DNS privado: o que é, nome do host do provedor e como ativar

O que é DNS privado?

O DNS privado é a configuração do Android para DNS criptografado: ele envia os nomes de sites que seu aparelho consulta por uma conexão criptografada, para que sua rede Wi-Fi e seu provedor de internet não possam lê-los nem alterá-los. Para ativar, vá em Configurações → Rede e Internet → DNS particular (alguns aparelhos chamam de DNS privado), escolha Nome do host do provedor de DNS particular e digite um nome de host como dns.google ou one.one.one.one. Em aparelhos Samsung, o caminho é "Connections" → "More connection settings" → "Private DNS".

O Android tem o recurso desde o Android 9 (2018), com DNS over TLS. Desde uma atualização do sistema Google Play de 2022, o Android 11 e posteriores passam a usar DNS over HTTP/3 nos provedores que o Android reconhece: o dns.google do Google e a Cloudflare com o nome cloudflare-dns.com (com one.one.one.one, continua em DNS over TLS). iPhone, Windows, Mac e navegadores oferecem a mesma proteção com o nome de DNS criptografado.

Em redes corporativas e de nuvem, "DNS privado" significa outra coisa: zonas DNS internas que só existem dentro dessa rede. Esse sentido é explicado mais abaixo.

Como o DNS comum funciona (e por que isso é um problema)

O DNS tradicional envia consultas em texto simples desde seus primeiros padrões, em 1983. Quando você digita um nome de domínio no navegador, seu aparelho envia uma consulta DNS pela porta UDP 53 a um resolvedor DNS (geralmente o servidor do seu provedor de internet). O resolvedor responde com o endereço IP, tudo sem criptografia.

Isso significa que qualquer pessoa no caminho da rede pode ver todos os domínios que você visita. Seu provedor pode montar um perfil completo da sua navegação. Atacantes em Wi-Fi público podem interceptar suas consultas. Alguns provedores até reescreveram respostas DNS para enviar endereços digitados errado às suas próprias páginas de busca e anúncios.

O DNS também é vulnerável a envenenamento de cache e spoofing, em que um atacante envia respostas forjadas e redireciona você a sites maliciosos sem que perceba. O DNS tradicional não tem como verificar se a resposta veio mesmo do servidor DNS verdadeiro.

Como o DNS privado funciona

O DNS privado envolve suas consultas DNS em uma conexão criptografada. Em vez de enviar uma consulta em texto simples pela porta UDP 53, seu aparelho primeiro estabelece uma sessão criptografada com o resolvedor DNS e só então envia a consulta por esse túnel seguro.

O resolvedor descriptografa a consulta, resolve o nome de domínio em um endereço IP, criptografa a resposta e a devolve. Toda a troca fica invisível para quem monitora a rede: dá para ver que você fala com um servidor DNS, mas não quais domínios você consulta.

Três protocolos de DNS criptografado padronizados pela IETF estão em uso hoje: DNS over TLS (DoT), DNS over HTTPS (DoH) e DNS over QUIC (DoQ). Cada um criptografa a mesma consulta DNS de um jeito (Oblivious DoH e DNSCrypt também existem, mas são menos comuns).

DNS over TLS vs DNS over HTTPS vs DNS over QUIC

DoT (RFC 7858) executa o DNS dentro do TLS em uma porta própria, a 853. O DNS privado do Android o usa desde o Android 9 e, como a porta é dedicada, uma rede pode bloqueá-la com facilidade.

DoH (RFC 8484) envia as consultas DNS como requisições HTTPS na porta 443, então se parece com o restante do tráfego web e só pode ser bloqueado bloqueando servidores DoH conhecidos. Chrome, Firefox e Edge já o trazem, e o Windows 11 pode usá-lo no sistema todo. No Android, o Android 11 e posteriores passam a usar DNS over HTTP/3 nos provedores que o Android reconhece: o dns.google do Google e a Cloudflare com o nome cloudflare-dns.com (com one.one.one.one, continua em DNS over TLS).

DoQ (RFC 9250, 2022) executa o DNS diretamente sobre QUIC na porta UDP 853, evitando o bloqueio de cabeça de fila e retomando conexões rapidamente. Poucos resolvedores o oferecem: AdGuard DNS e Quad9 sim (o Quad9 o lista na resposta DDR, verificado em 26 de outubro de 2026), enquanto o 1.1.1.1 da Cloudflare aceita DoT, DoH e Oblivious DoH, mas não DoQ, e o Android não o usa.

