Tema

Ferramentas populares

DNS Leak Test

Veja quais servidores DNS respondem de verdade às suas consultas e se a sua VPN as vaza para o seu provedor de internet. Este teste de DNS leak roda assim que a página abre, identifica cada servidor e dá um veredito claro.

Visto pelo nosso próprio servidor de nomes de teste · servidores DNS mostrados pelo endereço IPv4 · registros guardados 10 minutos na memória e depois esquecidos

O que você está verificando?
Rode uma vez com a VPN desligada e de novo com ela ligada: mostraremos quais servidores DNS sumiram.

Começa sozinho quando a página abre · 6 consultas que ninguém fez antes · cerca de 4 s · esquecidas após 10 minutos

VocêIPv4IPv6Identificando sua conexão…
Servidores DNS que perguntaram ao nosso servidor de nomes

  1. Os servidores DNS que perguntam ao nosso servidor de nomes aparecem aqui, uma linha para cada, à medida que chegam.

Verificar pela linha de comando

1O DNS do seu sistema

O servidor DNS que os seus apps usam. Compare com as linhas acima.

C:\> nslookup -type=txt whoami.leak.dnsrobot.net
  • A resposta é o endereço do servidor DNS que nos perguntou.
  • Uma resposta diferente significa que o seu navegador e os seus apps seguem caminhos diferentes, por exemplo o DNS seguro do navegador.
  • Tem o seu próprio resolvedor (Pi-hole com Unbound)? A resposta é o endereço da sua casa: não a publique.

2O teste de sequestro de DNS

Pergunta diretamente à Cloudflare (1.1.1.1).

C:\> nslookup -type=txt whoami.leak.dnsrobot.net 1.1.1.1
  • Um endereço da Cloudflare (AS13335): a sua consulta chegou à Cloudflare, como pedido.
  • Endereço de qualquer outra rede: um forte indício de que algo redireciona o seu DNS: o app da sua VPN (alguns fazem isso de propósito), um software de segurança, o seu roteador ou o seu provedor.
Qual comando?

O texto fica nesta página; só o endereço é consultado no nosso servidor para identificar a rede dele.

Nosso servidor de nomes guarda o que cada teste viu por 10 minutos, na memória, e depois esquece. O seu último resultado fica só neste navegador, para o antes e depois.

O que significa o resultado do meu DNS leak test?

Depende de duas coisas: quais servidores DNS perguntaram ao nosso servidor de nomes e se você está numa VPN. O DNS do seu provedor de internet é normal sem VPN e um vazamento com ela; um DNS público, como Cloudflare ou Google, nunca é vazamento por si só.

Um DNS leak (vazamento de DNS) significa que os servidores DNS do seu provedor responderam enquanto você estava numa VPN, então o provedor vê os sites que você consulta apesar do túnel. Empresas parceiras ou de hospedagem que operam o DNS da sua VPN não são vazamento: o Proton VPN traça a mesma linha.

O teste classifica cada servidor por tipo (DNS da sua VPN, DNS público, DNS do seu provedor, rede de hospedagem ou o seu próprio resolvedor) e escreve o veredito a partir da combinação, com a marca identificada. O DNS da sua VPN junto com o do seu provedor é um vazamento parcial: algumas consultas escapam de vez em quando.

Nada chegou nunca é aprovação: algo barrou as consultas do teste antes de elas chegarem à internet. E um servidor DNS em outro país também não é vazamento.

O que perguntou ao nosso servidor de nomes × você está numa VPN?os seis vereditos

