Esta rede está bloqueando o tráfego DNS criptografado: o que fazer

O que significa "Esta Rede Está Bloqueando o Tráfego DNS Criptografado"?

"Esta rede está bloqueando o tráfego DNS criptografado" significa que seu iPhone, iPad ou Mac tentou consultar os nomes dos sites por um servidor DNS criptografado, e a rede Wi-Fi impediu. A Apple mostra isso como Aviso de Privacidade abaixo da rede em Ajustes > Wi-Fi, com a frase: "Os nomes dos sites e outros servidores que o seu dispositivo acessar nesta rede podem ser monitorados e registrados por outros dispositivos nesta rede."

A Apple explicou isso ao lançar o DNS criptografado no iOS 14 e no macOS Big Sur (WWDC 2020): algumas redes bloqueiam servidores DNS criptografados por política porque filtram o tráfego olhando as consultas DNS, e quando isso acontece a rede Wi-Fi recebe um aviso de privacidade.

Seu dispositivo só tenta usar DNS criptografado quando algo o ativou: um app de DNS (como o 1.1.1.1 da Cloudflare, o NextDNS ou o AdGuard), um perfil de DNS, o gerenciamento de dispositivos da sua empresa ou, no iOS 16 e posteriores, um servidor DNS que oferece criptografia por conta própria. A Retransmissão Privada do iCloud também pode ativá-lo: os ajustes de Wi-Fi da Apple dizem que ela roteia as solicitações de DNS por conta própria. Encontre essa origem e você encontrou a solução.

O que é tráfego DNS criptografado?

Toda vez que você visita um site, seu dispositivo envia uma consulta DNS para traduzir o nome de domínio (como dnsrobot.net) em um endereço IP. O DNS tradicional envia essas consultas em texto simples pela porta 53 — completamente sem criptografia. Isso significa que seu provedor de internet, administrador de rede ou qualquer pessoa no mesmo Wi-Fi pode ver todos os domínios que você consulta.

O DNS criptografado envolve essas consultas em criptografia, assim como o HTTPS protege o tráfego web. Em vez de enviar dns-query: dnsrobot.net como texto simples, seu dispositivo criptografa a consulta para que apenas o servidor DNS possa lê-la.

Existem dois protocolos principais de DNS criptografado que os dispositivos Apple suportam:

• DNS-over-HTTPS (DoH) — envia consultas DNS por HTTPS na porta 443, então elas se misturam ao tráfego web comum
• DNS-over-TLS (DoT) — envia consultas DNS por uma conexão TLS na porta dedicada 853, oferecendo criptografia com uma fronteira de protocolo clara

Os dispositivos Apple suportam ambos desde o iOS 14 e o macOS Big Sur, mas não os usam por padrão. Desde o iOS 16 e o macOS Ventura, eles também passam sozinhos para o DNS criptografado quando o servidor DNS da rede o anuncia pelo Discovery of Designated Resolvers (DDR). Nosso guia de DNS privado cobre os mesmos protocolos no Android.

DoH vs DoT: como eles diferem

Ambos os protocolos criptografam suas consultas DNS, mas funcionam de maneira diferente internamente. Entender a diferença ajuda a escolher a solução certa ao corrigir o problema de bloqueio.

Quando uma rede bloqueia DNS criptografado, o alvo fácil é o DoT na porta 853. O DoH divide a porta 443 com todos os sites HTTPS, então as redes o bloqueiam bloqueando os endereços e nomes de servidores DoH conhecidos, ou respondendo a esses nomes com erro.

Por que as redes bloqueiam DNS criptografado?

Nem todo bloqueio de DNS criptografado é malicioso. Existem várias razões legítimas pelas quais uma rede pode bloquear ou interferir no tráfego DNS criptografado:

• Redes corporativas — os departamentos de TI bloqueiam DNS criptografado para aplicar políticas de segurança, filtragem de conteúdo e detecção de ameaças. Eles precisam ver as consultas DNS para bloquear domínios de malware e evitar a exfiltração de dados
• Roteadores com controle parental — roteadores com controle parental integrado (como Netgear Smart Parental Controls ou ASUS AiProtection) interceptam consultas DNS para filtrar categorias de conteúdo. O DNS criptografado contorna esses filtros
• Filtragem de conteúdo pelo provedor — alguns provedores usam filtragem baseada em DNS para cumprir regulamentos governamentais ou bloquear sites maliciosos conhecidos. O DNS criptografado impede que essa filtragem funcione
• Portais de login de Wi-Fi público — hotéis, aeroportos e cafés usam interceptação de DNS para redirecionar você à página de login. O DNS criptografado quebra esse redirecionamento
• Pi-hole e AdGuard Home — bloqueadores de anúncios baseados em DNS precisam ver suas consultas. O Pi-hole, por exemplo, por padrão responde aos nomes que os dispositivos usam para descobrir o DNS criptografado (DDR) e a Retransmissão Privada do iCloud para que continuem nele, e algumas configurações adicionam listas de bloqueio de servidores DoH

Em uma rede doméstica, procure primeiro um recurso que filtre DNS: controle parental, um bloqueador de anúncios como Pi-hole ou AdGuard Home, um pacote de segurança do roteador ou uma regra de firewall na porta 853.

Como resolver no iPhone e iPad (iOS/iPadOS)

Comece pela Correção 1: ela encontra o ajuste que está tentando o DNS criptografado. As Correções 2 a 6 desfazem uma conexão travada.

Correção 1: descubra o que ativou o DNS criptografado

Verifique estes itens em ordem. Cada um pode fazer seu dispositivo tentar DNS criptografado em qualquer rede:

• Retransmissão Privada do iCloud — roteia e criptografa suas consultas DNS por conta própria; os ajustes de Wi-Fi da Apple dizem: "As solicitações de DNS estão sendo roteadas pela Retransmissão Privada do iCloud nesta rede Wi-Fi". Para desativá-la só nesta rede, vá em Ajustes > Wi-Fi, toque em (i) ao lado da rede e desative Limitar Rastreamento de Endereço IP (a forma da Apple de desativar a Retransmissão Privada em uma rede). Uma rede que bloqueia a própria Retransmissão Privada mostra outra mensagem, dizendo que não é compatível com ela
• Um app ou perfil de DNS — abra Ajustes > Geral > Gestão de VPN e Dispositivo e procure uma entrada de VPN ou DNS de um app (o app 1.1.1.1 da Cloudflare instala um perfil de VPN; NextDNS e AdGuard usam ajustes de DNS) ou um perfil. Desative o app nesta rede ou remova um perfil de que você não precisa
• Servidores DNS manuais — em Ajustes > Wi-Fi > (i) > Configurar DNS, servidores como 1.1.1.1, 8.8.8.8 e 9.9.9.9 informam ao iOS 16 e posteriores que oferecem DNS criptografado, então o iPhone passa a usá-lo automaticamente. Volte Configurar DNS para Automático para testar
• Um perfil de trabalho — se sua empresa gerencia o dispositivo, os ajustes de DNS dele são política: pergunte ao TI em vez de alterá-los

Correção 2: reinicie seu dispositivo e roteador

Reiniciar limpa o estado de rede em cache tanto no seu dispositivo quanto no roteador.

• iPhone/iPad: Segure o botão lateral + botão de volume > deslize para desligar > aguarde 30 segundos > ligue
• Roteador: Desconecte o cabo de energia > aguarde 30 segundos > reconecte > aguarde 2 minutos para a inicialização completa

Após ambos os dispositivos reiniciarem, vá em Ajustes > Wi-Fi e toque no nome da sua rede. Verifique se a mensagem "Aviso de Privacidade" ainda está presente.

Correção 3: esquecer e reconectar à rede Wi-Fi

Esquecer a rede remove os ajustes salvos dela, inclusive qualquer DNS personalizado, e força uma conexão nova. Você vai precisar da senha do Wi-Fi para reconectar, então confira-a antes (muitas vezes ela está em uma etiqueta no roteador).

# iOS path:
Settings > Wi-Fi > tap (i) next to network name > Forget This Network > Confirm

# Then reconnect:
Settings > Wi-Fi > select your network > enter password

Correção 4: atualize o iOS ou iPadOS

Vá em Ajustes > Geral > Atualização de Software e instale qualquer atualização. Avisos inesperados foram relatados no iOS 14 e 15 nos fóruns de desenvolvedores da Apple, então mantenha o sistema em dia antes de mudar qualquer outra coisa.