Como ativar o DNS privado no Android

O Android tem DNS privado desde o Android 9 (2018). Vale para todos os apps, no Wi-Fi e nos dados móveis, e tem três modos: Desativado; Automático, o padrão, que criptografa o DNS sempre que o servidor DNS da rede aceita e, caso contrário, usa DNS comum; e Nome do host do provedor de DNS particular, que sempre usa o provedor que você digitar.

• Passo 1: Abra Configurações > Rede e Internet (ou "Connections" no Samsung)
• Passo 2: Toque em DNS particular (às vezes é preciso tocar antes em "Avançadas" ou "More connection settings")
• Passo 3: Selecione Nome do host do provedor de DNS particular
• Passo 4: Digite o nome do host do seu provedor. Exemplos: 1dot1dot1dot1.cloudflare-dns.com (Cloudflare), dns.google (Google), dns.quad9.net (Quad9), dns.adguard-dns.com (AdGuard)
• Passo 5: Toque em Salvar. Se o Android não alcançar o provedor, avisa "Não é possível acessar o servidor DNS privado"

Como ativar o DNS privado no iPhone e iPad

iPhone e iPad (iOS 14 e posteriores) aceitam DNS over HTTPS e DNS over TLS, mas não há um único botão como no Android: você adiciona um app de DNS criptografado ou um perfil de configuração.

• Método 1: App de DNS — Instale o app do seu provedor (por exemplo 1.1.1.1 da Cloudflare, NextDNS ou AdGuard) pela App Store e ative. A configuração de DNS dele aparece em Ajustes > Geral > Gestão de VPN e Dispositivo.
• Método 2: Perfil de configuração — Baixe no Safari um arquivo .mobileconfig do seu provedor de DNS (ou de uma coleção confiável, como o repositório paulmillr/encrypted-dns no GitHub), depois abra Ajustes > Geral > Gestão de VPN e Dispositivo, selecione o perfil baixado e toque em Instalar.
• Método 3: DNS por rede — Vá em Ajustes > Wi-Fi, toque no (i) ao lado da sua rede, depois em "Configurar DNS", selecione "Manual" e adicione IPs de servidores DNS (por ex. 1.1.1.1, 1.0.0.1). No iOS 16 e posteriores, um servidor que aceita Discovery of Designated Resolvers (1.1.1.1, 8.8.8.8 e 9.9.9.9 aceitam) faz o iPhone passar sozinho para o DNS criptografado; outros servidores continuam sem criptografia.

Como ativar o DNS over HTTPS no Windows 11

O Windows 11 aceita DNS over HTTPS nativamente. Ele traz uma lista de provedores DoH reconhecidos, incluindo Cloudflare, Google e Quad9.

• Passo 1: Abra "Configurações > Rede e Internet > Wi-Fi > Gerenciar redes conhecidas" e escolha sua rede (para cabo: "Ethernet" → sua rede)
• Passo 2: Encontre "Atribuição de servidor DNS" nessa página
• Passo 3: Clique em "Editar" ao lado de "Atribuição de servidor DNS"
• Passo 4: Selecione "Manual" e ative "IPv4"
• Passo 5: Digite um servidor DNS primário (por ex. 1.1.1.1) e defina "DNS sobre HTTPS" como "Ativado (modelo automático)"
• Passo 6: Digite um servidor DNS secundário (por ex. 1.0.0.1) e defina o DoH também como "Ativado"
• Passo 7: Clique em "Salvar". A entrada de DNS deve agora mostrar o rótulo "Encrypted"

# View the DoH providers Windows 11 already knows (Cloudflare, Google, Quad9…)
netsh dns show encryption

# Add a provider that isn't on that list, via PowerShell (AdGuard shown)
Add-DnsClientDohServerAddress -ServerAddress '94.140.14.14' -DohTemplate 'https://dns.adguard-dns.com/dns-query' -AllowFallbackToUdp $False -AutoUpgrade $True

Como ativar o DNS privado no macOS

O macOS (Big Sur 11 e posteriores) aceita DNS criptografado por perfis de configuração, como o iOS, ou por apps de DNS.

• Método 1: App de DNS — Instale o app Cloudflare 1.1.1.1 (ou similar) e ative. O app configura DoH ou DoT no nível do sistema.
• Método 2: Perfil de configuração — Baixe um arquivo .mobileconfig, dê dois cliques nele e aprove em Ajustes do Sistema → Geral → Gerenciamento de Dispositivo (versões antigas do macOS: pesquise "Profiles" nos ajustes do sistema).
• Método 3: Terminal (avançado) — networksetup -setdnsservers Wi-Fi 1.1.1.1 1.0.0.1 altera os servidores DNS. No macOS Ventura e posteriores, um servidor que aceita DDR (1.1.1.1, 8.8.8.8, 9.9.9.9) é atualizado automaticamente para DNS criptografado; os outros continuam sem criptografia.