Servidores DNS vistosSem VPNNuma VPN
DNS da sua VPNNão aconteceSem VPN, não há DNS de VPN para ver.Sem vazamentoM247 em Frankfurt responde: o seu provedor não vê nada.
DNS públicoCloudflare respondeSua configuração de 1.1.1.1 funciona. Não é vazamento.Sem vazamentoAs consultas chegam a ele pelo endereço da VPN, não pelo seu.
DNS do seu provedorDNS do seu provedorExample Broadband responde, como deve ser sem VPN. Não é vazamento.Vazamento de DNSSeu provedor vê cada nome que você consulta, apesar da VPN.
Uma mistura: VPN ou público + provedorNão é vazamentoUm segundo DNS configurado ou um DNS reserva: normal sem VPN.Vazamento parcialAlgumas consultas escapam do túnel: faça o teste estendido.
Uma rede de hospedagemProvavelmente Quad9Ou o parceiro de outro serviço, ou o upstream do seu roteador: a página diz quando não consegue saber.Sem vazamentoNão é a rede do seu provedor: provavelmente o parceiro de DNS da sua VPN.
Nada chegouNão é aprovadoNunca “seguro”: algo barrou as consultas do teste.Não é aprovadoLibere os nomes do teste ou faça o teste estendido.
As linhas são os tipos de servidor DNS que o teste identifica, nas cores dos resultados; as células são os vereditos que a página escreve. A regra numa VPN: tudo o que não é a rede do seu provedor não é vazamento.
DNS leak test: consultas de um usuário de VPN respondidas pelo DNS do provedor, com cada servidor identificado e localizadoDNS leak test: consultas de um usuário de VPN respondidas pelo DNS do provedor, com cada servidor identificado e localizadoO vereditoUma frase que diz quem responde às suas consultas e se isso é um vazamento, com o que fazer em seguida.Um servidor DNSCada servidor que perguntou ao nosso servidor de nomes: a marca ou a rede, o endereço IPv4, a localização, o tipo e a participação nas solicitações.Também verificadoPor onde sai o seu endereço IPv6, além de uma observação quando o iCloud Private Relay ou o Tor transporta o seu tráfego.Seu caminho de DNSSeu dispositivo, o túnel da VPN e os servidores DNS que perguntaram, com um vazamento desenhado como uma consulta fora do túnel.
Um resultado fictício numa VPN: o DNS da Example Broadband ainda responde fora do túnel, então o teste indica um vazamento. Selecione um número para ver o que cada parte mostra.

Como funciona um teste de vazamento de DNS?

Este verificador de DNS leak faz o seu navegador consultar nomes que nunca existiram, como 1-k3x9q2mfp7c1vn4a.leak.dnsrobot.net. Nenhum servidor DNS os tem em cache, então o servidor que cuida das suas consultas precisa perguntar ao nosso servidor de nomes, que anota o endereço dele e responde “esse nome não existe”.

Depois, a página pergunta ao nosso servidor de nomes quais servidores DNS vieram pedir os nomes deste teste. Esses são os servidores que o seu navegador realmente usa, digam o que disserem as suas configurações; um roteador doméstico normalmente só repassa as consultas, então quem aparece é o servidor para o qual ele as encaminha. Cada nome é usado uma vez, e o nosso servidor de nomes esquece o teste após 10 minutos.

O teste padrão faz 6 consultas, normalmente o bastante para detectar um vazamento. O teste estendido faz 36, em lotes de 6, para pegar um servidor DNS que só responde de vez em quando, como o Windows tentando todos os adaptadores quando o DNS da VPN demora a responder.

Se um servidor DNS repassa parte do seu endereço (EDNS Client Subnet), a linha dele mostra essa sub-rede só para você. Ela nunca é registrada.

Uma consulta, acompanhadaum teste real, endereços trocados

Seu navegadorSeu servidor DNSNosso servidor de nomes1-k3x9q2….leak.dnsrobot.net ?quem tem 1-k3x9q2…?perguntado por203.0.113.53NXDOMAIN · esse nome não existea imagem falha: consulta feitaquais servidores pediram k3x9q2…?→ 203.0.113.53 ×4 · 203.0.113.54 ×2Seu navegadorSeu servidor DNSNosso servidor de nomes1-k3x9q2….leak.dnsrobot.net ?quem tem 1-k3x9q2…?perguntado por203.0.113.53NXDOMAIN · esse nome não existea imagem falha: consulta feitaquais servidores pediram k3x9q2…?→ 203.0.113.53 ×4203.0.113.54 ×2
Em cima: uma das seis consultas de uma conexão residencial, passo a passo. Cada nome é usado uma vez, e o nosso servidor de nomes guarda quem perguntou por 10 minutos, na memória. Embaixo: as duas durações, uma célula por consulta; cada lote de 6 espera no máximo 3 segundos. As cores ilustram uma VPN que envia 2 de 36 consultas ao DNS do provedor, algo que um teste de 6 consultas pode facilmente deixar passar. O próprio teste mostra a participação de cada servidor DNS nas solicitações.

Por que aparecem o Google, a Cloudflare ou outro país?

Porque o endereço que você configura não é o endereço que pergunta. Os serviços de DNS público respondem em 1.1.1.1 ou 8.8.8.8 a partir de muitos locais ao mesmo tempo (anycast), e cada local pergunta a outros servidores de nomes a partir do próprio conjunto de endereços, às vezes na rede de um parceiro.

Numa conexão que testamos, só Cloudflare, Google e OpenDNS chegaram ao nosso servidor de nomes pelas próprias redes; o Quad9 veio pela Equinix, o AdGuard pela Datacamp e o NextDNS pela Vultr. Nada disso é vazamento. Um DNS público no seu resultado significa que o seu navegador, dispositivo ou VPN envia consultas para lá, e, numa VPN, elas chegam pelo endereço da VPN, não pelo seu.

