DNS Quad9: 9.9.9.9, IPv6 e Como Configurar

O Que É o DNS da Quad9?

O DNS da Quad9 é um resolvedor DNS público e gratuito em 9.9.9.9 (secundário 149.112.112.112) que se recusa a resolver domínios que espalham malware ou phishing. Você aponta o roteador, o computador ou o celular para ele em vez do servidor DNS do seu provedor, e cada consulta é comparada com listas de ameaças de mais de 20 parceiros de inteligência de ameaças antes de você receber a resposta. Sem conta, sem aplicativo para instalar e sem custo.

Ele é mantido pela Quad9 Foundation, uma fundação sem fins lucrativos em Zurique, na Suíça, criada pela Global Cyber Alliance, pela IBM e pela Packet Clearing House (PCH). A IBM cedeu o endereço 9.9.9.9 ao projeto. A Quad9 está em produção desde agosto de 2016, e a página institucional dela (lida em 26 de outubro de 2026) lista mais de 230 clusters de resolvedores em mais de 110 países e uma média de mais de 670 milhões de consultas bloqueadas por dia.

Endereços dos Servidores DNS da Quad9 (IPv4 e IPv6)

Estes são os endereços do serviço recomendado da Quad9, o que a maioria das pessoas quer: bloqueio de malware mais validação DNSSEC. Digite todos os que o seu aparelho comportar.

Os quatro chegam ao mesmo serviço por anycast: a sua consulta cai no ponto da Quad9 mais próximo. Todo endereço da Quad9 que consultamos foi respondido por res700.bom2, um resolvedor em Mumbai (BOM é o código do aeroporto de Mumbai). A Quad9 pede que você adicione o par IPv6 mesmo sem IPv6, já que a maioria dos sistemas ignora endereços que não consegue usar. A documentação do Windows da Microsoft lista o segundo como 2620:fe::fe:9; os dois responderam no nosso teste.

# Ask Quad9 directly (macOS, Linux, or Windows with BIND tools)
dig @9.9.9.9 example.com +short

# Which Quad9 site answered?
dig @9.9.9.9 id.server CH TXT +short
# "res700.bom2"

# Windows built-in equivalent
nslookup example.com 9.9.9.9

Todos os Serviços da Quad9: 9.9.9.9 vs 9.9.9.10 vs 9.9.9.11

A Quad9 roda o mesmo resolvedor em quatro conjuntos de endereços. Eles diferem em duas chaves: se domínios maliciosos são bloqueados e se parte do seu endereço IP (EDNS Client Subnet, ou ECS) é repassada aos servidores DNS dos sites.

O 9.9.9.12 aparece apenas no site de documentação da Quad9; os quatro responderam no nosso teste. A URL do DoH é o hostname mais /dns-query.

O ECS troca privacidade por velocidade. As CDNs usam a sua sub-rede para escolher um servidor perto de você. A Quad9 trata isso como vazamento de privacidade, então o 9.9.9.9 nunca o envia; a documentação sugere o 9.9.9.11 se você não alcança um ponto da Quad9 próximo ou se um site entrega conteúdo da região errada. O nome de eco do Google mostra a diferença:

# DNS Robot's test, 26 October 2026 (our real prefix replaced with a documentation one)
dig @9.9.9.9 o-o.myaddr.l.google.com TXT +short
"2620:171:bf:f003:9999::178"           # only Quad9's own server address

dig @9.9.9.11 o-o.myaddr.l.google.com TXT +short
"edns0-client-subnet 203.0.113.0/24"   # our /24 was passed on
"2620:171:bf:f003:9999::178"

Por IPv6, o 9.9.9.11 repassou um /48. O 9.9.9.9, o 9.9.9.10 e o 1.1.1.1 da Cloudflare não enviaram sub-rede; o 8.8.8.8 do Google também enviou um /24.

Como a Quad9 Bloqueia Malware (e o Que Ela Não Bloqueia)

A Quad9 não caça ameaças por conta própria. Ela recebe listas de domínios maliciosos (malware, phishing, ransomware, spyware, exploit kits) de seus parceiros de inteligência de ameaças e as atualiza várias vezes por dia ou quase em tempo real. Se você consulta um domínio da lista, a Quad9 responde como se ele não existisse, e o seu aparelho nunca recebe o endereço do servidor.

Ela não bloqueia anúncios, rastreadores nem conteúdo adulto, não pretende filtrar conteúdo e não considera spam uma ameaça. Para um filtro adulto, use algo como o 1.1.1.3 da Cloudflare.

