DNS sobre HTTPS: o que é e como protege suas consultas

Guia Alfa » Computação » DNS sobre HTTPS: o que é e como protege suas consultas

Quando você digita um endereço da web, há um componente trabalhando nos bastidores para garantir que você acesse o site correto: o Sistema de Nomes de Domínio (DNS). O DNS traduz nomes fáceis de lembrar em endereços IP que os computadores conseguem entender. É conveniente, sim, mas durante anos operou com uma vulnerabilidade significativa: essas consultas trafegavam sem criptografia. É por isso que o DNS sobre HTTPS, também conhecido como DoH, se tornou tão importante — uma camada extra de proteção que dificulta o rastreamento dos domínios que você visita pelo seu provedor de serviços de internet.

É importante esclarecer um ponto desde já: o DoH melhora a privacidade das consultas DNS, mas não é uma VPN, nem transforma toda a sua conexão em um túnel secreto . Ao longo deste artigo, exploraremos exatamente o que é, por que se tornou popular, como ativá-lo no Chrome, Edge e Firefox, suas vantagens e desvantagens, como difere do DNS sobre TLS e de uma VPN, e a extensão de suas limitações técnicas e práticas.

O que é DNS e por que o sistema tradicional fica aquém?

Os servidores DNS são um daqueles componentes que quase ninguém observa, embora sejam a base de grande parte da navegação online. Sua função é associar um nome de domínio ao endereço IP do servidor correspondente . Quando você visita um site, seu computador não entende letras: ele precisa de um endereço IP para saber a qual máquina se conectar. Muitos roteadores vêm com servidores DNS já configurados pelo provedor de serviços de internet, o que torna o processo conveniente, embora também deixe um rastro visível para quem controla essa infraestrutura.

O problema fundamental é que as consultas DNS tradicionais são feitas em texto simples e sem proteção . Isso abre caminho para espionagem, ataques do tipo "homem no meio" e manipulação da resposta. Um provedor de serviços de internet pode descobrir quais domínios você consulta e quando; um invasor em uma rede compartilhada pode tentar interceptar a solicitação e retornar uma resposta fraudulenta. Essa técnica é conhecida como sequestro de DNS e pode, em última instância, levar você a uma página falsa, publicidade indesejada ou um site projetado para roubar dados. Governos e provedores de serviços de internet também exploraram historicamente essas vulnerabilidades para implementar censura, bloquear domínios ou exibir publicidade adicional.

• Escuta passiva: Alguém observa as suas pesquisas e deduz quais serviços ou sites você frequenta.
• Homem no meio: A comunicação é interceptada e a resposta é modificada para simular a de um servidor.
• Bloqueio e filtragem: Isso impede a resolução de determinados domínios para controlar o acesso ao conteúdo.

DNS sobre HTTPS: Criptografa a consulta para que ela não fique visível para todos.

DNS sobre HTTPS, ou DoH, é uma solução que utiliza o protocolo HTTPS para transmitir consultas e respostas de DNS de forma criptografada . Em vez de enviar uma solicitação de DNS em texto não criptografado, o dispositivo a encapsula em uma conexão segura, geralmente usando a porta 443, a mesma porta usada por sites seguros. Isso protege tanto a consulta quanto a resposta, impedindo que um observador externo as leia facilmente.

Para que isso funcione, o servidor DNS consultado também deve suportar DNS baseado em domínio (DoH ). Simplesmente habilitar uma opção no navegador não é suficiente: o resolvedor escolhido deve estar em conformidade com esse padrão. A especificação está em constante evolução e ainda é considerada uma tecnologia em desenvolvimento, embora desde 2018 empresas como Google e Mozilla Foundation a estejam testando e integrando. Além de proporcionar maior privacidade, os testes indicam que o DoH pode reduzir a latência e tornar as consultas mais rápidas, pois nem sempre é necessário resolver o domínio inteiro, mas apenas a porção mínima exigida.

