O que é DNS over HTTPS e como ativar no Windows 11

Você instala HTTPS em tudo, ativa VPN às vezes, mantém o firewall ligado. Mas tem um detalhe que a maioria esquece: cada vez que você digita um endereço no navegador, seu dispositivo faz uma consulta DNS — e essa consulta trafega em texto puro, sem criptografia. Seu provedor de internet, o administrador da rede do café ou de qualquer Wi-Fi público vê exatamente quais domínios você acessou. O site destino fica oculto; os domínios consultados, não.

É aqui que entra o DNS over HTTPS (DoH). A ativação leva menos de dois minutos no Windows 11 e fecha uma das brechas de privacidade mais antigas e ignoradas da internet.

O DNS nunca foi projetado para ser privado

O sistema DNS foi criado nos anos 1980 para resolver nomes de domínio em endereços IP. Privacidade não era requisito de projeto: as consultas saem em texto claro pela porta 53, sem autenticação, sem criptografia. Qualquer equipamento entre você e o servidor DNS — o roteador do seu provedor, um ponto de acesso Wi-Fi comprometido, um adversário com acesso à rede — consegue ler e potencialmente manipular essas respostas.

Mesmo que o conteúdo dos sites seja criptografado com HTTPS, o histórico de domínios consultados permanece exposto. É como fechar a janela de um carro mas deixar o capô aberto: parte do problema está resolvida, outra não.

As revelações sobre programas de vigilância em massa — como as documentadas no caso Snowden — mostraram que consultas DNS são um alvo clássico de coleta de metadados.

O que é DNS over HTTPS (DoH)?

O DoH encapsula as consultas DNS dentro de conexões HTTPS comuns, usando a porta 443. Para qualquer observador intermediário, o tráfego parece uma conexão web normal — impossível distinguir de uma requisição a qualquer site HTTPS. O provedor de internet deixa de enxergar quais domínios você consulta; o administrador da rede local também.

Além do sigilo, o DoH garante integridade: as respostas chegam autenticadas, o que dificulta ataques de DNS spoofing onde um servidor malicioso redireciona você para um site falso.

DoH protege contra quais ameaças, exatamente?

O DoH protege contra monitoramento de tráfego DNS pelo provedor ou rede local, ataques de DNS spoofing e redirecionamentos maliciosos feitos em roteadores comprometidos. Ele não substitui uma VPN completa (o IP de destino ainda fica visível via SNI/QUIC) nem protege contra malware instalado no próprio dispositivo. É uma camada de privacidade e integridade, não uma solução completa de anonimato.

Quais provedores DoH usar?

O Windows 11 já conhece nativamente alguns servidores DoH. Os mais recomendados:

• Cloudflare (1.1.1.1 / 1.0.0.1) — o resolvedor público mais rápido, com política explícita de não vender dados de navegação. Template: https://cloudflare-dns.com/dns-query
• Quad9 (9.9.9.9 / 149.112.112.112) — organização sem fins lucrativos, bloqueia domínios maliciosos conhecidos por padrão. Boa opção para quem quer filtragem de malware. Template: https://dns.quad9.net/dns-query
• Google (8.8.8.8 / 8.8.4.4) — rápido e confiável, mas o modelo de negócios do Google envolve dados. Tecnicamente seguro, menos ideal do ponto de vista de privacidade.

Para uso doméstico, a combinação Cloudflare (1.1.1.1) ou Quad9 (9.9.9.9) cobre bem os dois ângulos: velocidade e filtragem de ameaças, segundo documentação confirmada pelo Cloudflare e pelo Quad9.

Como ativar DNS over HTTPS no Windows 11 (interface gráfica)

1. Abra Configurações → Rede e Internet.
2. Clique no adaptador ativo (Wi-Fi ou Ethernet).
3. Selecione Propriedades de hardware.
4. Em Atribuição de servidor DNS, clique em Editar.
5. Mude para Manual, ative IPv4.
6. Digite 1.1.1.1 (preferencial) e 1.0.0.1 (alternativo) — ou os IPs do Quad9.
7. No campo DNS over HTTPS, selecione Ativado (modelo obrigatório).
8. Clique em Salvar.

A opção "modelo obrigatório" garante que, se o DoH falhar, a consulta não cai silenciosamente para DNS em texto claro — ela simplesmente falha. Para ambientes onde qualquer queda de resolução é inaceitável, use "Ativado (modelo automático)", que aceita fallback para DNS normal.

Ativação via PowerShell (para quem prefere linha de comando)

Para configurar Cloudflare com DoH obrigatório via PowerShell (executar como Administrador):

# Adicionar IPs do Cloudflare com DoH obrigatório
Add-DnsClientDohServerAddress -ServerAddress '1.1.1.1' `
  -DohTemplate 'https://cloudflare-dns.com/dns-query' `
  -AllowFallbackToUdp $False -AutoUpgrade $True

Add-DnsClientDohServerAddress -ServerAddress '1.0.0.1' `
  -DohTemplate 'https://cloudflare-dns.com/dns-query' `
  -AllowFallbackToUdp $False -AutoUpgrade $True

# Verificar configuração
Get-DnsClientDohServerAddress

Depois de adicionar os endereços ao pool DoH do Windows, ainda é necessário atribuí-los ao adaptador — o cmdlet acima apenas registra o mapeamento IP→template. O passo de atribuição ao adaptador é feito pela interface gráfica (passo 4 acima) ou via Set-DnsClientServerAddress.

Como verificar se o DoH está funcionando

Acesse 1.1.1.1/help no navegador. A página do Cloudflare mostra se a consulta chegou via DoH. Você também pode usar o site browserleaks.com/dns para conferir qual resolvedor está sendo utilizado.

Isso basta para proteger minha rede?

O DoH é uma camada importante, mas não a única. O roteador doméstico continua sendo o perímetro mais crítico: senhas padrão, firmware desatualizado e serviços desnecessários abertos são vetores clássicos de comprometimento — vale checar as configurações essenciais do roteador Wi-Fi se ainda não fez isso.

No nível de conta, o DoH não substitui autenticação de dois fatores: criptografar o tráfego DNS não impede que uma senha fraca seja comprometida em um vazamento de dados. As camadas se complementam.

Ativar o DoH leva dois minutos e elimina uma classe inteira de exposição de metadados. É a relação custo-benefício mais favorável que existe em hardening doméstico — configure agora e esqueça que existe.