Por isso o teste não confia numa tabela: ele pergunta a cada serviço de DNS público, a partir do seu navegador, qual endereço ele usa para você, e confere o Google com as faixas que o Google publica. Um servidor que ele não consegue confirmar aparece como esse serviço com a marca provável, ou como um servidor numa rede de hospedagem, nunca como vazamento.

Os países também enganam: os dados de registro dão o país onde a rede está registrada, não onde o servidor fica (o próprio 1.1.1.1 está registrado na Austrália). Um vazamento tem a ver com quem vê as suas consultas, não com onde elas estão.

Você configura · o que nos perguntou · a rede deleum teste registrado, endereços trocados

Registrado numa linha de fibra (Índia), 24 de out. de 2026

  • Cloudflare1.1.1.1192.0.2.10a própria rede, AS13335país no registro: Estados UnidosNão é vazamento
  • Google8.8.8.8192.0.2.12, 192.0.2.13a própria rede, AS15169país no registro: Estados Unidosdois endereços para duas consultasNão é vazamento
  • Quad99.9.9.9192.0.2.11via Equinix, AS15830país no registro: Países Baixosa rede de um parceiroNão é vazamento
  • AdGuard94.140.14.14192.0.2.30via Datacamp (CDN77), AS60068um parceiro de hospedagem (também transporta DNS4EU)Não é vazamento
  • NextDNSsua configuração192.0.2.41via Vultr, AS20473um parceiro de hospedagem (também transporta CleanBrowsing)Não é vazamento
Dos 12 serviços de DNS público consultados a partir desta conexão, só Cloudflare, Google e OpenDNS chegaram ao nosso servidor de nomes pelas próprias redes; os outros vieram por parceiros ou hospedagens. A bandeira mostra onde a rede está registrada, não onde o servidor fica. A página pergunta a cada serviço, ao vivo, qual endereço ele usa para você, em vez de confiar numa tabela como esta.

O que causa um vazamento de DNS?

Normalmente, o seu dispositivo enviar consultas para outro lugar que não a VPN: o app da VPN não define o próprio DNS, o Windows pergunta a todos os adaptadores de rede, ou o IPv6 contorna um túnel que só transporta IPv4.

O Windows pode enviar cada consulta pelo Wi-Fi e pela VPN ao mesmo tempo para responder mais rápido (smart multi-homed name resolution). Muitas VPNs só transportam IPv4, deixando o tráfego IPv6, e o DNS enviado por ele, fora do túnel (RFC 7359). Um DNS personalizado configurado no sistema também pode se sobrepor à proteção do app da VPN.

Cada causa deixa um padrão próprio no resultado. Um provedor personalizado de DNS seguro no navegador aparece como esse DNS público, por fora do DNS da VPN. O modo automático do Chrome, porém, mantém o seu provedor atual, e o padrão do Firefox sai de cena diante de uma VPN.

Algo que redireciona o DNS na porta 53, como o proxy transparente de um provedor, mostra o seu provedor mesmo quando você configurou 1.1.1.1. Uma VPN que cai sem kill switch vaza só por um instante, então um único teste pode não pegar: teste de novo depois que a VPN se reconectar.

Seis causas, e o que este teste mostra para cada umaa última linha do cartão

  • A VPN não define o próprio DNS

    O tráfego passa pelo túnel, mas o sistema mantém os servidores DNS que tinha antes, normalmente os do seu provedor.

    Vazamento de DNSDNS do seu provedor numa VPN

  • Um DNS seguro personalizado no navegador

    Com um provedor personalizado, o navegador envia as consultas a ele por HTTPS, por fora do DNS da VPN. O modo automático do Chrome mantém o seu provedor atual, e o padrão do Firefox sai de cena quando detecta uma VPN.

    Sem vazamentoum DNS público, não o da sua VPN

  • O Windows pergunta a todos os adaptadores

    Com a smart multi-homed name resolution, o Windows envia as consultas por todas as redes ao mesmo tempo: pela VPN e pelo Wi-Fi.

    Vazamento parcialDNS da sua VPN + DNS do seu provedor

  • O IPv6 contorna o túnel

    Muitas VPNs só transportam IPv4. O tráfego IPv6, e qualquer DNS enviado por ele, sai pelo seu provedor.

    Vazamento de IPv6uma linha própria abaixo do resultado

  • Algo redireciona o DNS

    Um roteador, um software de segurança ou o provedor (ou um app de VPN, de propósito) captura as consultas na porta 53 e as responde, mesmo as destinadas a 1.1.1.1.

    DNS do seu provedor“Não é Cloudflare 1.1.1.1: o seu provedor respondeu”

  • A VPN cai, sem kill switch

    Se o túnel for interrompido, as consultas podem ir para o DNS padrão do sistema, provavelmente o do seu provedor, até ele voltar.

