DNS sobre HTTPS e TLS: Configuração em Todos os Navegadores e Sistemas Operacionais

Antes que seu navegador possa carregar um site, ele pede a um resolvedor DNS para transformar um domínio como example.com em um endereço IP. Tradicionalmente, essa consulta viaja em texto simples, então seu ISP, operador de rede ou qualquer um que esteja monitorando a conexão pode ler todos os domínios que você visita — mesmo quando a página em si é HTTPS. O DNS é uma das maiores vazamentos de privacidade que restam na navegação comum.

DNS sobre HTTPS (DoH) e DNS sobre TLS (DoT) corrigem isso criptografando a consulta entre você e o resolvedor. A diferença prática: DoH envia DNS dentro do HTTPS normal na porta 443, então se mistura com o tráfego da web e é difícil de bloquear ou distinguir; DoT usa uma porta dedicada (853), que é mais limpa arquitetonicamente, mas mais fácil para uma rede detectar e bloquear. Os navegadores preferem DoH; os sistemas operacionais suportam ambos. Você pode testar o que seu resolvedor vê na ferramenta DNS.

DNS Encriptado oculta quais domínios você consulta do seu ISP e de observadores na rede, e impede a manipulação baseada em DNS. Isso é uma verdadeira vitória em privacidade e integridade. Mas fique claro sobre seus limites: seu resolvedor escolhido ainda vê suas consultas, então você está transferindo a confiança do seu ISP para esse provedor — escolha um com uma política de privacidade forte. Também não oculta o IP de destino ao qual você se conecta, e o TLS SNI ainda pode revelar o nome do host, a menos que o Encrypted Client Hello esteja em uso.

Como isso se relaciona a uma VPN: uma VPN corretamente configurada já roteia seu DNS através de seu próprio resolvedor dentro do túnel criptografado, então seu ISP não vê nem seu DNS nem seu tráfego. É por isso que verificar se há um vazamento de DNS é importante — se as consultas escaparem do túnel para o resolvedor do seu ISP, a criptografia do restante do seu tráfego é comprometida. DoH/DoT e uma VPN são complementares: DNS criptografado protege consultas em qualquer rede; uma VPN protege toda a conexão e seu DNS juntos.