Como configurar o NextDNS: limite grátis e dispositivos

O que é o NextDNS?

O NextDNS é um resolvedor de DNS que funciona como um firewall configurado por você. Você cria uma configuração em my.nextdns.io, escolhe o que ele bloqueia (anúncios e rastreadores, malware e phishing, sites adultos, apps como TikTok ou Fortnite) e aponta cada dispositivo para ela com o seu ID de configuração. É grátis para 300.000 consultas por mês; o plano Pro, sem limite, custa US$ 1,99 por mês nos EUA.

Como atua no nível do DNS, o bloqueio vale para todos os apps, não só para o navegador, e roda nos servidores do NextDNS, não no seu aparelho: um nome bloqueado recebe 0.0.0.0 (ou uma página de bloqueio opcional) em vez do endereço real. A NextDNS Inc. foi fundada em maio de 2019 em Delaware por Romain Cointepas e Olivier Poitrey e opera a própria rede anycast, com servidores de dois provedores diferentes em cada local.

O NextDNS é grátis? O limite de 300.000 consultas e os preços

É, com um teto mensal. O plano grátis inclui 300.000 consultas por mês, dispositivos ilimitados, configurações ilimitadas e todos os recursos. O NextDNS envia um e-mail aos 250.000 e de novo aos 300.000. Passado o teto, ele não corta você: nas palavras do próprio serviço, ele "se torna um resolvedor de DNS padrão, sem filtragem e sem registros" até o mês seguinte.

São cerca de 10.000 consultas por dia. Se isso basta depende de quantos dispositivos dividem a conta, então acompanhe o contador na aba Analytics por uma semana antes de pagar.

Como funciona o ID de configuração do NextDNS

Toda configuração tem um ID curto, mostrado na aba Setup de my.nextdns.io (a API, a CLI e o app para Mac do NextDNS o chamam de profile ID). O NextDNS precisa desse ID em cada consulta para saber quais ajustes aplicar, e cada protocolo o leva de um jeito:

O IP vinculado é o ponto fraco. O DNS simples por IPv4 não tem espaço para um ID, então o NextDNS reconhece as consultas pelo seu IP público, e esse vínculo quebra sempre que o IP muda, o que costuma acontecer em linhas residenciais dinâmicas e atrás de carrier-grade NAT. Um nome DDNS ou uma URL de atualização ajuda; o DNS criptografado evita o problema.

Para dar nome a um dispositivo nos registros, coloque o nome antes do ID no DoT, com -- no lugar do espaço (John--Router-abc123.dns.nextdns.io), ou depois dele no DoH (https://dns.nextdns.io/abc123/Office%20PC).

Como configurar o NextDNS em cada dispositivo

Crie uma conta em my.nextdns.io, abra a aba Setup e copie o seu ID: a aba mostra os seus endpoints exatos e detecta o dispositivo em uso. Abaixo estão os métodos que ela lista para cada plataforma (conferidos em 26 de outubro de 2026). Troque abc123 pelo seu ID.

Android: DNS privado

O Android 9 e posteriores têm o DNS privado (DNS sobre TLS) embutido, e é o único método para Android que o NextDNS lista. Ele cobre Wi-Fi e dados móveis para todo app que usa o DNS do sistema.

1. Abra Configurações > Rede e InternetEm celulares Samsung fica em Configurações > "Connections".
2. Toque em DNS particularAlguns aparelhos chamam de DNS privado ou o deixam em Avançadas ou Mais configurações de conexão.
3. Escolha Nome do host do provedor de DNS particular
4. Digite abc123.dns.nextdns.io e toque em SalvarUse o seu ID e depois abra um site: se as páginas pararem de carregar, o nome do host está errado ou a rede bloqueia a porta 853.

iPhone, iPad e Mac: o app ou apple.nextdns.io

No iPhone e no iPad, o NextDNS recomenda o app da App Store. A alternativa é um perfil de configuração, que usa o DNS criptografado nativo da Apple (iOS 14 e macOS 11 ou posteriores) sem nenhum app em execução:

1. Abra apple.nextdns.io no dispositivoInforme o ID da sua configuração. Se quiser, adicione um nome para o dispositivo, redes Wi-Fi em que o NextDNS deve ficar desligado e domínios que devem ignorá-lo.
2. Toque em Download
3. Instale o perfiliPhone e iPad: Ajustes > Perfil Baixado > Instalar. Mac: abra o arquivo .mobileconfig, depois Ajustes do Sistema > Geral > Gerenciamento de Dispositivo, clique duas vezes no perfil do NextDNS e em Instalar.

No Mac você também pode instalar o app do NextDNS em nextdns.io/download/macos/stable, o método recomendado para Mac, e informar o ID do perfil quando ele pedir.

