DNS sobre HTTPS (DoH): o que é e como testá-lo

O que o DoH realmente faz

O DoH envia consultas e respostas DNS dentro de HTTPS, o mesmo protocolo usado para a navegação web normal, em vez do tradicional UDP ou TCP em texto simples na porta 53. Para um observador na rede, uma consulta DoH é indistinguível de qualquer outro pedido HTTPS a esse servidor.

Por que importa

Uma consulta DNS em texto simples revela a qualquer pessoa no caminho — o seu fornecedor de internet, o operador de um Wi-Fi público ou um atacante no caminho — todos os domínios que consulta, mesmo que o site em si seja depois carregado por HTTPS. O DoH encripta a própria consulta, fechando essa lacuna específica.

DoH versus DNS sobre TLS (DoT)

O DoT encripta o DNS da mesma forma, mas através da sua própria porta dedicada, a 853. Isso torna-o tão fácil de bloquear como o DNS normal — um operador de rede só precisa de bloquear uma porta. O DoH partilha deliberadamente a porta 443 com o tráfego HTTPS normal, o que torna muito mais difícil bloqueá-lo sem também bloquear grande parte da web.

O compromisso

Essa mesma propriedade é o que torna o DoH genuinamente controverso: pode contornar a filtragem baseada em DNS configurada ao nível da rede — por um empregador, uma escola ou software de controlo parental — já que o tráfego deixa de parecer DNS para quem monitoriza a porta 53. Este é um compromisso real, ativamente debatido, entre a privacidade individual e a aplicação de políticas de rede, não uma nota técnica resolvida.

Verificar se o DoH está ativo

Testar diretamente o endpoint DoH de um resolvedor confirma se responde corretamente via HTTPS, independentemente de o seu navegador ou sistema operativo estarem realmente configurados para o usar no dia a dia.