DNS CleanBrowsing: IPs do Filtro Família e Configuração

O que é o CleanBrowsing DNS?

O CleanBrowsing DNS é um serviço de DNS com filtro, gratuito: aponte seu roteador ou dispositivo para 185.228.168.168 e 185.228.169.168, e o filtro Família bloqueia conteúdo adulto, força o SafeSearch e impede que as crianças cheguem a sites de VPN e proxy. Não precisa de conta nem de aplicativo. São três filtros gratuitos, Família, Adulto e Segurança, cada um com seus endereços, além de planos pagos com categorias personalizadas.

A filtragem acontece na consulta. Para um nome bloqueado, o CleanBrowsing responde NXDOMAIN ("domínio inexistente"), então a página nem carrega: o Chrome mostra DNS_PROBE_FINISHED_NXDOMAIN, e outros navegadores mostram um erro parecido de "servidor não encontrado".

O serviço gratuito tem limites que o CleanBrowsing informa na página de filtros: é limitado em velocidade, sem suporte e não pode ser personalizado. Os planos pagos começam em US$ 75 por ano (grátis vs pago) e acrescentam 26+ categorias, listas de permitidos e bloqueados e relatórios. Segundo o CleanBrowsing, seus filtros gratuitos tratam mais de 355 bilhões de consultas por mês em mais de 70 data centers.

Endereços dos servidores DNS do CleanBrowsing (IPv4, IPv6, DoH, DoT)

Estes são os endereços dos filtros gratuitos da página de filtros do CleanBrowsing, conferidos em 26 de outubro de 2026. Use os dois endereços do mesmo filtro e também o par IPv6 se a sua rede tiver IPv6.

O filtro Adulto tem dois secundários publicados. A página de filtros lista 185.228.169.11; o guia de configuração do CleanBrowsing traz 185.228.169.10. Os dois funcionaram como filtro Adulto no nosso teste, mas o .10 responde a um nome bloqueado com NXDOMAIN, como o principal, enquanto o .11 devolve 185.228.168.254, um servidor que mostra uma página "Website Blocked" do CleanBrowsing.

Os seis endereços IPv6 responderam da nossa conexão e filtraram exatamente como os equivalentes IPv4.

Família vs Adulto vs Segurança: o que cada filtro bloqueia

Família bloqueia sites adultos, de conteúdo misto, de VPN e proxy, além de malware e phishing, com o SafeSearch forçado. Adulto bloqueia sites adultos e ameaças, mas deixa Reddit, VPNs e YouTube em paz. Segurança bloqueia só ameaças.

Perguntamos a cada filtro pelos mesmos nomes em 26 de outubro de 2026, da Índia. Um visto significa que ele bloqueou o nome (NXDOMAIN) ou o redirecionou para a versão segura do buscador.

Três resultados vão além das descrições do próprio CleanBrowsing:

• O filtro Adulto força o SafeSearch. A página grátis vs pago do CleanBrowsing diz que não; a página de filtros diz que sim. Ele redirecionou Google, Bing e DuckDuckGo para as versões seguras, como o Família.
• A configuração do YouTube no Família é Moderado, não Estrito (veja a próxima seção).
• Os aplicativos sociais continuam abertos em todos os filtros gratuitos. TikTok, Instagram e Discord resolveram normalmente; bloquear redes sociais ou jogos exige um plano pago ou um controle no dispositivo.

SafeSearch e YouTube: o que o filtro Família realmente faz

O CleanBrowsing força o SafeSearch pelo DNS: a consulta de um buscador recebe o endereço da versão travada em modo seguro. No Google, é forcesafesearch.google.com (216.239.38.120), que entrega resultados com o SafeSearch travado em ligado, não importa a configuração do navegador.

Os filtros Família e Adulto responderam 216.239.38.120 para www.google.com e para sites de países como www.google.co.in, e enviaram o Bing para strict.bing.com e o DuckDuckGo para safe.duckduckgo.com. O filtro Segurança não mexeu neles.

No YouTube, o que se afirma e o que se mede divergem. O guia de SafeSearch do CleanBrowsing diz que o filtro Família gratuito usa o Modo restrito Estrito. O método DNS do Google tem dois destinos: restrict.youtube.com para Estrito (216.239.38.120) e restrictmoderate.youtube.com para Moderado (216.239.38.119). O filtro Família respondeu 216.239.38.119, ou seja, Moderado, para os cinco nomes de host do YouTube que o Google lista, incluindo o youtubei.googleapis.com do aplicativo. O filtro Adulto não restringe o YouTube.