    Vazamento parcialsó de vez em quando: o teste estendido o pega com mais frequência

O Teredo, a antiga forma do Windows de tunelar IPv6 sobre IPv4, está desativado desde o Windows 10 versão 1803, então hoje raramente é uma causa.

Como corrigir um vazamento de DNS?

Ative a proteção contra vazamento de DNS, a proteção contra vazamento de IPv6 e o kill switch do app da sua VPN e teste de novo. A proteção contra vazamentos mantém o DNS dentro da VPN com regras de firewall; o kill switch cobre os momentos em que o túnel cai.

Se o vazamento continuar, corrija o sistema. No Windows, block-outside-dns num perfil do OpenVPN mantém as consultas fora de todos os outros adaptadores, e um túnel WireGuard que roteia tudo (0.0.0.0/0) com uma linha DNS = faz a porta 53 alcançar só o DNS do túnel. Desativar a smart multi-homed name resolution só interrompe as consultas paralelas; não é a solução.

No Linux com systemd-resolved, dê ao link da VPN o domínio de roteamento ~. para que nenhum outro link seja consultado. Deixe o app da VPN transportar ou bloquear o IPv6 em vez de desativar o IPv6, o que a Microsoft não recomenda. Remova o provedor personalizado de DNS seguro do navegador e o DNS personalizado do sistema enquanto usa a VPN.

No Android, defina o DNS particular como Desativado enquanto usa a VPN, como recomendam o Proton VPN e a Mullvad: um nome do host de DNS particular envia todas as consultas a esse provedor. Depois, rode o teste de novo: o antes e depois mostra quais servidores DNS sumiram.

As opções que importampor sistema

App de VPN · Configurações

Proteção contra vazamento de DNSmantém cada consulta dentro do túnel
Proteção contra vazamento de IPv6bloqueia o IPv6 ou o transporta no túnel
Kill switchnenhum tráfego enquanto o túnel está fora do ar
DNS personalizadodeixe desativado: em alguns apps, ele desativa a proteção contra vazamentos

Perfil OpenVPN (.ovpn)

block-outside-dns
# só no Windows: a porta 53 não alcança nenhum outro adaptador

WireGuard (.conf)

[Interface]
DNS = 10.2.0.1
# sem esta linha, o sistema mantém o DNS antigo
[Peer]
AllowedIPs = 0.0.0.0/0, ::/0
# WireGuard para Windows: com uma rota /0, a porta 53 só alcança o DNS acima

Windows 11 · Settings

SettingsNetwork & internetWi-FiManage known networks

DNS server assignmentnuma VPN, um DNS digitado à mão pode se sobrepor à proteção contra vazamentos delaAutomatic (DHCP)

Deixe o IPv6 ativado: a Microsoft não recomenda desativá-lo. Use a proteção contra vazamento de IPv6 do app da VPN.

Group Policy

Computer Configuration › Network › DNS Client
Turn off smart multi-homed name resolution = Enabled
# só interrompe as consultas paralelas: não é a solução

valor do registro

DisableSmartNameResolution

Verificar o DNS do sistema

C:\> nslookup -type=txt whoami.leak.dnsrobot.net

macOS · System Settings

Apple menuSystem SettingsNetworkWi-FiDetailsDNS

DNS Serversremova os servidores que você adicionou à mão enquanto usa uma VPN

Um perfil ou app de DNS criptografado que você ativou vale para o sistema inteiro, e um app de VPN não consegue redirecioná-lo.

Com uma VPN ativada, o iCloud Private Relay sai de cena.

Verificar o DNS do sistema

$ dns-sd -q whoami.leak.dnsrobot.net TXT
# roda até você pressionar Ctrl-C
$ dig +short TXT whoami.leak.dnsrobot.net
# o dig só pergunta ao resolvedor principal, do /etc/resolv.conf

Linux

systemd-resolvedUma consulta que não corresponde a nenhum domínio de roteamento vai para todos os links com rota padrão: a VPN e o Wi-Fi.a solução: dê ao link da VPN o domínio de roteamento ~.
NetworkManagerUma prioridade de DNS negativa no perfil da VPN exclui os servidores DNS das outras conexões.
/etc/resolv.confSem systemd-resolved: remova as linhas nameserver que sobrarem em /etc/resolv.conf depois de conectar.
# enviar cada consulta ao link da VPN
$ resolvectl domain wg0 '~.'
# NetworkManager: só o DNS do perfil da VPN
$ nmcli connection modify my-vpn ipv4.dns-priority -10

Verificar o DNS do sistema

$ resolvectl query --type=TXT whoami.leak.dnsrobot.net

Android · Settings

SettingsNetwork & internetPrivate DNS

Samsung: SettingsConnectionsMore connection settingsPrivate DNS

  • Off
  • Automatic
  • Private DNS provider hostname
  • Os fabricantes de VPN dizem para escolher “Off” enquanto você usa a VPN.
  • Um nome do host envia todas as consultas a esse provedor, por fora do DNS da VPN.

iPhone · Settings

SettingsWi-FiⓘConfigure DNS

  • Automatic
  • Manual

Um DNS que você digita vale só para aquela rede Wi-Fi e pode se sobrepor ao da VPN.