Vantagens do DoH: mais privacidade, menos manipulação e melhor desempenho.

A vantagem mais óbvia é a segurança. Como os dados são transmitidos criptografados, as consultas DNS são muito mais difíceis de serem espionadas ou modificadas . Isso complica ataques do tipo "homem no meio", reduz a exposição em redes Wi-Fi públicas e impede que um operador local veja claramente quais domínios você está consultando. Como o tráfego DoH usa a porta 443, ele se mistura com outras conexões HTTPS e é difícil de distinguir de uma visita normal à web.

Há também razões de desempenho. O DoH pode reduzir a latência e acelerar as comunicações DNS graças a alterações na forma como os nomes são resolvidos e a um melhor uso do cache. Por exemplo, o método GET de algumas APIs foi projetado para ser armazenado em cache de forma mais eficiente. Na prática, isso pode se traduzir em uma navegação ligeiramente mais rápida, embora não seja uma solução mágica e a diferença nem sempre seja perceptível. Além disso, como é implementado no navegador, o usuário não precisa esperar que seu provedor de serviços de internet o ative.

Desvantagens e debates: quando a criptografia complica a vida

Nem todos veem a criptografia baseada em domínio (DoH) com bons olhos. A mesma criptografia que protege o usuário também dificulta o monitoramento da rede . Muitos programas de controle parental dependem da inspeção de consultas DNS para determinar quais sites as crianças estão tentando acessar; com o DoH, essa tarefa se torna muito mais complexa e pode até ser impossível. Uma situação semelhante ocorre com administradores de redes corporativas, que perdem a visibilidade dos domínios consultados e não conseguem aplicar determinadas regras com a mesma facilidade.

Os provedores de internet também perdem a capacidade de monitorar o acesso e bloquear domínios específicos a pedido de uma instituição. Isso gera um debate legítimo: alguns veem isso como uma vitória para a privacidade, enquanto outros consideram um problema de controle e gerenciamento . No caso do DoT, ele também é criticado por usar sua própria porta reconhecível, o que permite a identificação de consultas DNS mesmo sem saber exatamente o que está sendo solicitado. O DoH evita esse sinal claro disfarçando-se no tráfego HTTPS, mas, em contrapartida, os administradores de rede ficam com menos ferramentas para gerenciar suas comunicações.

Como ativar o DoH no Chrome, Edge e Firefox

Habilitar o Sistema de Nomes de Domínio (DNS) em um navegador moderno geralmente é simples, especialmente se ele for baseado no Chromium ou no Firefox. A opção existe, embora em alguns casos esteja oculta em menus de configurações avançadas . Antes de alterar qualquer coisa, é importante entender que o navegador protege apenas suas próprias consultas: outros aplicativos no dispositivo podem continuar usando um sistema DNS diferente se ele também não estiver configurado no nível do sistema.

Google Chrome

No Chrome, a maneira mais rápida é digitar chrome://flags/#dns-over-https na barra de endereço. Isso leva você diretamente às opções ou recursos experimentais do Chrome.Você verá uma opção chamada "Pesquisas DNS seguras" selecionada; clique no menu suspenso que diz "Padrão" e escolha "Ativado". Em seguida, você precisará reiniciar o navegador para que a alteração entre em vigor.

Microsoft Edge

No Edge baseado no Chromium, o processo é praticamente idêntico. Abra seu navegador e digite edge://flags/#dns-over-https na barra de pesquisaVocê deverá acessar as Configurações do Edge e a mesma opção de pesquisas DNS seguras aparecerá. Altere o padrão para Ativado e reinicie o navegador quando solicitado.

Mozilla Firefox

No Firefox, você não precisa acessar as Configurações de Rede. Clique no botão de menu no canto superior direito e selecione Opções . Na seção Geral, role até o final e clique em Configurações de Rede. Na janela que se abre, marque a caixa ao lado de Ativar DNS sobre HTTPS. Você poderá então escolher entre provedores como Cloudflare e NextDNS para realizar a criptografia sobre HTTPS.