# Family filter: Google SafeSearch, Bing and YouTube (DNS Robot, 26 Oct 2026)
dig @185.228.168.168 www.google.com +short
# 216.239.38.120   <- forcesafesearch.google.com

dig @185.228.168.168 www.bing.com +short | head -1
# strict.bing.com.

dig @185.228.168.168 www.youtube.com +short
# 216.239.38.119   <- restrictmoderate.youtube.com (Moderate)

Teste de velocidade do CleanBrowsing: nossos resultados na Índia

Medimos cada endereço em 26 de outubro de 2026 numa conexão residencial da Jio, na Índia: a mediana de cinco consultas de um nome popular (em cache) e de cinco nomes novos (sem cache), mais 20 consultas para contar quantas vezes um servidor não respondeu em 2 segundos. Os filtros família da Cloudflare e do OpenDNS rodaram junto.

Os dois endereços de um filtro não são iguais. O CleanBrowsing informa o nome do servidor que responde (dig @185.228.168.168 id.server CH TXT): da nossa conexão, todo endereço 185.228.168.x foi respondido em Singapura e todo 185.228.169.x em Londres, o que quase dobrou os tempos em cache (63–79 ms contra 152–166 ms) e derrubou mais consultas. Os endereços IPv6 alternavam entre as duas cidades de uma consulta para outra.

Cloudflare e OpenDNS responderam os nomes em cache cerca de duas vezes mais rápido aqui, porque ambos respondiam da Índia; para nomes novos a diferença foi pequena (52–68 ms contra 66–75 ms). Na Europa ou na América do Norte a ordem pode mudar, então meça da sua própria conexão.

CleanBrowsing com DNS over HTTPS e DNS over TLS

Os três filtros gratuitos respondem em DNS criptografado. Isso impede seu provedor ou o dono de um Wi-Fi de ler ou reescrever as consultas, e nos celulares mantém o filtro ligado nos dados móveis.

• DNS over TLS (DoT): o nome de host do filtro na porta 853, como family-filter-dns.cleanbrowsing.org; o DNS particular do Android o usa. Os três nomes de host concluíram um handshake TLS 1.3 com um certificado *.cleanbrowsing.org válido e filtraram como o DNS comum; numa conexão aberta, a mediana do Família ficou entre 78 e 89 ms em três execuções.
• DNS over HTTPS (DoH): https://doh.cleanbrowsing.org/doh/family-filter/ (ou adult-filter, security-filter). Respondeu a consultas RFC 8484 padrão, mediana de 83 ms para o Família. Use no Windows 11, em navegadores e em perfis da Apple.
• Os planos pagos têm nomes de host DoT e caminhos DoH próprios, com um código de conta exibido no painel do CleanBrowsing.

# curl can resolve through a DoH server: allowed sites load, blocked ones don't resolve
curl -sI --doh-url https://doh.cleanbrowsing.org/doh/family-filter/ https://example.com | head -1
# HTTP/2 200

curl -sSI --doh-url https://doh.cleanbrowsing.org/doh/family-filter/ https://www.reddit.com
# curl: (6) Couldn't resolve host name

O CleanBrowsing é seguro? Privacidade, registros e DNSSEC

Nos filtros gratuitos, a política de privacidade do CleanBrowsing diz que ele não registra nem armazena informações pessoais identificáveis, como seu endereço IP, e não vende, aluga nem compartilha dados pessoais. Ele guarda, porém, dados de consulta anonimizados (os domínios solicitados), pode mantê-los indefinidamente e os compartilha de forma anônima com suas marcas irmãs NOC, DNSArchive e Trunc.

Ele também não repassa sua rede a outros servidores DNS: o teste o-o.myaddr.l.google.com do Google viu apenas os servidores do CleanBrowsing e nenhum EDNS Client Subnet, como na Cloudflare. O OpenDNS FamilyShield repassou nossa sub-rede /24 em uma de duas tentativas.

O DNSSEC é o ponto fraco. Um resolvedor que valida deve recusar um domínio com assinaturas quebradas (domínios de teste como dnssec-failed.org devem receber SERVFAIL). A resposta do CleanBrowsing dependia do servidor: os nós com a versão de software v1.6a devolveram um endereço para um domínio quebrado em 27 de 27 consultas, enquanto os nós v1.7a, incluindo todas as respostas de Londres, o recusaram. Cloudflare 1.1.1.3 e OpenDNS FamilyShield recusaram as 20 consultas. Enquanto os nós antigos não forem atualizados, o CleanBrowsing não protege você de forma confiável contra respostas forjadas.