Correção 5: confira os servidores DNS manuais

Configurar DNS > Manual sozinho não criptografa nada: só muda qual servidor o iPhone consulta. Mas no iOS 16 e posteriores, um servidor que suporta o Discovery of Designated Resolvers faz o iPhone passar automaticamente para DNS criptografado. Verificamos em 26 de outubro de 2026: 1.1.1.1, 8.8.8.8 e 9.9.9.9 anunciam DoH e DoT dessa forma (o Quad9 também anuncia DNS over QUIC).

# iOS DNS configuration path:
Settings > Wi-Fi > tap (i) next to network > Configure DNS

# To clear the warning on this network:
Automatic

# Manual servers that iOS 16+ upgrades to encrypted DNS (DDR):
1.1.1.1   1.0.0.1           # Cloudflare
8.8.8.8   8.8.4.4           # Google
9.9.9.9   149.112.112.112   # Quad9

Ou seja, um servidor DNS público definido manualmente pode causar o aviso em uma rede que bloqueia DNS criptografado: para eliminá-lo, volte Configurar DNS para Automático. Adicione servidores públicos manualmente só em redes que permitem DNS criptografado. O ajuste vale por rede.

Correção 6: redefinir ajustes de rede

Se nenhuma das correções acima funcionar, redefinir as configurações de rede limpa todas as redes Wi-Fi salvas, configurações VPN e configurações de celular, dando ao seu dispositivo um estado de rede completamente limpo.

# iOS 15 and later:
Settings > General > Transfer or Reset iPhone > Reset > Reset Network Settings

# iOS 14:
Settings > General > Reset > Reset Network Settings

Após a redefinição, seu dispositivo reinicia. Você precisará reconectar a todas as redes Wi-Fi e inserir novamente as senhas. Perfis VPN também precisarão ser reconfigurados.

Como resolver no Mac (macOS)

O mesmo aviso pode aparecer nos ajustes de Wi-Fi do seu Mac, e as mesmas origens ativam o DNS criptografado ali.

Verifique a retransmissão privada, perfis e DNS no Mac

No macOS Ventura e posteriores, vá em Ajustes do Sistema > Rede > Wi-Fi > Detalhes… ao lado da rede: desative Limitar o rastreamento de endereço IP para parar a Retransmissão Privada nessa rede e confira a aba DNS em busca de servidores manuais (remova-os para eliminar o aviso, pois 1.1.1.1, 8.8.8.8 e 9.9.9.9 passam para DNS criptografado pelo DDR). Apps e perfis de DNS aparecem em Ajustes do Sistema → Geral → Gerenciamento de Dispositivo. Para definir servidores DNS pelo Terminal:

# Remove manual DNS servers (back to the network's own):
sudo networksetup -setdnsservers Wi-Fi Empty

# Or set servers for Wi-Fi:
sudo networksetup -setdnsservers Wi-Fi 1.1.1.1 1.0.0.1

# Check what's set:
networksetup -getdnsservers Wi-Fi

Limpar cache DNS no Mac

Depois de mudar os ajustes de DNS, limpe o cache DNS local para que o Mac os use na hora. Nosso guia sobre como limpar o cache DNS cobre também Windows, Linux e navegadores.

# macOS Ventura / Sonoma / Sequoia and later:
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

# Check that DNS resolution works:
nslookup example.com 1.1.1.1

Como resolver no seu roteador

Se a rede é sua, corrigir o roteador ajuda todos os dispositivos de uma vez. Comece pelo que filtra DNS.

Verifique os filtros do roteador e depois atualize o firmware

Controle parental, bloqueio de anúncios e recursos de segurança em roteadores e gateways de provedores muitas vezes funcionam interceptando o DNS, e alguns bloqueiam DNS criptografado para que os dispositivos não pulem o filtro. Desative o recurso no painel de administração do roteador (ou permita DoH e DoT nele) e veja se o aviso some. Depois instale qualquer atualização de firmware (os nomes dos menus variam conforme o modelo):

• ASUS: Painel de administração do roteador (192.168.1.1) > Administração > Atualização de Firmware > Verificar atualização
• TP-Link: tplinkwifi.net > Ferramentas do Sistema > Atualização de Firmware (ou use o app Tether)
• Netgear: routerlogin.net > Administração > Atualização de Firmware > Verificar Online
• Linksys: 192.168.1.1 > Conectividade > Atualização de Firmware do Roteador

Alterar servidores DNS no seu roteador

Se o filtro é o DNS do seu provedor, apontar o roteador para um resolvedor público o interrompe. O próprio roteador continua consultando esse resolvedor em DNS comum, a menos que ele suporte DoT ou DoH.

