O que o DNS revela sobre você, explicado sem complicação

O DNS é a lista telefônica da internet. Seu celular conhece nomes como banco.example, mas a rede transporta dados entre endereços numéricos. Por isso, antes que um site, um app ou uma notificação carregue, o celular pergunta a um resolvedor: "onde fica esse nome?". Isso acontece centenas de vezes por dia sem você perceber.

Cada pergunta é minúscula. Juntas, elas formam um diário bem detalhado. Aqui explicamos o que tem nesse diário, quem pode lê-lo e o que muda de verdade quando você ativa o DNS criptografado ou uma VPN.

O que suas consultas DNS revelam

Uma consulta leva um nome, não uma página. Ela diz "saude.example", não qual matéria você leu nesse site. Esse limite importa, e mesmo assim é muita coisa:

O IETF, a organização que escreve os padrões da internet, diz sem rodeios na RFC 9076: seu resolvedor "sabe muito sobre você".

Quem consegue ver uma consulta

Uma consulta dá vários saltos, e cada um vê uma coisa diferente.

1. A rede em que você está. O DNS clássico viaja sem criptografia na porta 53. Quem administra o Wi-Fi (uma cafeteria, um hotel, a empresa, quem tem o roteador em casa) e sua operadora conseguem ler cada nome. Quem controla um ponto de acesso também pode mudar as respostas e mandar você para outro lugar; nosso guia sobre Wi-Fi falso mostra como as redes falsas usam isso. Para ver na sua própria conexão, experimente nossa ferramenta O que a sua rede Wi-Fi vê.
2. O resolvedor. Por padrão, é o da operadora ou o que o Wi-Fi entrega. Ele vê cada nome que você consulta e o endereço de onde você pergunta. O que ele guarda, e por quanto tempo, quem decide é quem o administra.
3. Os servidores DNS. O resolvedor pergunta aos servidores responsáveis pela raiz, por .example e por banco.example. Eles veem o endereço do resolvedor, não o seu. Dois padrões definem quanto eles descobrem: a minimização do nome consultado (RFC 9156) manda a cada servidor só a parte do nome de que ele precisa, e a opção de sub-rede do cliente (RFC 7871) deixa alguns resolvedores repassarem parte do seu IP para o site escolher um servidor próximo.

O que o DNS criptografado muda

Três padrões criptografam o trajeto entre o celular e o resolvedor:

Com qualquer um deles, o Wi-Fi e a operadora não conseguem mais ler nem reescrever os nomes. Duas coisas não mudam:

• O resolvedor continua vendo tudo. A criptografia protege o caminho, não o destino. Você transferiu a confiança da rede para quem administra o resolvedor.
• A rede continua vendo aonde você se conecta. Depois da consulta, o celular se conecta ao endereço IP do site, e a maioria das conexões HTTPS ainda anuncia o nome do site na primeira mensagem do TLS (a indicação de nome do servidor, SNI). O Encrypted Client Hello (RFC 9849) esconde esse nome, mas só quando o navegador e o site têm suporte.

Ou seja, o DNS criptografado é uma melhoria real e, sozinho, não dá privacidade diante da rede. O DNS privado do Android tem três modos (desativado, automático e um nome de provedor que você escolhe), como o Google explicou ao lançar o recurso; nosso guia sobre DNS privado ou VPN explica qual escolher.

O que uma VPN muda

Uma VPN criptografa tudo, não só o DNS. A rede vê uma única conexão criptografada até o servidor VPN; as consultas, os endereços IP a que você se conecta e os nomes dos sites no TLS viajam lá dentro. Uma VPN bem feita também responde ela mesma às suas consultas, dentro do túnel, para que nunca passem pelo resolvedor do Wi-Fi ou da operadora.

Isso concentra tudo em um só lugar: agora é o resolvedor da VPN que vê cada nome. Se isso é uma melhoria depende inteiramente do que o provedor guarda, e é por isso que a política de registros de uma VPN não é detalhe. A nossa está escrita linha por linha em o que guardamos e quem paga.

O que o DNS não revela

Para manter a proporção:

• Nem a página nem o conteúdo. Com HTTPS, uma consulta a noticias.example não mostra qual matéria você leu, o que digitou ou o que comprou.
• Nem suas mensagens. Apps com criptografia de ponta a ponta deixam ver o nome dos servidores, não o que você diz.
• Nem sempre sua identidade. O resolvedor vê um endereço IP, não um nome. Mas um endereço somado a um padrão de consultas pode bastar para reconhecer uma casa.

A navegação anônima do navegador não muda nada disso: ela só evita que o histórico fique salvo no seu próprio celular.

Como a PryVPN cuida do DNS

O DNS da PryVPN foi construído em torno desse último ponto:

• Cada servidor da PryVPN tem seu próprio resolvedor, acessível só dentro do túnel, então suas consultas nunca atravessam o Wi-Fi sem criptografia.
• O resolvedor confere as assinaturas DNSSEC e rejeita respostas falsificadas.
• Ele responde na memória e não registra suas consultas; só ficam totais sem identificadores.
• Os filtros são opcionais e por categoria (rastreadores e malware ligados por padrão, anúncios só se você ativar). Eles funcionam porque o resolvedor confere nomes, nunca porque anota quem perguntou. O artigo sobre filtros DNS traz os detalhes.
• O teste de vazamento do app mostra qual servidor DNS seu celular usa de verdade e avisa se o DNS privado do Android estiver mandando as consultas para outro lugar.

Checklist de cinco minutos

1. Em Wi-Fi público ou compartilhado, não use o DNS comum. Ative o DNS privado (Configurações › Rede e internet › DNS privado) ou use uma VPN.
2. Escolha o resolvedor de propósito. Procure uma lista publicada do que ele guarda e por quanto tempo.
3. Não empilhe configurações às cegas. Se uma VPN cuida do seu DNS, um nome fixo no DNS privado pode tirar as consultas do túnel e desligar os filtros dela. Com a VPN ligada, o normal é deixar em "Automático".
4. Confira, não suponha. Um teste de vazamento de DNS mostra qual resolvedor você usa de fato.
5. Lembre do HTTPS. Ele protege o conteúdo; a privacidade do DNS protege a lista de lugares.

Perguntas frequentes

O dono do Wi-Fi vê minhas consultas DNS na navegação anônima?

Vê. A navegação anônima só afeta o que o navegador guarda no celular. As consultas passam pela rede do mesmo jeito.

O DNS mostra as páginas exatas que eu visito?

Não. Mostra nomes como forum.example, não o endereço da página nem o que tem nela. Com HTTP sem criptografia (raro hoje), a rede veria mais, mas aí já não é o DNS.

DNS sobre HTTPS basta sozinho?

Ele impede que a rede leia e altere suas consultas. Não esconde a quais endereços IP você se conecta, e a maioria dos sites ainda revela o nome ao abrir o TLS. É um bom passo, não uma solução completa.

Uma VPN vê meu DNS?

O resolvedor dela vê, se a VPN cuida do DNS, como deveria. Por isso a política de registros do provedor pesa tanto quanto a criptografia.

O resolvedor da PryVPN foi feito para que a resposta a "o que vocês guardaram?" seja curta. Se quiser experimentar, você pode entrar na beta.

Viu algum erro? Escreva para support@pryvpn.com; a gente corrige e atualiza a data.