Como configurar o CleanBrowsing DNS

Para o controle parental, comece pelo roteador: todos os dispositivos do seu Wi-Fi ficam filtrados, inclusive consoles e TVs inteligentes, e não há nada no dispositivo da criança para desligar. Depois configure em cada celular ou notebook que sai de casa, porque a configuração do roteador não vale nos dados móveis nem em outro Wi-Fi.

No roteador (o melhor para o controle parental)

• Abra a página de administração do roteador, geralmente em 192.168.1.1 ou 192.168.0.1. Nosso guia de login do roteador lista o endereço e a senha padrão de cada marca e provedor.
• Encontre os campos de DNS em Internet, WAN ou DHCP. O CleanBrowsing orienta a configurar nas definições de WAN, para cobrir toda a sua rede.
• Substitua os servidores existentes por 185.228.168.168 e 185.228.169.168. Na seção IPv6, digite 2a0d:2a00:1:: e 2a0d:2a00:2::, ou desative o DNS IPv6 se o roteador não aceitar servidores IPv6 personalizados.
• Salve, reinicie o roteador e reconecte seus dispositivos para que assumam a mudança.

Android: DNS particular (Wi-Fi e dados móveis)

O Android 9 ou mais recente pode enviar todas as consultas ao CleanBrowsing por DoT com o DNS particular, em qualquer rede:

• Vá em Configurações → Rede e Internet → DNS particular (em Avançadas em alguns celulares; na Samsung, Conexões → Mais configurações de conexão → DNS particular).
• Escolha Nome do host do provedor de DNS particular e digite family-filter-dns.cleanbrowsing.org (ou adult-filter-dns.cleanbrowsing.org / security-filter-dns.cleanbrowsing.org).
• Toque em Salvar. Se aparecer "Não foi possível conectar", confira a grafia; algumas redes de escolas e escritórios bloqueiam a porta 853.

iPhone e iPad

• O melhor: um perfil de DNS criptografado. No iPhone, abra a página de perfis da Apple do CleanBrowsing, escolha o filtro Família e baixe o perfil (iOS 14 ou mais recente). Depois abra Ajustes → Perfil Baixado → Instalar. Ele usa DoH em qualquer rede, Wi-Fi e celular.
• Só uma rede Wi-Fi: vá em Ajustes → Wi-Fi, toque no (i) ao lado da rede e depois em Configurar DNS → Manual. Apague os servidores existentes e adicione 185.228.168.168 e 185.228.169.168.
• Um perfil pode ser removido nos Ajustes, e um aplicativo de VPN contorna qualquer filtro DNS. Use Tempo de Uso → Conteúdo e Privacidade para bloquear a instalação de novos aplicativos, com um código do Tempo de Uso que só você saiba.

No Windows 11 e 10

• Abra Configurações → Rede e Internet e escolha Wi-Fi (depois Propriedades de hardware) ou Ethernet.
• Ao lado de Atribuição de servidor DNS, clique em Editar, escolha Manual e ative o IPv4.
• Digite 185.228.168.168 como preferencial e 185.228.169.168 como alternativo. No Windows 11, defina DNS sobre HTTPS como Ativado (modelo manual) e digite https://doh.cleanbrowsing.org/doh/family-filter/ nos dois.
• Ative o IPv6, adicione 2a0d:2a00:1:: e 2a0d:2a00:2:: e clique em Salvar. No Windows 10, use Painel de Controle → Central de Rede e Compartilhamento → Alterar as configurações do adaptador, ou a linha de PowerShell abaixo.

# PowerShell as administrator (use "Ethernet" for a wired connection)
Set-DnsClientServerAddress -InterfaceAlias "Wi-Fi" -ServerAddresses 185.228.168.168,185.228.169.168,2a0d:2a00:1::,2a0d:2a00:2::
ipconfig /flushdns

No macOS

• Abra Ajustes do Sistema → Rede, selecione Wi-Fi (ou Ethernet) e clique em Detalhes.
• Na aba DNS, remova os servidores antigos, clique em + e adicione 185.228.168.168, 185.228.169.168, 2a0d:2a00:1:: e 2a0d:2a00:2::; depois clique em OK.
• Para um DNS criptografado que acompanhe um MacBook em outras redes, instale o mesmo perfil da Apple (macOS 11 Big Sur ou mais recente).