Melhores provedores de DNS privado (2026)

Cloudflare 1.1.1.1 aceita DoT e DoH (além de Oblivious DoH), com variantes de filtragem security.cloudflare-dns.com (malware) e family.cloudflare-dns.com (malware e conteúdo adulto). Não guarda endereço IP de origem em disco, apaga seus registros em até 25 horas e tem um auditor externo que verifica esses compromissos.

Google Public DNS aceita DoT e DoH. Seus registros temporários guardam seu endereço IP completo e são apagados em 24 a 48 horas; a amostra permanente mantém apenas a localização no nível da cidade. Se registros mínimos são sua prioridade, Cloudflare ou Quad9 servem melhor.

Quad9 é mantido por uma fundação suíça sem fins lucrativos, não armazena endereços IP e bloqueia domínios maliciosos conhecidos com inteligência de ameaças de parceiros de segurança: boa escolha para quem prioriza segurança.

AdGuard DNS bloqueia anúncios e rastreadores no nível do DNS, então os anúncios somem em todo o aparelho sem um bloqueador separado. Também oferece DNS over QUIC.

NextDNS dá mais controle. Você recebe um nome de host próprio, listas de bloqueio configuráveis, análises por aparelho, controle parental e um painel que mostra exatamente o que está sendo bloqueado. O plano gratuito inclui 300.000 consultas por mês.

A velocidade varia conforme o local, então não escolha às cegas: execute um Teste de velocidade de DNS gratuito para comparar Cloudflare, Google e Quad9 em DNS over HTTPS criptografado a partir da sua própria rede e depois ative o DNS privado com o provedor que realmente vence para você.

Todos os endereços e passos de configuração dos dois maiores estão em nossos guias de servidores DNS da Cloudflare e de servidores DNS do Google.

Nome do host do DNS privado (código): o que digitar no campo do Android

O nome do host do provedor de DNS privado, às vezes chamado de código do DNS privado, é o endereço que você digita em Configurações → Rede e Internet → DNS particular → "Nome do host do provedor de DNS particular" no Android.

Copie qualquer um destes para o campo. São os nomes de host oficiais dos principais provedores:

Depois de salvar, confira se funcionou: o DNS Leak Test do DNS Robot deve mostrar os servidores do seu provedor, não os do seu provedor de internet. Se a configuração falhar em uma rede, a seção sobre DNS criptografado bloqueado mais abaixo explica o motivo.

DNS público vs privado: o sentido corporativo

Para confundir, "DNS privado" tem um segundo sentido em ambientes corporativos e de nuvem, e ele nada tem a ver com a configuração de DNS criptografado do seu celular.

Nesse mundo, DNS privado quer dizer zonas DNS privadas: registros de nomes internos como intranet.corp.local ou db1.internal, hospedados em servidores acessíveis apenas dentro de uma rede corporativa ou de uma VPC na nuvem. A AWS as chama de zonas hospedadas privadas do Route 53, o Azure tem o Azure Private DNS, e Oracle e Google Cloud oferecem equivalentes. Os registros nunca são publicados na internet pública: os resolvedores públicos simplesmente não os enxergam.

O teste rápido: se você digita um nome de host em uma configuração de celular ou notebook, trata-se de DNS criptografado (este artigo). Se a equipe de TI ou um console de nuvem fala em DNS privado, quer dizer zonas internas. Dá para ver o que a internet pública enxerga de qualquer nome com uma consulta DNS: registros de uma zona privada não aparecem.

Benefícios de usar DNS privado

Ativar o DNS privado nos seus aparelhos traz melhorias imediatas de segurança e privacidade.

• Acaba com a espionagem do provedor — Seu provedor de internet deixa de ver quais domínios você consulta e de montar um perfil de navegação com seu tráfego DNS
• Impede o spoofing de DNS no caminho — o certificado TLS prova que você fala com seu provedor de DNS verdadeiro, então ninguém no meio pode forjar respostas
• Protege em Wi-Fi público — Outros usuários da mesma rede não conseguem interceptar suas consultas DNS
• Bloqueia o sequestro de DNS — Suas consultas não podem ser redirecionadas em silêncio por um roteador comprometido ou uma rede maliciosa
• Contorna proxies DNS transparentes — Alguns provedores interceptam o DNS na porta 53 mesmo quando você usa servidores de terceiros. O DNS criptografado usa outras portas e escapa desses proxies
• Bloqueio opcional de anúncios e malware — Provedores como AdGuard, NextDNS e Quad9 podem bloquear anúncios, rastreadores e domínios maliciosos no nível do DNS
• Funciona em todo o sistema — Uma vez ativado, o DNS privado protege todos os apps do aparelho, não só o navegador

Possíveis desvantagens do DNS privado

O DNS privado não é perfeito. Estas são as trocas que você deve conhecer.