  • Um perfil ou app de DNS criptografado que você ativou vale para o sistema todo, e um app de VPN não consegue redirecioná-lo.
  • Com uma VPN ativada, o iCloud Private Relay sai de cena.

Chrome · Settings

SettingsPrivacy and securitySecurityAdvanced

Use secure DNS
  • your current service provider
  • a custom service provider

Edge: as mesmas opções, emSettingsPrivacy, search, and services

  • O modo automático só atualiza o seu provedor atual para DNS criptografado.
  • Um provedor personalizado envia as consultas por fora da VPN, onde o app da VPN não consegue redirecioná-las.
  • Os fabricantes de VPN vão além e dizem para desativá-lo.

Firefox · Settings

DNS over HTTPS

  • Default Protection
  • Increased Protection
  • Max Protection
  • Off
  • “Default Protection” desativa o DNS over HTTPS quando detecta uma VPN.
  • “Increased” e “Max” mantêm o provedor que você escolheu, por fora do DNS da VPN.
  • Ativado por padrão só em Estados Unidos, Canadá, Rússia e Ucrânia.
Os nomes das opções variam de app para app: estes são rótulos genéricos. Os nomes dos menus são os rótulos em inglês dos fabricantes. 10.2.0.1 é o DNS do Proton VPN dentro do túnel, como exemplo; a opção do OpenVPN só funciona no Windows.

Seu DNS personalizado funciona? Teste de DNS para 1.1.1.1, NextDNS, AdGuard ou Pi-hole

Escolha o que você configurou em O que você está verificando? e rode o teste: o veredito diz se esse serviço responde de verdade. Uma configuração que funciona mostra só esse serviço, muitas vezes a partir da rede de um parceiro ou de uma hospedagem, e não da própria rede dele, como mostra a tabela. Depois que funcionar, o Teste de velocidade de DNS o cronometra contra outros resolvedores a partir da sua conexão.

Um Pi-hole encaminha as consultas ao DNS upstream dele, então o teste mostra esse upstream (a Cloudflare, por exemplo), e não o Pi-hole. Com o Unbound, ele consulta os nomes sozinho, então aparece o endereço da sua própria casa: normal sem VPN. A Cloudflare e o NextDNS também confirmam os próprios serviços, na página de verificação da Cloudflare e em test.nextdns.io.

Se em vez disso aparecer o seu provedor, um roteador, um app ou o navegador está se sobrepondo à sua escolha, ou algo redireciona a porta 53; alguns roteadores roteiam errado até o próprio 1.1.1.1. A verificação pela linha de comando ajuda a descobrir qual.

O que cada serviço deve mostraro exemplo de uma conexão

ServiçoVocê configuraEste teste deve mostrarMuitas vezes chega de
Cloudflare1.1.1.1DNS público Cloudflarea própria rede · AS13335
Google Public DNS8.8.8.8DNS público Googleas próprias faixas publicadas · AS15169 +3 outros
Quad99.9.9.9DNS público Quad9um parceiro, como Equinix · AS15830
NextDNSseu ID de configuraçãoHospedagem NextDNS prováveluma hospedagem, como Vultr · AS20473
AdGuard DNS94.140.14.14Hospedagem AdGuard prováveluma hospedagem, como Datacamp (CDN77) · AS60068
Control D76.76.2.0DNS público Control Duma hospedagem regional · AS146943
Pi-holeo endereço do seu Pi-holeDNS público o upstream do seu Pi-hole, ou Seu próprio com Unbounda rede do seu upstream, ou o seu próprio endereço
“Muitas vezes chega de” é o exemplo de uma conexão (checagem de fatos, 24 de out. de 2026); a sua pode ser diferente. A página não depende disso: ela pergunta a cada serviço, por DNS over HTTPS, qual endereço ele usa para você, e diz “provável” quando um serviço não pode ser consultado.

Como verificar vazamentos de DNS pela linha de comando?

Rode nslookup -type=txt whoami.leak.dnsrobot.net: o nosso servidor de nomes responde com o endereço do servidor DNS que perguntou, o padrão do seu sistema. No Mac, use dns-sd -q whoami.leak.dnsrobot.net TXT (pare com Ctrl-C), porque lá o dig só vê a configuração de DNS principal; no Linux, resolvectl query --type=TXT whoami.leak.dnsrobot.net. O painel de comandos copia cada um.