DNS sobre TLS (DoT): o outro caminho criptografado

DNS sobre TLS, ou DoT, é outra forma de proteger consultas DNS. Em vez de usar HTTPS, utiliza TLS sobre uma conexão TCP e uma porta padronizada, a 853. O TLS compartilha a mesma base de segurança do HTTPS, portanto a ideia é semelhante: criar um túnel criptografado no qual apenas os dois participantes podem descriptografar e processar as informações. Isso dificulta ataques do tipo "homem no meio" e impede que terceiros leiam ou manipulem a consulta.

O DotT tem suas vantagens, especialmente em comparação com o DNS tradicional, que não oferece medidas de segurança. A criptografia impede que cibercriminosos interceptem solicitações e também dificulta certas medidas de censura . No entanto, requer compatibilidade tanto do cliente quanto do servidor. Vários provedores oferecem servidores compatíveis, mas usá-lo em um computador desktop ou laptop geralmente requer a instalação de software adicional; no Android moderno, pelo menos desde o Android 9, já está integrado. Existem soluções para Windows e Linux, embora nem sempre sejam tão transparentes quanto se poderia desejar.

Entre as desvantagens, muitos especialistas em proteção de dados criticam o DoT por usar uma única porta facilmente identificável. Embora seja impossível saber qual site está sendo acessado, é possível detectar o tráfego DNS . Para alguns administradores de rede, isso é útil porque permite manter uma visão geral do que está acontecendo; para outros, é um sinal que preferem ocultar. Além disso, o DoT ainda não é tão difundido quanto o DNS tradicional e sua adoção em servidores é limitada. Há preocupações de que algumas poucas empresas concentrem cada vez mais as consultas DNS, potencialmente criando uma espécie de monopólio internacional.

DoH vs. DoT: Duas maneiras de proteger a mesma coisa

A principal diferença entre DoH e DoT reside na porta e na forma como o tráfego é disfarçado. O DoT utiliza sua própria porta, a 853, enquanto o DoH utiliza a porta 443 e se mistura com as conexões HTTPS normais . Essa diferença aparentemente pequena gerou considerável debate. Do ponto de vista da privacidade, a indistinguibilidade das consultas DNS de outros tipos de tráfego é uma vantagem: se não forem reconhecidas, não podem ser manipuladas com tanta facilidade. Do ponto de vista da gestão de redes, no entanto, o controle é perdido e torna-se mais difícil implementar políticas de segurança ou filtragem.

Em essência, existem duas visões. O IETF, consórcio que desenvolve muitos padrões da internet, está por trás do DoT , enquanto o Google e a Mozilla Foundation têm promovido fortemente o DoH. Essas não são tecnologias opostas, mas representam maneiras diferentes de entender a privacidade, a visibilidade da rede e o papel dos intermediários. A escolha entre uma e outra depende do que precisa ser protegido e de quem precisa gerenciar a rede.

DoH versus VPN: protege a pergunta, não toda a jornada.

O DoH e uma VPN frequentemente surgem nas mesmas conversas sobre privacidade, mas não fazem a mesma coisa. O DoH protege a consulta de nome; uma VPN protege o caminho que seus dados percorrem . A maneira mais simples de entender isso é pensar no DoH colocando uma pergunta sensível em um envelope lacrado, enquanto uma VPN faz com que toda a jornada passe por um túnel privado antes de retornar à estrada pública. Ambos podem melhorar a privacidade, mas apenas um foi projetado para cobrir de forma abrangente o tráfego de celulares, tablets e computadores.

O que o DNS faz antes de um site carregar?

