DNS over HTTPS vs. DNS over TLS
DNS over HTTPS (DoH) e DNS over TLS (DoT) criptografam as trocas DNS entre um cliente e o resolvedor escolhido por ele. Ambos protegem esse trecho do caminho contra inspeção casual e modificação na rede. Nenhum dos dois torna as visitas a sites totalmente invisíveis ou anônimas.
Como as requisições trafegam
O DoH mapeia consultas e respostas DNS em trocas HTTPS; a RFC 8484 define o protocolo. O DoT transporta mensagens DNS dentro de uma conexão TLS dedicada, especificada pela RFC 7858. Ambos exigem suporte do cliente e do resolvedor, além da autenticação do resolvedor. Uma opção chamada “DNS seguro”, por si só, não informa qual provedor está selecionado nem se o dispositivo pode recorrer ao DNS comum.
O DoH costuma vir embutido no navegador ou na aplicação e pode usar a infraestrutura HTTPS comum. O DoT normalmente é configurado pelo sistema operacional ou pela rede e usa uma conexão DNS própria. Esses são padrões comuns, não garantias: o comportamento real depende do dispositivo, da aplicação e da política da rede. Nem um número de porta nem o nome de um protocolo provam que um serviço é confiável.
O que continua visível
O operador do resolvedor escolhido recebe as consultas necessárias para responder. O site de destino vê uma conexão, enquanto outros participantes da rede podem ver os endereços IP da conexão e outros metadados. O DNS criptografado não apaga o histórico do navegador, os cookies, os logins em contas nem as informações que você envia a um site. Para decisões de privacidade, examine todo o caminho da conexão e a política de dados do resolvedor.
O DNSSEC tem outra finalidade. Ele pode validar a origem e a integridade de dados DNS assinados quando a cadeia de confiança está configurada; ele não criptografa as consultas entre cliente e resolvedor. Um resolvedor DoH ou DoT também pode validar DNSSEC. Trate esses mecanismos como complementares, não como intercambiáveis. Também vale testar com a verificação do tempo de resposta DNS da 2IP.
Verifique a configuração real
Descubra se o navegador usa a configuração de DNS do sistema ou um resolvedor criptografado próprio. Compare a resposta esperada com a verificação de configuração de domínio da 2IP e com uma consulta pelo resolvedor selecionado. Diferenças nem sempre significam vazamento: uma CDN pode adaptar as respostas à localização do resolvedor e a outras condições. Teste também o que acontece quando o resolvedor criptografado está indisponível.
Em uma rede gerenciada, filtragem, nomes internos e políticas de segurança podem exigir um resolvedor específico. Uma mudança arbitrária de DNS pode quebrar recursos internos. Antes de ajustar as configurações, identifique quem opera a rede, quais nomes precisam ser resolvidos e se um caminho de DNS alternativo é permitido.
Escolha de forma consciente
Avalie a disponibilidade do provedor, o tratamento de dados, a validação DNSSEC e o comportamento em caso de falha, em vez de uma única promessa de privacidade. Teste sites comuns e os nomes internos necessários depois de fazer uma alteração. Se o problema de fundo for um registro autoritativo incorreto, mudar o transporte do DNS não vai corrigi-lo.