A Quad9 documenta um domínio de teste, isitblocked.org, que seus serviços de bloqueio recusam. No teste da DNS Robot em 26 de outubro de 2026:

Um bloqueio e um domínio que realmente não existe retornam NXDOMAIN. A contagem de authority diferencia os dois: o bloqueio tem AUTHORITY: 0, o domínio inexistente AUTHORITY: 1 (o registro SOA da zona), como mostrou um nome .com inventado no nosso teste.

dig @9.9.9.9 isitblocked.org | grep -E "status|AUTHORITY"
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 4916
;; flags: qr rd ad; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1

# The same name through the unfiltered service
dig @9.9.9.10 isitblocked.org +short
74.208.236.124

DNS sobre HTTPS, TLS e QUIC na Quad9

O DNS comum na porta 53 pode ser lido por qualquer um no caminho, inclusive o seu provedor. Todos os serviços da Quad9 também respondem por protocolos criptografados:

• DNS sobre TLS (DoT): dns.quad9.net na porta 853 (dns10, dns11 ou dns12.quad9.net para os outros serviços). É o hostname que a configuração de DNS particular do Android pede.
• DNS sobre HTTPS (DoH): https://dns.quad9.net/dns-query. A Quad9 começou a desligar o HTTP/1.1 no DoH em 15 de dezembro de 2025, então é preciso HTTP/2 ou mais novo; a Quad9 cita o MikroTik RouterOS como um cliente que não tem isso.
• DNS sobre QUIC (DoQ) e DoH sobre HTTP/3: em todos os serviços da Quad9 desde 31 de março de 2026. O DoQ usa os mesmos hostnames na porta 853; clientes como o Chrome passam para HTTP/3 sozinhos. A Quad9 também aceita DNSCrypt.

# Which protocol did Quad9 receive your query on? (do53-udp, do53-tcp, dot, doh…)
dig +short txt proto.on.quad9.net

# Windows PowerShell
Resolve-DnsName -Type txt proto.on.quad9.net

No teste da DNS Robot, o DoT conectou por TLS 1.3 na porta 853 aos quatro serviços e por IPv6, com certificado para dns.quad9.net, e o proto.on.quad9.net respondeu dot por TLS e doh por HTTPS. O DoH por HTTP/1.1 recebeu HTTP 505 ("requires HTTP/2"), e o formato JSON ?name= que a Cloudflare e o Google oferecem retornou HTTP 400: a Quad9 só fala o formato binário da RFC 8484.

A criptografia custa tempo principalmente na primeira consulta. Uma conexão DoH nova com a Quad9 levou uma mediana de 260 ms no total (Cloudflare 87 ms, Google 150 ms); em uma conexão DoT já aberta, as consultas ao 9.9.9.9 levaram uma mediana de 48 ms, perto do DNS comum.

Velocidade e DNSSEC da Quad9: o Teste da DNS Robot

Medimos cada endereço da Quad9 a partir de uma conexão residencial Jio na Índia em 26 de outubro de 2026, ao lado de Cloudflare e Google: cinco rodadas intercaladas por servidor, cada uma com um nome em cache (example.com) e um nome totalmente novo na nossa própria zona de teste. A tabela mostra a mediana de cinco.

A Cloudflare foi a mais rápida nos dois casos, com consultas em cache todas entre 26 e 31 ms. As medianas da Quad9 foram boas, mas a variação foi grande: consultas isoladas em cache ao 9.9.9.9 e ao 149.112.112.112 levaram 316 ms e 563 ms, e uma consulta IPv6 deu timeout. O Google foi o mais lento para nomes novos. Os seus números serão diferentes, então rode o Teste de Velocidade de DNS no seu próprio aparelho antes de trocar.

DNSSEC: todos os endereços da Quad9 validam. Todos eles, inclusive o 9.9.9.10 sem filtro e o 9.9.9.12, retornaram SERVFAIL para os domínios deliberadamente quebrados dnssec-failed.org e brokendnssec.net, e ativaram o flag ad em um domínio corretamente assinado. Isso bate com a página de serviço da Quad9; o FAQ dela ("two out of three" serviços) e os perfis da Apple ("No DNSSEC" para o 9.9.9.10) não batem com o que medimos.

Quem Mantém a Quad9, e Ela É Privada?

