qualquer um observando o fio.