# Typical router DNS configuration:
# 1. Open router admin panel: http://192.168.1.1 or http://192.168.0.1
# 2. Navigate to: WAN Settings > DNS Configuration
# 3. Change from "Get from ISP" to "Manual"
# 4. Enter DNS servers:

Primary DNS:   1.1.1.1     (Cloudflare)
Secondary DNS: 8.8.8.8     (Google)

# Alternative: Quad9 with malware blocking
Primary DNS:   9.9.9.9
Secondary DNS: 149.112.112.112

# 5. Save and reboot router

Os dispositivos recebem o novo servidor DNS ao reconectar. Se o roteador distribui diretamente o endereço do servidor público (como 1.1.1.1) em vez do próprio (192.168.x.x), o iOS 16 e o macOS Ventura e posteriores passam para DNS criptografado automaticamente pelo DDR.

Melhores servidores DNS com suporte a criptografia

Esses resolvedores públicos suportam DoH e DoT, então um app ou perfil de DNS para qualquer um deles dá DNS criptografado quando a rede permite.

Cloudflare, Google e Quad9 também anunciam seus endpoints criptografados pelo DDR, que o iOS 16 e o macOS Ventura e posteriores usam automaticamente quando um deles é seu servidor DNS. Não sabe qual é o mais rápido na sua conexão? O Teste de velocidade de DNS mede todos no navegador. Passo a passo completo: nossos guias de servidores DNS da Cloudflare e servidores DNS do Google.

Como verificar se o DNS criptografado está funcionando

Após aplicar as correções, verifique se suas consultas DNS estão realmente sendo criptografadas. Aqui estão métodos para cada plataforma.

Verificar no iPhone/iPad

Verifique pelo próprio dispositivo:

• Execute o DNS Leak Test do DNS Robot no Safari: com o DNS criptografado funcionando, você verá os servidores do provedor escolhido, não os do seu provedor de internet
• Se você usa a Cloudflare, acesse 1.1.1.1/help: ele mostra se suas consultas usam DoH, DoT ou DNS comum
• Vá em Ajustes > Wi-Fi e toque em (i) ao lado da rede: o Aviso de Privacidade some quando o DNS criptografado funciona ali, ou quando nada no dispositivo o tenta

Verificar no Mac

No macOS, você pode usar o Terminal para verificar a resolução DNS e checar se a criptografia está ativa.

# Check which DNS servers are active:
scutil --dns | grep nameserver

# Test DNS resolution through Cloudflare DoH:
curl -s -H 'accept: application/dns-json' 'https://1.1.1.1/dns-query?name=dnsrobot.net&type=A' | python3 -m json.tool

# Check if DoH is working via Cloudflare's test page:
open https://1.1.1.1/help

Quando este aviso é normal (e seguro ignorar)

O aviso de DNS criptografado nem sempre é um problema que precisa ser corrigido. Em algumas situações, a rede está bloqueando intencionalmente o DNS criptografado por razões de segurança válidas.

• Redes corporativas e de escritório — a equipe de TI da sua empresa bloqueia DNS criptografado para monitorar malware e aplicar políticas de segurança. É uma prática padrão, e seu tráfego HTTPS continua criptografado
• Redes escolares — escolas K-12 e bibliotecas dos EUA que recebem descontos do E-rate precisam filtrar conforme a CIPA (Children's Internet Protection Act), e muitas filtram por DNS; universidades filtram segundo sua própria política
• Usuários de Pi-hole ou AdGuard Home — um bloqueador de anúncios local baseado em DNS pode impedir que os dispositivos passem para DNS criptografado para continuar filtrando. Isso é intencional
• Wi-Fi de hotéis, aeroportos e cafés — redes públicas costumam filtrar DNS. Aqui o aviso mais importa: quem administra a rede vê suas consultas, então use uma VPN em Wi-Fi em que você não confia

Em redes gerenciadas você pode continuar: suas consultas ficam visíveis ao dono da rede, mas suas páginas HTTPS seguem criptografadas. O risco real do DNS sem criptografia está em redes públicas não confiáveis, onde alguém pode observar ou adulterar suas consultas.

Perguntas frequentes