Antes que seu navegador possa carregar um site, seu dispositivo precisa saber sua localização. O DNS funciona como uma lista telefônica, traduzindo o nome de um site em um endereço IP . Isso acontece constantemente: quando você abre uma página, inicia um aplicativo, atualiza seu e-mail ou reproduz um vídeo. Na maioria das vezes, isso acontece silenciosamente e você não percebe, o que é ótimo em termos de conveniência, mas também faz com que seja fácil ignorar esse problema de privacidade. As consultas DNS tradicionais não são criptografadas, portanto, seu provedor de serviços de internet, seu empregador, sua escola, o Wi-Fi de uma cafeteria ou a rede de um hotel podem ver quais domínios seu dispositivo está tentando acessar. Eles não veem o conteúdo completo de uma página HTTPS, mas obtêm um panorama bastante revelador da sua atividade.

Uma consulta DNS não revela todas as páginas que você visualizou ou tudo o que você digitou em um formulário, mas uma lista de domínios pode expor hábitos, interesses, ferramentas de trabalho, pesquisas de saúde ou serviços financeiros . É por isso que o DNS criptografado se tornou um recurso útil para a privacidade. Ele não revela tudo, mas revela mais do que muitas pessoas imaginam.

O que o Departamento de Saúde esconde e o que revela?

O DoH envia consultas DNS por HTTPS, o mesmo protocolo criptografado usado por sites seguros. A solicitação sai do seu dispositivo criptografada e chega a um resolvedor que suporta o padrão . Em redes Wi-Fi públicas, isso pode dificultar que o operador da rede leia suas consultas inadvertidamente. Se o seu provedor de internet gerencia o DNS, a mudança para um resolvedor DoH pode impedir que ele veja essas consultas da maneira usual. Além disso, se uma rede manipula os resultados da resolução de nomes, o DNS criptografado pode reduzir algumas formas de manipulação.

Agora, o DoH oculta a consulta, não a conversa inteira. Pode impedir que alguns observadores vejam claramente a pesquisa de domínio, mas não transforma toda a sua conexão com a internet em um túnel criptografado . Assim que o dispositivo conhece o endereço IP, o restante da conexão segue seu caminho normal, a menos que outra ferramenta de privacidade altere essa rota. O DoH não oculta seu endereço IP real dos sites, aplicativos ou serviços aos quais você se conecta, nem faz parecer que você está em outra cidade ou país. Se você fizer login em uma conta, o serviço saberá que é você. Se o navegador tiver cookies, sessões salvas, identificadores de publicidade ou uma impressão digital reconhecível, o DoH não apaga esses sinais.

Além disso, não protege todos os aplicativos, a menos que esteja configurado no nível do sistema e o aplicativo respeite essa configuração. Um navegador pode usar DNS seguro, enquanto outro aplicativo no mesmo dispositivo usa um caminho de DNS diferente . Alguns aplicativos gerenciam sua própria rede e nem sempre estão alinhados com as configurações do sistema ou do navegador. Portanto, o DoH pode criar uma falsa sensação de proteção completa: melhora a privacidade das consultas de DNS, mas não protege transferências de arquivos, tráfego de mensagens, chamadas de vídeo, conexões de jogos, sincronização em segundo plano ou aplicativos de streaming da mesma forma que uma VPN.

O que uma VPN protege e o que ela não consegue ocultar?

Uma VPN protege uma parte diferente da sua jornada. Ela cria um túnel criptografado entre o seu dispositivo e um servidor VPN, roteando o seu tráfego de internet através desse servidor . Seu provedor de serviços de internet ou rede Wi-Fi local vê uma conexão criptografada com o servidor VPN, e não uma visão transparente de todos os sites e serviços aos quais você se conecta. Além disso, a VPN altera o endereço IP público que sites e aplicativos veem: em vez do endereço IP da sua casa ou da sua operadora de celular, o destino vê o endereço IP do servidor VPN. Isso pode reduzir o rastreamento baseado em localização, ajudar você a contornar alguns perfis de provedores de internet e tornar o uso de Wi-Fi público mais seguro.