• Uma primeira consulta mais lenta — estabelecer a conexão criptografada acrescenta uma ou duas idas e voltas antes da primeira consulta. Depois disso a conexão é reutilizada.
• Portais cativos podem falhar — Redes Wi-Fi de hotéis, aeroportos e cafés que exigem uma página de login muitas vezes precisam de DNS sem criptografia para redirecionar você. O DNS privado pode impedir que esses portais carreguem.
• Redes corporativas podem bloqueá-lo — Departamentos de TI precisam de visibilidade do DNS para monitoramento de segurança. Muitas redes empresariais bloqueiam de propósito o DNS criptografado para resolvedores externos.
• Centralização — O DNS criptografado incentiva o uso de poucos resolvedores grandes (Cloudflare, Google), concentrando o tráfego DNS em menos empresas.
• Não criptografa tudo — O DNS privado criptografa suas consultas, mas seu provedor de internet continua vendo os endereços IP aos quais você se conecta e, em geral, o nome do site no handshake TLS (SNI), a menos que o site use Encrypted Client Hello.
• Problemas com DNS de horizonte dividido — Organizações com DNS interno diferente do externo podem ter problemas quando aparelhos ignoram o resolvedor interno.

"Esta Rede Está Bloqueando Tráfego DNS Criptografado": o que significa

No iPhone, iPad e Mac, os ajustes de Wi-Fi podem mostrar "Esta rede está bloqueando tráfego DNS criptografado" sob o nome da rede. Significa que seu aparelho tentou usar DNS criptografado e a rede o impediu, então os nomes que você consulta ali ficam visíveis para a rede.

É comum em redes Wi-Fi corporativas e escolares, em redes de hotéis e aeroportos com página de login e em alguns roteadores domésticos. Nosso guia completo, Esta Rede Está Bloqueando Tráfego DNS Criptografado, trata cada causa; as correções rápidas:

• Desative o que ativa o DNS criptografado nesta rede — "Limitar Rastreamento de Endereço IP" (Retransmissão Privada do iCloud) para esta rede Wi-Fi, um app ou perfil de DNS ou um servidor DNS manual (volte "Configurar DNS" para "Automático")
• Esqueça a rede Wi-Fi e reconecte — Vá aos ajustes de Wi-Fi, esqueça a rede e entre nela de novo
• Use uma VPN — Uma VPN criptografa todo o tráfego, inclusive o DNS, e contorna qualquer bloqueio de DNS da rede
• Aceite em redes gerenciadas — Em redes corporativas ou escolares, o bloqueio de DNS criptografado costuma ser intencional, para monitoramento de segurança. Talvez não seja possível contorná-lo

Como verificar se o DNS privado está funcionando

Depois de ativar o DNS privado, confirme que suas consultas realmente vão para o provedor escolhido. Teste o próprio aparelho em um navegador; os comandos de terminal abaixo testam o provedor.

• Teste de Vazamento de DNS do DNS Robot — execute o DNS Leak Test no aparelho: ele mostra quais resolvedores realmente respondem às suas consultas. Você deve ver o provedor escolhido, não o seu provedor de internet
• Página de verificação da Cloudflare — se você usa Cloudflare, 1.1.1.1/help mostra se suas consultas usam DoH, DoT ou DNS comum
• Android — com um nome de host definido, o Android avisa "Não é possível acessar o servidor DNS privado" quando não consegue se conectar; sem aviso, está funcionando
• Windows 11 — as propriedades da conexão listam cada servidor DNS com "(Encrypted)" quando o DoH está ativo

# Test DNS over TLS with kdig
kdig -d @1.1.1.1 +tls-ca +tls-host=cloudflare-dns.com example.com

# Which resolver does dig use? (DNS Robot's test nameserver replies with its IP; a DoH profile may not apply to dig)
dig +short TXT whoami.leak.dnsrobot.net

# Test DNS over HTTPS with curl
curl -s -H 'accept: application/dns-json' \
  'https://cloudflare-dns.com/dns-query?name=example.com&type=A'