Windows 11: DNS sobre HTTPS ou o app

O Windows 11 envia DNS sobre HTTPS nativamente, e o NextDNS lista isso como um método recomendado:

1. Abra Configurações > Rede e Internet > Wi-Fi (ou Ethernet)Para Wi-Fi, clique em "Hardware properties".
2. Clique em "Editar" ao lado de "DNS server assignment" e escolha "Manual"
3. Ative o IPv4 e defina o servidor preferencial"DNS preferencial": 45.90.28.0. "DNS sobre HTTPS": "Ativado (modelo manual)", com o modelo https://dns.nextdns.io/abc123.
4. Defina o servidor alternativo e salve"DNS alternativo": 45.90.30.0, com o mesmo modelo. Clique em "Salvar".

O Windows 10 não tem ajuste de DNS sobre HTTPS, então use o app de nextdns.io/download/windows/stable: clique com o botão direito no ícone da bandeja, abra Settings…, cole o seu Configuration ID e escolha Enable no mesmo menu.

Chrome, Edge, Brave e Firefox

Para cobrir um só navegador, defina o DNS seguro dele para um provedor personalizado: https://dns.nextdns.io/abc123. No Chrome, o caminho é "Configurações > Privacidade e segurança > Segurança > Usar DNS seguro > Adicionar provedor de serviços de DNS personalizado".

No Firefox, escolha Proteção máxima em DNS sobre HTTPS. O NextDNS pede esse modo estrito porque os outros modos do Firefox voltam ao DNS do sistema quando uma consulta falha, o que deixa passar domínios bloqueados.

Roteadores, Linux e a CLI do NextDNS

Para um roteador, o NextDNS recomenda a sua CLI de código aberto: um pequeno proxy que transforma o DNS simples de cada dispositivo em DNS sobre HTTPS e pode enviar o nome e o modelo de cada aparelho aos seus registros. Ela roda em OpenWrt, AsusWRT-Merlin, pfSense, OPNsense, UniFi, EdgeOS, Firewalla, Synology, DD-WRT e na maioria das distribuições Linux. Tenha o ID da sua configuração em mãos e execute:

sh -c 'sh -c "$(curl -sL https://nextdns.io/install)"'

# Afterwards
nextdns restart   # restart the service
nextdns log       # show its log

# Run the install command again to upgrade or uninstall

Se o seu roteador não puder executá-la, informe os dois endereços IPv6 da aba Setup como servidores DNS dele, ou o par IPv4 com IP vinculado. Com dnsmasq, add-cpe-id=abc123 anexa o seu ID a cada consulta, e não é preciso vincular o IP.

Os melhores ajustes do NextDNS para mudar

A primeira configuração de uma conta nova não vem vazia. O próprio código do painel (lido em 26 de outubro de 2026) ativa feeds de inteligência de ameaças, Google Safe Browsing, proteção contra cryptojacking, homógrafos IDN, typosquatting, DGA e CSAM, uma lista de bloqueio de anúncios e rastreadores, bloqueio de rastreadores disfarçados, registros e Anonymized EDNS Client Subnet. Ficam desligados, entre outros, o DNS Rebinding Protection, que o NextDNS sugere ativar, a menos que você dependa de domínios que resolvem para IPs privados, e os bloqueios de domínios recém-registrados e estacionados. A partir daí, estes são os ajustes que mais importam.

Listas de bloqueio: adicione uma, não cinco

O catálogo de listas de bloqueio do NextDNS, que alimenta a aba Privacy, tinha 83 listas em 26 de outubro de 2026. Maior não é melhor: cada lista extra traz falsos positivos, e algumas do catálogo não são atualizadas há anos.

Um bom começo é a lista padrão mais uma lista bem mantida, como HaGeZi Multi PRO ou OISD. Quando algo quebra, cada entrada bloqueada na aba Logs diz "Blocked by" e nomeia a lista, e você pode liberar o domínio dali mesmo.

Native Tracking Protection

Bloqueia a telemetria que sistemas operacionais e aparelhos enviam por conta própria aos fabricantes. Em 26 de outubro de 2026 ela cobria oito fornecedores: Windows, Apple, Samsung, Xiaomi, Huawei, Alexa, Roku e Sonos. Adicione só os fornecedores cujos aparelhos você tem, um de cada vez, e consulte os registros se algum recurso desse aparelho parar de funcionar.

Controle parental

Bloqueie categorias inteiras (pornografia, apostas, namoro, pirataria, jogos, redes sociais, streaming de vídeo) ou qualquer um dos 43 serviços nomeados, do TikTok e Roblox ao Discord e ChatGPT. Também dá para impor o SafeSearch e o Modo restrito do YouTube e usar o Recreation Time para liberar certos sites, apps ou jogos só em horários definidos de cada dia.

Registros, retenção e onde ficam guardados

Os registros vêm ligados em uma configuração nova. Em Settings você pode desligá-los ou guardá-los por 1 hora, 6 horas, 1 dia, 1 semana, 1, 3 ou 6 meses, 1 ano ou 2 anos, armazenados nos Estados Unidos, na União Europeia ou na Suíça (a página inicial do NextDNS também lista o Reino Unido). Com os registros desligados, a política de privacidade do NextDNS diz que cada consulta e a resposta são descartadas logo depois que a resposta volta, e que ele nunca vende nem compartilha dados dos usuários.