Uma VPN completa pode proteger navegadores, aplicativos de streaming, clientes de e-mail, ferramentas de backup na nuvem, aplicativos de mensagens, jogos e serviços em segundo plano. Ela também pode rotear solicitações de DNS por meio do túnel criptografado quando configurada corretamente , e é por isso que é uma boa ideia executar um teste de vazamento de DNS. Dito isso, uma VPN não é mágica. Se você fizer login em uma rede social, conta de e-mail, serviço de streaming ou loja online, esse serviço ainda saberá quem você é. Ele pode ocultar seu endereço IP original, mas não anonimiza seu login. O mesmo se aplica a qualquer coisa que você envie diretamente: seu nome, endereço de e-mail, detalhes de pagamento, endereço de entrega, fotos ou mensagens.

Cookies e a coleta de dados do navegador ainda são importantes. Aplicativos podem criar problemas semelhantes por meio de identificadores de publicidade, permissões, acesso à localização, varredura de Bluetooth, nomes de Wi-Fi próximos e ferramentas de varredura. Malware é outro obstáculo difícil, pois pode capturar dados antes mesmo que eles cheguem ao túnel VPN . Resumindo, uma VPN oculta e criptografa grande parte da atividade, mas não disfarça todas as impressões digitais.

DoH e uma VPN podem ser usados ​​simultaneamente.

Sim, eles podem ser combinados, mas a configuração ideal depende de como o dispositivo, o navegador e o aplicativo VPN lidam com o DNS. Em muitos casos, a solução mais simples é deixar a VPN gerenciar o DNS . Um bom aplicativo deve enviar as consultas de DNS através do túnel criptografado, para que seu provedor de internet não as receba diretamente. Dessa forma, você obtém privacidade de DNS como parte da conexão VPN, sem precisar ajustar as configurações do seu navegador separadamente.

O problema surge quando o navegador usa sua própria configuração de Autoridade de Domínio (DoH), enquanto a VPN tenta gerenciar o DNS no nível do sistema. Nada pode quebrar, mas ocorre confusão : você pode pensar que todas as consultas estão passando pela VPN, mas, na realidade, o navegador está enviando algumas por conta própria para um resolvedor diferente. É aqui que um teste de vazamento de DNS se torna útil. Se, após se conectar à VPN, você vir os servidores DNS do seu provedor de internet, algo não está funcionando como esperado; se você vir servidores associados à VPN, é mais provável que a configuração esteja funcionando corretamente.

Quando o DoH é suficiente e quando uma VPN é recomendável?

O DoH pode ser suficiente quando sua principal preocupação é a privacidade básica das consultas DNS no seu navegador. Em uma rede doméstica confiável, habilitar o DNS Seguro reduz a exposição de texto não criptografado sem exigir que você altere sua localização ou proteja todos os seus aplicativos . Também é útil em redes onde a filtragem ou manipulação de DNS é uma preocupação, pois o tráfego via HTTPS dificulta a inspeção ou modificação. Isso não significa que ele contorne todas as restrições ou seja à prova de censura, mas é uma melhoria significativa em relação ao DNS não criptografado. Além disso, é leve: você não precisa escolher um servidor VPN nem alterar significativamente seu roteamento e, normalmente, não notará um impacto significativo na velocidade.

Uma VPN faz mais sentido quando você deseja proteção para todo o seu dispositivo, e não apenas para consultas de DNS. Isso inclui aeroportos, hotéis, escolas, espaços de coworking, cafés e acomodações alugadas . Em redes compartilhadas, você não sabe quem controla o roteador, quem mais está conectado ou se alguém está tentando interceptar o tráfego. Uma VPN também ajuda quando você não quer que seu provedor de internet crie um perfil dos seus padrões de navegação: mesmo que o HTTPS proteja o conteúdo da página, os metadados da rede ainda podem revelar padrões úteis. Viajar é outro exemplo claro: uma VPN pode tornar sua conexão mais consistente, protegê-lo em redes desconhecidas e fazer com que os sites vejam a localização do servidor VPN em vez da sua conexão local temporária.