Este teste vê o DNS que o seu navegador usa, e os apps podem seguir outro caminho: um provedor personalizado de DNS seguro no Chrome ou no Firefox recebe as consultas do navegador no lugar do DNS do sistema. Se o navegador e o comando discordarem, o vazamento está só em um deles.

Acrescente 1.1.1.1 no fim para perguntar diretamente à Cloudflare (dig @1.1.1.1 TXT whoami.leak.dnsrobot.net +short num Mac ou no Linux). A resposta deve ser um endereço da rede da Cloudflare. O endereço de qualquer outra rede é um forte indício de que algo responde ao DNS destinado ao 1.1.1.1: o app da sua VPN (alguns fazem isso de propósito), um software de segurança, o seu roteador ou o seu provedor.

Se você opera o seu próprio resolvedor, como Pi-hole com Unbound, a resposta é o endereço da sua própria casa: lembre-se disso antes de colá-la em qualquer lugar.

Duas verificações num terminalnslookup do Windows, formato real da saída

1 · o DNS do seu sistema

C:\> nslookup -type=txt whoami.leak.dnsrobot.net
Server:  cache2.broadband.example
Address:  203.0.113.53

Non-authoritative answer:
whoami.leak.dnsrobot.net        text =

        "203.0.113.53"

DNS de Example Broadband: o mesmo servidor do teste do navegador, então aqui o navegador e o sistema seguem o mesmo caminho.

Tem o seu próprio resolvedor (Pi-hole com Unbound)? Então a resposta é o seu próprio endereço público.

2 · o teste de sequestro de DNS

C:\> nslookup -type=txt whoami.leak.dnsrobot.net 1.1.1.1
Server:  one.one.one.one
Address:  1.1.1.1

Non-authoritative answer:
whoami.leak.dnsrobot.net        text =

        "192.0.2.10"

Um endereço da Cloudflare (AS13335): a sua consulta chegou à Cloudflare, como pedido. Isso por si só não prova que não há nada no meio: um proxy pode repassar as consultas a 1.1.1.1.

Se tivesse mostrado "203.0.113.53": um forte indício de que algo redireciona o seu DNS: o app da sua VPN (alguns fazem isso de propósito), um software de segurança, o seu roteador ou o seu provedor.

O formato da saída real do nslookup do Windows contra o nosso servidor de nomes, com endereços de documentação. O próprio painel da ferramenta copia estes comandos para Windows, macOS e Linux, e PowerShell.

Vazamento de DNS, de IPv6 e de WebRTC: qual é a diferença?

São três caminhos diferentes por fora de uma VPN. Um vazamento de DNS mostra ao seu provedor os nomes que você consulta; um vazamento de IPv6 envia tráfego IPv6 com o seu endereço real; um vazamento de WebRTC deixa um site ler o seu endereço pelo recurso de chamadas em tempo real do navegador. Um teste completo de vazamento de VPN, ou de vazamento de IP, verifica os três.

Esta página verifica os dois primeiros num só teste: os servidores DNS que perguntam e por onde sai o seu endereço IPv6, numa linha própria abaixo do resultado. O WebRTC nunca passa pelo DNS, então tem o próprio teste de vazamento WebRTC; os endereços que os sites veem estão em Qual é meu IP, e se você alcança sites IPv6, no Teste IPv6.

Ela também funciona como teste de vazamento de DNS por IPv6, com um limite: o nosso servidor de nomes só é acessível por IPv4, então cada servidor DNS aparece pelo endereço IPv4. Uma consulta que o seu dispositivo envia por IPv6 continua sendo captada, porque o servidor DNS que ela alcança precisa nos perguntar por IPv4; um raro servidor DNS só IPv6 não consegue nos alcançar e aparece como nada chegou.

Três caminhos por fora de uma VPNuma conexão, três verificações

TÚNEL VPN · M247Consultas DNSWebRTCTráfego IPv6os nomes que você visitaendereços que ele ofereceo seu próprio endereçofora do túnel: esta VPN só transporta IPv4DNS da sua VPN198.51.100.53 · M247não verificado por este testeExample Broadband · IPv62001:db8:4a1f:7c00::1cTÚNEL VPN · M247Consultas DNSWebRTCTráfego IPv6os nomes que você visitaendereços que ele ofereceo seu próprio endereçofora do túnel: esta VPN só transporta IPv4DNS da sua VPN198.51.100.53 · M247não verificado por este testeExample Broadband · IPv62001:db8:4a1f:7c00::1c
  • Vazamento de DNSOs servidores DNS que perguntaram: as linhas deste teste.
  • Vazamento de WebRTCOs endereços que o seu navegador pode compartilhar com sites: o teste de vazamento WebRTC os verifica.
  • Vazamento de IPv6Por onde sai o seu tráfego IPv6: uma linha própria abaixo do resultado deste teste.
O exemplo de vazamento de IPv6 da ferramenta: o DNS passa pelo túnel até o DNS da VPN, então não há vazamento de DNS, enquanto o IPv6 sai via Example Broadband porque esta VPN só transporta IPv4. O WebRTC precisa de um teste próprio.