A Quad9 é operada pela Quad9 Foundation, uma fundação sem fins lucrativos de interesse público em Zurique, financiada por patrocinadores e doações. A política de privacidade dela diz:

• Endereços IP contam como dados pessoais pela mais rigorosa das definições suíça (FADP), americana e da UE (GDPR), para todos os usuários, onde quer que morem.
• O seu endereço IP nunca é armazenado. Ele fica na memória só pelos microssegundos a milissegundos necessários para responder, e nunca é ligado aos nomes que você consulta.
• O que ela guarda são contadores: ponto de atendimento, prefixo de rede (no máximo /24 para IPv4 ou /56 para IPv6) e número de AS, região, tipo de consulta, protocolo e contagem por nome de domínio. Eles podem ser arquivados, mas a política diz que nenhum contém informação pessoal.
• Nada é vendido nem compartilhado com anunciantes. Os parceiros de inteligência de ameaças recebem contagens dos domínios que forneceram, nunca IPs de origem.
• Jurisdição suíça: a Quad9 atende apenas pedidos aprovados pelas autoridades suíças, e o serviço de vigilância da Suíça confirmou que a lei de vigilância (SPTA) não se aplica ao resolvedor, então não há obrigação de guardar metadados de usuários.

Nenhum resolvedor é anônimo, porém: a Quad9 ainda vê cada consulta, e o DNS comum continua legível no caminho a menos que você use DoT ou DoH.

Quad9 vs Cloudflare vs Google DNS

Os três são gratuitos e validam DNSSEC. As diferenças reais são bloqueio, privacidade e a qual lei cada operadora responde:

Escolha a Quad9 para proteção contra malware em todos os aparelhos e os termos de privacidade mais fortes. Escolha a Cloudflare se a velocidade importa mais (foi a mais rápida na nossa linha) ou se você precisa de filtro adulto. Escolha o Google para respostas precisas para CDNs, já que ele envia ECS. Nossos guias de DNS da Cloudflare e de Google DNS cobrem os dois com o mesmo detalhe.

Como Configurar o DNS da Quad9

Configure a Quad9 no roteador para cobrir de uma vez todos os aparelhos do seu Wi-Fi, ou no próprio aparelho, para celulares e notebooks que saem de casa.

No Android (DNS particular)

• Abra Configurações e procure por DNS particular (em um Pixel fica em Rede e Internet; no Samsung, "Connections" → "More connection settings").
• Escolha Nome do host do provedor de DNS particular.
• Digite dns.quad9.net (ou dns10.quad9.net / dns11.quad9.net para os outros serviços) e toque em Salvar.
• Abra on.quad9.net no navegador para confirmar que funcionou.

O DNS particular criptografa cada consulta com DoT, inclusive no 4G/5G; o nosso guia de DNS particular explica o que ele esconde.

No iPhone e no iPad

• Rápido, uma rede Wi-Fi (sem criptografia): vá em Ajustes → Wi-Fi, toque em (i) ao lado da sua rede e depois em Configurar DNS → Manual. Apague os servidores antigos, adicione 9.9.9.9, 149.112.112.112, 2620:fe::fe e 2620:fe::9 e toque em Salvar.
• Criptografado, em todas as redes: abra o guia de configuração do iOS da Quad9 no Safari (outros navegadores não funcionam) e baixe um perfil (a Quad9 recomenda HTTPS). Depois vá em Ajustes, toque em Perfil Baixado, depois em Instalar e digite o seu código.
• Confira o resultado em on.quad9.net.

No Windows 11 e 10

• Windows 11: abra Configurações → Rede e Internet, escolha Wi-Fi ou Ethernet, clique em Editar ao lado de Atribuição de servidor DNS e escolha Manual.
• Ative o IPv4: preferencial 9.9.9.9, alternativo 149.112.112.112, cada um com DNS sobre HTTPS em Ativado (modelo automático); o Windows já conhece o endereço DoH da Quad9.
• Ative o IPv6 se você tiver (2620:fe::fe e 2620:fe::9, DoH ligado) e depois clique em Salvar. A lista de DoH embutida do Windows traz 2620:fe::fe:9 em vez de 2620:fe::9, então use esse como alternativo se Ativado (modelo automático) não for oferecido. Notebooks que passam por redes que bloqueiam DoH podem precisar de Fallback para texto sem formatação.
• Windows 10: pressione Win + R, execute ncpa.cpl, clique com o botão direito no seu adaptador e abra Propriedades → Protocolo IP Versão 4 (TCP/IPv4) → Propriedades → Usar os seguintes endereços de servidor DNS. Repita para o IPv6.

