Quando você digita um endereço no navegador, há uma etapa invisível antes de a página abrir: o sistema precisa descobrir qual endereço IP corresponde ao domínio. Essa consulta passa pelo DNS, o sistema de nomes que funciona como uma agenda da internet. O problema é que o DNS tradicional costuma enviar consultas e respostas sem criptografia. Redes, provedores e qualquer pessoa capaz de observar o tráfego podem descobrir quais domínios foram consultados, mesmo quando a página final usa HTTPS.
A Cloudflare explica que DNS over TLS (DoT) e DNS over HTTPS (DoH) foram criados para proteger esse trecho da comunicação. Os dois usam criptografia, mas transportam os dados de formas diferentes. Isso muda o que um administrador de rede consegue enxergar, quais políticas pode aplicar e como a conexão se mistura ao restante do tráfego web.
Por que proteger o DNS é importante
Uma consulta DNS não contém necessariamente o conteúdo da página, mas revela uma intenção de navegação. A sequência de domínios consultados pode indicar serviços usados, pesquisas realizadas ou sistemas acessados. Em uma rede corporativa, essa visibilidade pode ser necessária para detectar tráfego malicioso. Em uma rede pública ou doméstica, porém, ela também pode expor hábitos de navegação a intermediários.
O HTTPS protege a comunicação entre o navegador e o site depois que a conexão é estabelecida. Ele não esconde automaticamente a consulta que encontra o endereço do site. Por isso, criptografar o DNS é uma camada complementar: a consulta e a resposta deixam de circular como texto legível e ficam mais difíceis de alterar ou forjar durante o caminho.
Essa proteção não torna o usuário invisível. O resolvedor escolhido ainda pode receber as consultas, e outros sinais de rede continuam existindo. O ganho é reduzir a exposição do pedido DNS e dificultar a manipulação da resposta. A decisão deve considerar quem opera o resolvedor, quais registros são mantidos e quais políticas existem na rede.
Como funciona o DNS over TLS
O DNS over TLS, conhecido como DoT, usa o protocolo TLS para criptografar e autenticar a comunicação DNS. A Cloudflare descreve o DoT como DNS sobre o protocolo de transporte usado para consultas DNS, com uma camada TLS que impede que terceiros leiam o conteúdo ou alterem as mensagens sem serem detectados.
O padrão usa a porta 853. Essa porta dedicada facilita identificar que determinado tráfego é DNS criptografado. Isso pode ser útil para administradores que precisam monitorar, permitir ou bloquear consultas de acordo com regras de segurança. A mesma característica, entretanto, faz com que o tráfego DoT seja mais fácil de distinguir de outras conexões.
Na prática, o DoT preserva uma separação clara entre DNS e o restante do tráfego. Um administrador pode aplicar políticas específicas ao resolvedor, investigar comportamento suspeito e impedir o uso de servidores não autorizados. Para ambientes gerenciados, essa previsibilidade é uma vantagem importante, desde que a política seja transparente e proporcional.
Como funciona o DNS over HTTPS
O DNS over HTTPS, ou DoH, também criptografa consultas e respostas, mas as envia por conexões HTTPS. Em vez de usar a porta dedicada 853, o DoH normalmente usa a porta 443, a mesma associada ao tráfego web protegido. Para quem observa a rede, as consultas ficam misturadas com outras interações HTTPS de sites e aplicações.
Essa camuflagem dificulta separar uma consulta DNS de uma conexão HTTPS comum sem bloquear uma quantidade muito maior de tráfego. O resultado pode oferecer mais privacidade contra observação simples da rede, especialmente em redes nas quais o usuário não controla o administrador. A Mozilla, por exemplo, passou a habilitar DoH por padrão para usuários dos Estados Unidos no Firefox em 2020, segundo a fonte consultada.
O outro lado é o controle operacional. Quando o navegador escolhe diretamente um provedor DoH, as políticas de DNS da rede podem deixar de valer como esperado. Isso pode atrapalhar filtros de segurança, resolução interna de nomes e ferramentas de resposta a incidentes. DoH não é automaticamente melhor em todo ambiente; a configuração do navegador e do resolvedor faz diferença.
DoT e DoH: diferenças em uma comparação direta
| Aspecto | DNS over TLS | DNS over HTTPS |
|---|---|---|
| Transporte | DNS protegido por TLS | DNS transportado por HTTPS |
| Porta típica | 853 | 443 |
| Visibilidade | O tráfego é identificável como DoT | Fica misturado a outras conexões HTTPS |
| Controle de rede | Mais simples de aplicar por protocolo | Pode ser mais difícil sem bloquear HTTPS |
| Privacidade contra observação local | Melhor que DNS em texto claro | Melhor que DNS em texto claro e menos distinguível |
A diferença mais importante não é a existência de criptografia: os dois métodos protegem o conteúdo da consulta. O ponto central é o transporte. O DoT deixa uma assinatura de rede mais explícita por usar a porta 853. O DoH se parece com outras sessões HTTPS por usar a porta 443. Essa diferença afeta privacidade, administração e compatibilidade.
Para uma rede corporativa, escola ou laboratório, o DoT pode ser uma escolha mais fácil de governar. O administrador consegue direcionar clientes para um resolvedor aprovado e observar o protocolo sem inspecionar o conteúdo da consulta. Para usuários que dependem de uma rede com monitoramento invasivo ou filtragem pouco transparente, o DoH pode reduzir a visibilidade direta das consultas, mas exige confiança no provedor escolhido pelo navegador.
Qual escolher em cada cenário
Não existe uma resposta universal. Se a prioridade é integrar o DNS criptografado a uma política administrada, o DoT oferece uma fronteira técnica clara. Ele pode ser combinado com regras de firewall, listas de resolvedores autorizados e registros operacionais. O cuidado é não confundir criptografia com privacidade absoluta: a rede ainda consegue saber que existe tráfego DoT e o resolvedor continua sendo um ponto de confiança.
Se a prioridade é esconder consultas no fluxo HTTPS comum, o DoH tende a ser mais adequado. Ele reduz a capacidade de uma observação superficial identificar o tráfego DNS, mas pode contornar controles locais quando configurado sem coordenação. Em computadores gerenciados, a decisão deve vir da política de segurança, não apenas de uma preferência do navegador.
Também vale verificar o resolvedor antes de ativar qualquer opção. Procure informações sobre retenção de dados, tratamento das consultas, suporte a DNSSEC e possibilidade de usar um servidor confiável. A Cloudflare diferencia esses protocolos do DNSSEC: DNSSEC ajuda a verificar autenticidade e integridade das respostas, mas não substitui a criptografia das consultas. DoT e DoH protegem o transporte; DNSSEC resolve outro problema.
Conclusão: criptografia é o começo da decisão
DoT e DoH eliminam uma fragilidade importante do DNS tradicional ao criptografar consultas e respostas. O DoT usa a porta 853 e é mais fácil de identificar e administrar. O DoH usa HTTPS, normalmente na porta 443, e mistura o DNS ao tráfego web, oferecendo uma camada adicional de privacidade contra observação simples. Nenhum dos dois elimina a necessidade de escolher um resolvedor confiável ou de revisar a política da rede.
Para decidir, pergunte primeiro quem precisa controlar o DNS e contra qual tipo de observação você quer se proteger. Em ambientes administrados, previsibilidade e aplicação de políticas podem pesar mais. Em redes nas quais a privacidade local é a preocupação principal, a camuflagem do DoH pode ser relevante. A escolha correta é a que combina protocolo, resolvedor e governança sem prometer anonimato que a tecnologia não entrega.