O que uma VPN deve mostrar num DNS leak test?

Só o DNS da própria VPN: um servidor na rede da VPN ou do parceiro dela, normalmente perto do servidor a que você se conectou. O nome do seu provedor de internet nunca deve aparecer enquanto a VPN está ligada; Qual é meu ISP mostra qual rede os sites veem no lugar dele.

Os fabricantes descrevem isso de jeitos diferentes. A Surfshark diz que um DNS leak test da Surfshark deve mostrar um servidor DNS com o mesmo endereço da sua VPN; o Proton VPN e a Windscribe dizem que o endereço é diferente, mas fica no mesmo lugar. A Mullvad usa o servidor DNS do servidor VPN a que você está conectado, a ExpressVPN opera o próprio DNS criptografado em cada servidor, e a NordVPN publica os dois endereços DNS dela.

Então, um DNS leak test da ExpressVPN, da Mullvad ou da NordVPN, como qualquer teste de vazamento de DNS de VPN, passa quando nenhum servidor DNS está na rede do seu provedor, seja qual for o endereço: este teste nunca compara endereços. A regra da própria Mullvad é mais rígida: lá, qualquer servidor DNS que não seja da Mullvad conta como vazamento.

Um DNS personalizado no app da VPN muda o cenário: o “Use Existing DNS” da PIA e a opção de DNS personalizado da Mullvad enviam as consultas por fora do DNS da própria VPN, então é esse servidor que aparece. A tabela lista o que as páginas de ajuda de cada VPN dizem; não é uma classificação nem uma recomendação.

O que sete VPNs dizem que você deve verdas próprias páginas de ajuda delas

VPNDNS próprio por padrãoO que este teste mostraEndereço DNS que ela publica
MullvadsimO servidor DNS no servidor Mullvad a que você está conectadonão divulgado
Proton VPNsimUm servidor DNS no mesmo data center do seu servidor VPN, num endereço diferente; pode pertencer a um parceiro10.2.0.1
NordVPNsimOs próprios servidores DNS de NordVPN103.86.96.100103.86.99.100
SurfsharksimUm servidor DNS do mesmo local; Surfshark diz que os seus endereços IP e DNS coincidemnão divulgado
ExpressVPNsimO próprio DNS criptografado de ExpressVPN, presente em todos os servidores do serviçonão divulgado
Private Internet AccesssimO DNS de PIA, o padrão do app10.0.0.24210.0.0.243
WindscribesimDNS próprio no mesmo país, normalmente não exatamente o seu endereço da VPN10.255.255.x
Das próprias páginas de ajuda de cada VPN, lidas em 24 de out. de 2026. As regras delas diferem (Surfshark: o mesmo endereço; Proton e Windscribe: um endereço diferente no mesmo lugar), então o teste nunca compara endereços: se nenhum servidor DNS está na rede do seu provedor, não há vazamento.

DNS leak test: perguntas frequentes

O que é um vazamento de DNS (DNS leak), e isso é ruim?

Um vazamento de DNS acontece quando os servidores DNS do seu provedor de internet respondem às suas consultas enquanto você está numa VPN. Isso importa se você conta com a VPN para ter privacidade: o seu provedor passa a ver o nome de cada site que você consulta, mesmo com o tráfego passando pelo túnel. Sem VPN, o DNS do seu provedor é o caminho normal, não um vazamento. O teste diz em qual caso você está.

Meu provedor consegue ver o que eu acesso se o DNS vazar?

Ele consegue ver os nomes dos sites que você consulta, como example.com, e quando. Não consegue ver as páginas nem o que você digita, porque o HTTPS os criptografa. Com uma VPN funcionando, ele só vê o túnel. Com um vazamento de DNS, volta a ver os nomes: o DNS comum não é criptografado, mesmo quando o próprio site usa HTTPS (RFC 9076).

Uma VPN resolve vazamentos de DNS?

Um bom app de VPN os evita enviando cada consulta ao próprio DNS dentro do túnel, desde que a proteção contra vazamento de DNS esteja ativada e nada no seu dispositivo se sobreponha a ela. Os adaptadores de rede do Windows, o IPv6, um provedor personalizado de DNS seguro no navegador e o DNS particular do Android ainda podem enviar consultas para outro lugar. Rode o teste depois de se conectar para conferir.