# Terminal alternative, then clear the DNS cache
networksetup -setdnsservers Wi-Fi 185.228.168.168 185.228.169.168 2a0d:2a00:1:: 2a0d:2a00:2::
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

Como as crianças contornam filtros DNS (e como impedir)

Um filtro DNS só funciona enquanto o dispositivo o consulta. Estas são as formas mais comuns de contornar o CleanBrowsing e o que barra cada uma:

• Digitar outro servidor DNS, como 8.8.8.8. Solução: no roteador, permita a porta 53 só para a faixa do CleanBrowsing, 185.228.168.0/23, e redirecione ou bloqueie todo o resto (regras abaixo).
• DNS over HTTPS no navegador. O Família respondeu NXDOMAIN para dns.google, cloudflare-dns.com, mozilla.cloudflare-dns.com, dns.quad9.net, dns.nextdns.io e outros nomes de host DoH, e para use-application-dns.net, o domínio-canário que impede o Firefox de ativar o DoH sozinho. Um servidor DoH informado por endereço IP ainda passa, porque o navegador não precisa de consulta para chegar a ele; por isso, nos computadores que você administra, desative o DNS seguro por política.
• DNS particular do Android configurado como dns.google: o Família não resolve esse nome de host no seu Wi-Fi, mas funciona nos dados móveis. Bloqueie a porta TCP 853 de saída, exceto para o CleanBrowsing, e configure o DNS particular do próprio celular para o CleanBrowsing.
• Aplicativos de VPN e proxies web. O Família bloqueou todos os sites de VPN e proxy que testamos, o que barra os proxies web. Um aplicativo de VPN de uma loja ainda pode conectar, e então o DNS roda dentro do túnel, onde nenhum filtro DNS o vê, então controle a instalação de aplicativos com o Google Family Link ou o Tempo de Uso.
• IPv6 e outras redes. O DNS IPv6 do provedor, o Wi-Fi do vizinho ou os dados móveis pulam a configuração do roteador: configure os servidores IPv6 e coloque o DNS particular ou o perfil da Apple no celular da criança.

# Linux/OpenWrt router (iptables; br-lan = your LAN interface)
# Redirect every plain DNS query from the LAN to CleanBrowsing Family
iptables -t nat -A PREROUTING -i br-lan -p udp --dport 53 ! -d 185.228.168.0/23 -j DNAT --to-destination 185.228.168.168:53
iptables -t nat -A PREROUTING -i br-lan -p tcp --dport 53 ! -d 185.228.168.0/23 -j DNAT --to-destination 185.228.168.168:53

# Block DNS over TLS to anyone but CleanBrowsing
iptables -A FORWARD -i br-lan -p tcp --dport 853 ! -d 185.228.168.0/23 -j REJECT

Depois confira cada dispositivo com o Teste de Vazamento de DNS do DNS Robot: todo resolvedor listado deve pertencer ao CleanBrowsing. Se Google, Cloudflare ou o seu provedor aparecer na lista, algo naquele dispositivo contorna o filtro. Com o DNS criptografado bloqueado, alguns iPhones avisam que a rede está bloqueando o DNS criptografado; veja o que isso significa.

CleanBrowsing vs Cloudflare 1.1.1.3 vs OpenDNS FamilyShield

Cloudflare 1.1.1.3 e OpenDNS FamilyShield são os outros dois grandes filtros família gratuitos. Rodamos os mesmos testes em cada um em 26 de outubro de 2026; os endereços vêm da documentação da Cloudflare e da página do FamilyShield do OpenDNS.

Escolha o CleanBrowsing Família para crianças menores: é o único dos três que bloqueia conteúdo misto como o Reddit e restringe o YouTube, e bloqueia os sites de VPN e servidores DoH que as crianças usam para contornar filtros. Escolha a Cloudflare 1.1.1.3 para bloquear sites adultos e malware com SafeSearch e respostas rápidas quando Reddit e YouTube podem ficar abertos; veja nosso guia do DNS da Cloudflare. O OpenDNS FamilyShield bloqueia sites adultos, de VPN e proxy, mas não força o SafeSearch e deixa passar o site de teste de malware.

Como conferir se o CleanBrowsing está funcionando

O domínio de teste do próprio CleanBrowsing, badexample.com, é bloqueado pelos três filtros, mas resolve normalmente em outros resolvedores. Consulte-o pelo seu DNS normal, sem indicar servidor: NXDOMAIN significa que suas consultas chegam ao CleanBrowsing.

# Through your device's normal DNS (Windows, macOS, Linux)
nslookup badexample.com
# ** server can't find badexample.com: NXDOMAIN

# Which CleanBrowsing server answered? Ask one directly
dig @185.228.168.168 id.server CH TXT +short
# "CleanBrowsing v1.6a - dns-edge-asia-singapore10"

Se o badexample.com devolver um endereço, seu dispositivo não está usando o CleanBrowsing: procure uma VPN, a configuração de DNS seguro do navegador ou um segundo servidor DNS. Para ver para onde um domínio bloqueado realmente aponta, consulte-o no DNS Lookup do DNS Robot, que pergunta a resolvedores públicos sem filtro.