Detalhes técnicos das APIs DoH do DNS público do Google

O DNS público do Google oferece duas APIs DoH distintas. Uma delas foi projetada para o RFC 8484 e aceita solicitações GET e POST em https://dns.google/dns-query; a outra é uma API JSON que suporta apenas solicitações GET em https://dns.google/resolve . Há também uma interface web em https://dns.google/ que exibe resultados JSON no navegador, mas ela não implementa uma API completa. Essa interface não deve ser confundida com os URLs da API ou com https://dns.google/query. O serviço não suporta URLs HTTP não seguros, e o DoH também é suportado pelo serviço DNS64 público do Google, embora, nesse caso, apenas IPv6 seja suportado. A documentação de transporte seguro do Google inclui exemplos de curl e detalhes sobre TLS, DoT e DoH.

Métodos HTTP disponíveis

O método GET pode reduzir a latência porque utiliza um cache mais eficiente. As requisições GET, conforme a RFC 8484, devem incluir um parâmetro `?dns=` com uma mensagem DNS codificada em Base64Url , e este é o único método suportado pela API JSON. O método POST também está disponível apenas na RFC 8484 e utiliza uma mensagem DNS binária com `application/dns-message` tanto no corpo da requisição quanto no da resposta. O método HEAD não é suportado atualmente e retorna um erro 400 (Bad Request). Outros métodos retornam erros 501 (Not Implemented).

Códigos de status e erros

A API retorna vários códigos HTTP que vale a pena conhecer. Um código 200 OK indica que a análise HTTP e a comunicação com o resolvedor DNS foram bem-sucedidas ; o corpo da resposta pode ser uma resposta DNS binária ou JSON, dependendo do endpoint, do cabeçalho Accept e dos parâmetros GET. Observação: um erro HTTP também pode ser uma falha de DNS, portanto, é recomendável verificar o código de resposta DNS, por exemplo, o campo "Status" do JSON, em busca de erros como SERVFAIL, FORMERR, REFUSED ou NOTIMP.

• 301 Movido permanentemente: O cliente deve tentar novamente a solicitação no URL especificado em Localização. Se a solicitação original foi POST, ela só deve tentar novamente com GET se o novo URL especificar um parâmetro DNS; caso contrário, deve repetir com POST. Os códigos de status 302, 307 e 308 também podem aparecer, e os clientes DoH devem lidar com todos os quatro. Os códigos de status permanentes 301 e 308 podem ser armazenados em cache indefinidamente. Solicitações POST que recebem um código de status 307 ou 308 devem sempre ser repetidas com POST.
• 400 Bad Request: Problemas na análise dos parâmetros GET ou em uma mensagem de solicitação DNS inválida. A maioria das mensagens DNS inválidas recebe um código 200 OK com FORMERR, mas erros HTTP ocorrem para mensagens ilegíveis sem uma seção de Pergunta, com um código QR indicando uma resposta ou com combinações de códigos sem sentido.
• 413 Carga útil muito grande: O corpo de uma solicitação POST RFC 8484 excede o tamanho máximo da mensagem de 512 bytes.
• 414 URI muito longa: O cabeçalho da consulta GET era muito grande ou o parâmetro DNS excedeu 512 bytes.
• 415 Tipo de mídia não suportado: O corpo da requisição POST não continha o cabeçalho de tipo de conteúdo application/dns-message.
• 429 Muitas solicitações: Foram enviadas muitas solicitações em um determinado período. O cliente deve aguardar até o tempo especificado no cabeçalho Retry-After.
• Erro interno do servidor 500: Erros internos no serviço do Departamento de Saúde.
• 501 Não Implementado: Apenas os métodos GET e POST estão implementados; os demais retornam este erro.
• 502 Bad Gateway: O serviço DoH não conseguiu se comunicar com os servidores DNS públicos do Google. Tentar um endereço diferente pode funcionar, mas um plano B mais eficaz é tentar outro serviço DoH ou mudar para o DNS tradicional usando UDP ou TCP em 8.8.8.8.