# PowerShell (as administrator): set Quad9 on the active adapter
$if = (Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object -First 1).Name
Set-DnsClientServerAddress -InterfaceAlias $if -ServerAddresses 9.9.9.9,149.112.112.112,2620:fe::fe,2620:fe::9
ipconfig /flushdns

# "doh" means encrypted, "do53-udp" means plain DNS
Resolve-DnsName -Type txt proto.on.quad9.net

No macOS

• Abra Ajustes do Sistema → Rede, escolha Wi-Fi (ou Ethernet) e clique em Detalhes.
• Abra DNS, clique em + e adicione 9.9.9.9, 149.112.112.112, 2620:fe::fe e 2620:fe::9. Remova as entradas antigas com – e clique em OK.
• Para DNS criptografado no macOS Big Sur ou mais novo, instale o perfil da Quad9: baixe no Safari e depois aprove em Ajustes do Sistema.

# Terminal alternative (use "Ethernet" if wired)
networksetup -setdnsservers Wi-Fi 9.9.9.9 149.112.112.112 2620:fe::fe 2620:fe::9

# Flush the macOS DNS cache
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

No Seu Roteador

• Abra a página de administração do roteador (geralmente 192.168.0.1 ou 192.168.1.1) e faça login.
• Encontre as configurações de DNS, geralmente em Internet, WAN ou DHCP, e mude de automático para manual.
• Digite 9.9.9.9 e 149.112.112.112, além de 2620:fe::fe e 2620:fe::9 na seção de IPv6, se houver uma. Salve e reconecte os seus dispositivos.
• Se o seu roteador aceita DNS upstream criptografado (o pfSense e o OPNsense aceitam, por exemplo), aponte-o para dns.quad9.net; a documentação da Quad9 tem guias para eles.

Como Saber se Você Está Usando a Quad9

Abra on.quad9.net no navegador: ele responde com um simples Yes ou No. Duas verificações no terminal vão além:

# 1. Did Quad9 get the query, and over which protocol?
dig +short txt proto.on.quad9.net
# "do53-udp" (plain DNS), "dot" or "doh"; no answer = not Quad9

# 2. Is your ISP intercepting queries to 9.9.9.9?
dig +short ch txt id.server @9.9.9.9
# "res700.bom2": a Quad9 resolver name. Nothing, or something else = redirected

A Quad9 diz que alguns provedores, mais comumente na Ásia, na África e no Oriente Médio, redirecionam em silêncio as consultas ao 9.9.9.9 para os próprios servidores. A documentação da Quad9 mostra nomes terminando em .rrdns.pch.net; o nosso foi o mais curto res700.bom2, e o proto.on.quad9.net confirmou que a Quad9 respondeu. Se a verificação 2 não retornar nada ou retornar um nome sem relação, passe para DoT ou DoH, que não podem ser redirecionados assim. Depois rode o nosso Teste de Vazamento de DNS: todo resolvedor que ele encontrar deve pertencer a uma rede que a Quad9 usa, como PCH (WoodyNet), Equinix ou i3D, e nenhum ao seu provedor.

A Quad9 Não Funciona? Causas Comuns

• Um site de que você precisa está bloqueado. Procure o domínio na página de domínios bloqueados da Quad9 e informe o falso positivo ao suporte da Quad9. Enquanto isso, o DNS Lookup mostra os registros reais do domínio.
• Uma VPN ou o navegador sobrescreve a configuração. Apps de VPN usam o próprio DNS, e a Quad9 avisa que o Firefox usa o DoH da Cloudflare por padrão em algumas regiões. Configure a Quad9 no DNS da própria VPN ou do navegador.
• O seu cliente DoH é antigo demais. O DoH da Quad9 agora exige HTTP/2. Use DoT ou um encaminhador como dnscrypt-proxy, AdGuard Home ou Unbound.
• O seu provedor bloqueia uma porta. A Quad9 também responde DNS comum na porta 9953, que funcionou na nossa linha. Se a porta 853 do DoT também estiver bloqueada, use DoH, que roda na porta 443.
• Vídeos ou downloads vêm de um servidor distante. Pode ser a falta de ECS: experimente o 9.9.9.11, ou o 9.9.9.12 sem bloqueio.
• Respostas antigas depois de uma mudança. A Quad9 não tem ferramenta pública para limpar o próprio cache, mas você pode limpar o do seu aparelho: veja como limpar o cache DNS.