Velocidade e privacidade do NextDNS: o teste do DNS Robot

Medimos os endpoints públicos do NextDNS sem conta, a partir de uma conexão residencial na Índia, em 26 de outubro de 2026: uma consulta de aquecimento e depois a mediana de 5 consultas a example.com, em duas rodadas com um minuto de intervalo. O test.nextdns.io nos disse qual servidor do NextDNS respondeu.

Primeiro, o nome de host criptografado é o caminho rápido. O dns.nextdns.io usa o direcionamento de DNS "ultralow" do NextDNS para escolher um servidor próximo, enquanto os endereços anycast vão para onde o roteamento mandar: a partir da nossa rede, o segundo par (45.90.30.0, 2a07:a8c1::) caiu na Europa com cerca de cinco vezes a latência. Prefira DoH ou DoT; com IPs simples, teste os dois ou meça do seu próprio navegador com o nosso teste de velocidade de DNS.

Segundo, o NextDNS valida o DNSSEC: devolveu SERVFAIL para dnssec-failed.org. Sem ID, ele também não repassou nenhuma sub-rede do cliente ao nome de teste do Google o-o.myaddr.l.google.com, que viu apenas o servidor do NextDNS em Mumbai; o Google Public DNS repassou a nossa sub-rede /24 real, o AdGuard uma /24 diferente e o Cloudflare nenhuma. Uma configuração é diferente: o ajuste Anonymized EDNS Client Subnet, ativo por padrão, envia uma sub-rede que o NextDNS projetou para manter a velocidade da CDN sem revelar o seu endereço. Você pode desligá-lo em Settings.

Como verificar se o NextDNS está funcionando (test.nextdns.io)

Abra test.nextdns.io no navegador do dispositivo. Ele devolve algumas linhas de JSON sobre o resolvedor que consultou a página. Veja o que apareceu no nosso Mac com o DNS do provedor e depois pelo NextDNS via DoH (endereços removidos):

Not using NextDNS:
{
  "status": "unconfigured",
  "resolver": "<your ISP's resolver>",
  "srcIP": "<your public IP>",
  "server": "vultr-blr-1"
}

Using NextDNS (DoH, no configuration ID):
{
  "status": "ok",
  "protocol": "DOH",
  "client": "<your public IP>",
  "srcIP": "<your public IP>",
  "anycast": false,
  "server": "ls-bom-1",
  "clientName": "unknown-doh"
}

• unconfigured: este dispositivo não usa o NextDNS. resolver é quem consultou no lugar; o painel o identifica (no nosso caso, o provedor, Reliance Jio).
• ok: o NextDNS respondeu. protocol mostra como a consulta chegou (DOH, DOT, UDP e assim por diante), e server indica o local do NextDNS (bom é Mumbai).
• mismatch: exibido pela aba Setup, que roda o teste com o seu ID: o NextDNS respondeu sem essa configuração (um endereço IPv4 não vinculado, um endpoint sem o seu ID ou outro ID).

Se um site não carrega, compare a resposta pública real dele no DNS Lookup com a que o seu dispositivo recebe: 0.0.0.0 significa que o NextDNS o bloqueou, e a aba Logs diz qual lista fez isso. O DNS Leak Test mostra todos os resolvedores que o seu dispositivo realmente usa, então ele pega uma VPN ou um navegador que ignora o NextDNS.

NextDNS vs AdGuard DNS vs Cloudflare para famílias

Os três filtram no nível do DNS, mas servem a pessoas diferentes. Enviamos os mesmos nomes a cada endpoint público em 26 de outubro de 2026:

Escolha o NextDNS se quiser decidir o que é bloqueado para cada pessoa ou dispositivo e ver os registros. Escolha os servidores públicos grátis do AdGuard DNS (94.140.14.14) se quiser bloqueio de anúncios sem nenhuma conta. Escolha o Cloudflare for Families se só precisar de filtro de malware e de sites adultos: o 1.1.1.3 é grátis, não exige conta e não bloqueia anúncios. Nosso guia de DNS da Cloudflare lista todos os endereços do Families.

NextDNS não funciona? Causas comuns

• Uma VPN está conectada: no iPhone e no Mac, o DNS dela substitui o perfil do NextDNS.
• Você passou de 300.000 consultas: contas grátis deixam de filtrar até o mês virar.
• Seu IP público mudou: configurações com IP vinculado deixam de coincidir. Vincule de novo, use DDNS ou mude para DoH ou DoT.
• A rede bloqueia a porta 853: o DoT (DNS privado do Android) a usa e firewalls a bloqueiam com facilidade; o DoH usa a porta 443, como o tráfego da web.
• O Safari não faz nada num link bloqueado: o NextDNS informa que o Safari do iOS ignora em silêncio links para domínios bloqueados com 0.0.0.0. Ative a Block Page.
• Os anúncios do YouTube continuam: o NextDNS diz que o DNS não consegue bloqueá-los. Use um bloqueador de anúncios no navegador.
• O Firefox o ignora: quando o DNS sobre HTTPS próprio dele está ligado, ele pula o DNS do sistema. Aponte-o para a sua URL do NextDNS com "Proteção máxima".