Melhores práticas para privacidade e desempenho

Os desenvolvedores de aplicações DoH devem limitar os cabeçalhos HTTP. Cabeçalhos como Cookie, User-Agent e Accept-Language podem revelar informações sobre a implementação do cliente e contribuir para a desanonimização . Recomenda-se enviar apenas os cabeçalhos necessários para o DoH: Host, Content-Type (para requisições POST) e, se necessário, Accept. O cabeçalho User-Agent deve ser incluído nas versões de desenvolvimento ou teste. Também é aconselhável usar opções de preenchimento EDNS para encurtar as consultas a tamanhos comuns e dificultar a análise do tráfego. O preenchimento HTTP/2 é possível, mas, diferentemente do preenchimento EDNS, não gera preenchimento nas respostas do servidor DoH.

O método POST na RFC 8484 deve ser usado apenas em aplicações sensíveis à privacidade ou em modos de navegador. O uso do POST reduz a capacidade do cache e pode aumentar a latência, portanto, geralmente não é recomendado . No entanto, reduzir o tamanho do cache pode ser aconselhável para aplicações que desejam prevenir ataques de sincronização de aplicativos web, cujo objetivo é descobrir quais domínios o usuário visitou recentemente. A abordagem HTTPS também tem vantagens práticas: as APIs HTTPS são amplamente disponíveis e suportadas, simplificando a implementação; um serviço HTTPS dá aos aplicativos web acesso a todos os tipos de registros DNS, evitando as limitações das APIs do navegador ou do sistema operacional, que normalmente se limitam a pesquisas de host para endereço; e os clientes que implementam HTTPS sobre UDP com QUIC podem evitar problemas como bloqueio de cabeçalho de linha que ocorrem com TCP. Se você encontrar um bug ou quiser solicitar um novo recurso, relate o problema relacionado ao DoH pelos canais usuais.

Perguntas frequentes sobre o Departamento de Saúde e a VPN

Uma das perguntas mais frequentes é se faz sentido usar DoH quando já se utiliza uma VPN. É possível, mas a abordagem mais prática geralmente é deixar a VPN gerenciar o DNS e verificar com um teste de vazamento se as consultas estão sendo encaminhadas pelos canais corretos. Se o navegador enviar suas próprias consultas em uma direção e a VPN em outra, você poderá ter uma surpresa desagradável.

Outra dúvida comum é se o DoH impede que seu provedor de internet veja quais sites você visita. O DoH oculta as consultas de DNS de muitos observadores, mas não remove todos os metadados nem oculta seu endereço IP : seu provedor de internet ainda pode ver a quais endereços IP você se conecta e outras informações de rede. Para uma proteção mais abrangente, você precisa de uma VPN ou de uma combinação de várias camadas de privacidade.

Também vale a pena questionar se o DomainHost (DoH) é suficiente em redes Wi-Fi públicas. Ele pode ajudar a impedir que o operador da rede leia facilmente suas consultas de DNS, mas não protege toda a conexão nem o tráfego de todos os aplicativos . Em aeroportos, hotéis e cafés, usar uma VPN costuma ser mais abrangente, principalmente se você não sabe quem controla o roteador ou se outras pessoas estão conectadas.

O Sistema de Nomes de Domínio (DoH) e as VPNs não são concorrentes diretos, mas sim ferramentas com capacidades diferentes. O DoH criptografa a consulta de domínio e reduz a exposição dessa parte do processo; uma VPN criptografa o caminho entre seu dispositivo e um servidor e altera o endereço IP visto pelos destinos . Nenhuma delas torna você invisível: contas, cookies, impressões digitais do navegador, permissões de aplicativos, malware e quaisquer dados que você compartilhe diretamente ainda podem identificá-lo. Mas isso não as torna inúteis. Significa simplesmente que cada uma tem seu papel. O DoH protege a consulta de endereço; uma VPN protege uma parte muito maior do caminho percorrido pelos seus dados.