Toda vez que você visita um site, o seu dispositivo primeiro pergunta a um resolvedor DNS qual é o endereço IP dele. Tradicionalmente, essa pergunta trafega em texto puro, então o seu provedor de internet, o dono do Wi-Fi e qualquer pessoa na rede podem ver cada nome de site que você consulta, e até alterar a resposta. O DNS sobre HTTPS (DoH) criptografa essas consultas.
DoH vs DoT
| DNS sobre HTTPS (DoH) | DNS sobre TLS (DoT) | |
|---|---|---|
| Porta | 443, como o HTTPS comum | 853 |
| Parece | Tráfego web comum | Tráfego DNS reconhecível |
| Fácil de bloquear pelas redes | Difícil | Fácil |
| Comum em | Navegadores, Windows, iOS, macOS | Android ("DNS privado"), roteadores |
Os dois criptografam as consultas entre o seu dispositivo e o resolvedor. Nenhum deles esconde a sua atividade do próprio resolvedor.
Vantagens
- O seu provedor e a rede local não conseguem ler nem adulterar as suas consultas DNS.
- Protege você no Wi-Fi público contra redirecionamentos baseados em DNS.
- Pode contornar bloqueios simples baseados em DNS.
Desvantagens
- Você passa a confiar no resolvedor em vez do seu provedor. Escolha um com uma política de privacidade clara.
- Controles parentais e filtros corporativos que dependem do DNS podem parar de funcionar.
- O seu provedor ainda consegue ver os endereços IP a que você se conecta, e muitas vezes o nome do site no handshake TLS. Para ter privacidade completa, use uma VPN.
Como ativar
Navegadores
- Chrome / Edge: Configurações → Privacidade e segurança → Segurança → Usar DNS seguro → escolha um provedor.
- Firefox: Configurações → Privacidade e Segurança → DNS via HTTPS → Proteção aumentada ou Proteção máxima.
- Brave: Configurações → Privacidade e segurança → Segurança → Usar DNS seguro.
Sistemas operacionais
- Windows 11: Configurações → Rede e Internet → sua conexão → Atribuição de servidor DNS → Editar → Manual → defina o servidor DNS e escolha Somente criptografado (DNS por HTTPS).
- Android 9+: Configurações → Rede e Internet → DNS privado → digite um nome de host como
one.one.one.oneoudns.google. - iPhone, iPad e Mac: instale um perfil de DNS do resolvedor escolhido ou use o aplicativo dele.
Veja os endereços em servidores DNS públicos comparados.
DoH e VPNs
Se você usa uma VPN, o DNS da própria VPN normalmente cuida das consultas pelo túnel. Um navegador configurado com DoH envia as consultas para o resolvedor escolhido nele, o que é criptografado, mas fica fora da VPN. Leia sobre vazamentos de DNS para decidir qual configuração você prefere.
Perguntas frequentes
O DoH deixa a navegação mais lenta?
Normalmente, não de forma perceptível. A primeira consulta pode levar alguns milissegundos a mais; o cache esconde a maior parte da diferença.
O DoH esconde o meu endereço IP?
Não. Os sites continuam vendo o seu endereço IP. O DoH protege apenas as consultas DNS.
O meu provedor ainda consegue ver aonde eu vou com o DoH ativado?
Ele consegue ver os endereços IP a que você se conecta e, na maioria dos sites, o nome do site durante o handshake TLS. O Encrypted Client Hello (ECH) está fechando essa brecha em alguns sites.