Por que o teste mostra um servidor DNS em outro país?

Os serviços de DNS respondem do mais próximo de muitos locais, e esse local pode perguntar a outros servidores de nomes a partir de um endereço registrado em outro lugar ou da rede de um parceiro. O DNS de uma VPN também pode ficar num data center próximo. Outro país nunca é vazamento por si só: o que importa é de quem é o servidor, e o rótulo em cada linha diz isso.

Por que vejo o Google ou a Cloudflare se eu não os configurei?

Algo no seu dispositivo ou na rede envia consultas para lá: um DNS seguro personalizado no navegador, as configurações do roteador, o app da VPN ou um app de DNS. Se o DNS do sistema é 1.1.1.1 ou 8.8.8.8, o Chrome pode seguir usando esse serviço por HTTPS, por fora de uma VPN que só captura a porta 53. Nada disso é vazamento por si só, e, numa VPN, essas consultas chegam pelo endereço da VPN, não pelo seu.

O teste não encontrou nenhum servidor DNS. Isso quer dizer que não há vazamento?

Não. “Nada chegou” quer dizer que nenhum servidor DNS perguntou ao nosso servidor de nomes, normalmente porque um bloqueador de anúncios, uma lista do Pi-hole, um DNS com filtro ou um bloqueio na rede barrou os nomes do teste, então o teste não consegue ver o seu DNS. Libere *.leak.dnsrobot.net e rode o teste de novo, ou tente o teste estendido. Um resultado vazio nunca é tratado como aprovação.

Este DNS leak test é privado?

O teste consulta nomes aleatórios no nosso domínio; o nosso servidor de nomes guarda na memória, por 10 minutos, os servidores DNS que perguntaram e depois esquece. Para ler o seu outro endereço e identificar serviços de DNS público, o navegador também faz uma ou duas perguntas ao ipify e a alguns serviços de DNS, que assim veem o seu IP. Uma sub-rede repassada sobre você só aparece para você. Seu último resultado fica no navegador, e você pode apagá-lo.

O que é um vazamento de IPv6, e este teste o verifica?

Um vazamento de IPv6 acontece quando a sua VPN transporta o tráfego IPv4, mas o seu tráfego IPv6 sai pelo seu provedor, com o seu endereço IPv6 real. O teste verifica, na mesma execução, por onde sai o seu endereço IPv6 e o mostra numa linha própria. A solução é a proteção contra vazamento de IPv6 do app da VPN ou uma VPN que transporte IPv6; a Microsoft não recomenda desativar o IPv6.

O DNS over HTTPS impede vazamentos de DNS?

Ele esconde as consultas da sua rede, não da empresa de DNS que as recebe, então um serviço DoH como Cloudflare ou NextDNS não é vazamento para o seu provedor. Já um provedor DoH personalizado no navegador passa por fora do DNS da VPN. O modo automático do Chrome mantém o seu provedor atual, e o Firefox só ativa o DoH por padrão nos EUA, no Canadá, na Rússia e na Ucrânia e sai de cena diante de uma VPN.

Posso ter um vazamento de DNS sem VPN?

Não no sentido usual: sem VPN, o DNS do seu provedor é o caminho normal. O que pode acontecer é que um DNS que você escolheu, como o 1.1.1.1, não seja o que responde, porque o seu roteador, um app ou o seu provedor se sobrepõe a ele ou redireciona a porta 53. Escolha esse serviço em “O que você está verificando?” e o veredito diz se ele responde de verdade.

Como corrigir um vazamento de DNS no Android ou no iPhone?

No Android, deixe o DNS particular como Desativado enquanto usa uma VPN: o nome do host configurado ali envia todas as consultas a esse provedor, não à VPN. No iPhone, um perfil ou app de DNS criptografado, depois de ativado, vale para o sistema inteiro: remova os que não usa mais. Com o iCloud Private Relay ativado, os parceiros de relay da Apple fazem as consultas do Safari, então os servidores deles aparecem; uma VPN tem prioridade sobre o Private Relay.

Com que frequência devo testar vazamentos de DNS?

Depois de instalar ou atualizar um app de VPN, depois de mudar as configurações de DNS e sempre que trocar de rede, como do Wi-Fi de casa para um café ou para os dados móveis. Cada rede distribui o próprio DNS, e uma VPN que cai pode voltar a ele por um instante. A página guarda o seu último resultado no seu navegador, então cada novo teste mostra quais servidores DNS mudaram.

Sentiu falta de algo?Sugira um recurso ou uma nova ferramenta

Mais ferramentas de DNS e rede