DNS over HTTPS: guia de configuração do navegador para 2026 (Chrome, Firefox, Edge, Safari)

DNS over HTTPS (DoH) cifra as tuas consultas DNS dentro de um túnel HTTPS genérico (porta 443) em vez de as deixar viajar em texto simples por UDP/53 para o resolver do teu fornecedor. Concretamente: o teu fornecedor já não vê a lista de domínios que visitas, o teu hotspot Wi-Fi público já não pode redirecionar silenciosamente as tuas consultas para um resolver comprometido, e o teu operador de rede empresarial perde a visibilidade detalhada sobre a tua atividade. É uma melhoria significativa da privacidade — mas configurá-lo corretamente em 2026 exige compreender as interações com VPN, controlo parental e o novo padrão ECH. Eis a configuração passo a passo para Chrome, Firefox, Edge, Safari, mais a comparação dos três principais resolvers DoH (Cloudflare, NextDNS, Quad9) e as armadilhas conhecidas.

Porquê configurar o DoH em 2026?

O DNS clássico (RFC 1035, 1987) envia cada resolução de domínio por UDP na porta 53, em texto simples. Quando escreves nordvpn.com no Chrome, o teu navegador pede ao teu resolver DNS (normalmente o do fornecedor: Comcast, Verizon, Spectrum, BT, Deutsche Telekom) para traduzir esse nome num endereço IP. Esta consulta é legível por:

• O teu fornecedor (os fornecedores dos EUA vendem dados de navegação anonimizados desde 2017; os fornecedores do UK conservam registos DNS durante 12 meses ao abrigo do Investigatory Powers Act 2016).
• O operador de Wi-Fi público (café, hotel, aeroporto — captura passiva trivial).
• O teu router (modelos de consumo registam as consultas para os controlos parentais integrados).
• A tua entidade empregadora em redes empresariais (Cisco Umbrella, Zscaler intercetam UDP/53).
• Qualquer intermediário no percurso de rede (MITM trivial em UDP sem cifra).

O DoH (RFC 8484, 2018) resolve isto: a consulta DNS é encapsulada em HTTP/2 ou HTTP/3 na porta 443 (HTTPS padrão), portanto cifrada de ponta a ponta entre o teu navegador e o resolver DoH. Para um observador no percurso, é tráfego HTTPS genérico indistinguível de uma visita ao Gmail ou à Wikipédia. Nenhuma forma de extrair a lista de domínios visitados sem quebrar o TLS — economicamente e tecnicamente irrealista em larga escala.

O DoH não resolve todos os problemas de privacidade. O IP de destino mantém-se visível (a ligação TLS subsequente a nordvpn.com mostra que te ligas ao IP de nordvpn.com — Cloudflare neste caso — visível do lado da rede). E o SNI (Server Name Indication) no handshake TLS revela o hostname de destino em texto simples por predefinição. É aí que entra o ECH (Encrypted Client Hello) — detalhado abaixo. Combo vencedor 2026: DoH + ECH + VPN sem registos = tráfego web praticamente anónimo contra a vigilância passiva. Para o contexto mais amplo do porquê esta defesa em profundidade importa, vê porque é que a privacidade digital importa em 2026.

Configuração do DoH por navegador

Chrome / Edge / Brave / Opera (motor Chromium)

Todos os navegadores baseados em Chromium partilham a mesma implementação DoH desde 2020. A configuração é idêntica.

1. Abre chrome://settings/security (ou edge://settings/privacy no Edge).
2. Secção Segurança → encontra «Usar DNS seguro».
3. Ativa o interruptor. Aparecem duas opções:
   • Com o teu fornecedor de serviços atual: o Chrome usa DoH se o DNS do sistema o suportar (raro — a maioria dos fornecedores de consumo não expõe DoH).
   • Com: seleção manual do fornecedor a partir do menu pendente (Cloudflare 1.1.1.1, Google 8.8.8.8, NextDNS, Quad9, OpenDNS) ou introdução de um URL DoH personalizado.
4. Escolhe Personalizado → cola o URL DoH por resolver:
   • Cloudflare: https://1.1.1.1/dns-query
   • NextDNS: https://dns.nextdns.io/[o-teu-id-pessoal] (ID disponível no teu painel NextDNS)
   • Quad9: https://dns.quad9.net/dns-query
5. Guarda. A página recarrega automaticamente com o DoH ativo.

Verificação: vai a 1.1.1.1/help. Se «Using DNS over HTTPS (DoH)» mostrar Yes, validado. Se No, verifica a firewall local (Windows Defender, Little Snitch) que pode bloquear a porta 443 para os IP da Cloudflare em modo restritivo. Para validar que nenhum DNS vaza apesar do DoH ativo, segue a nossa metodologia completa de teste de fugas DNS.

Firefox

O Firefox implementou o DoH por predefinição nos EUA desde 2020, manualmente na Europa.

1. Abre about:preferences#privacy.
2. Desce até ao fundo → secção Definições de DNS over HTTPS.
3. Clica em Ativar DNS seguro usando → três modos:
   • Proteção máxima: DoH forçado, falha se indisponível (recomendado para a privacidade).
   • Proteção aumentada: DoH ativo, recurso ao DNS clássico se o DoH falhar (compromisso).
   • Desligado: DNS do sistema (fornecedor).
4. Escolhe o resolver: Cloudflare (predefinido), NextDNS ou «Personalizado» (introduz o URL DoH).
5. Guarda.

O Firefox tem uma grande vantagem: o ECH (Encrypted Client Hello) está ativo por predefinição desde a versão 118 (outubro de 2023). Nada a configurar — o Firefox negoceia automaticamente o ECH com a Cloudflare e outros CDN compatíveis. Para verificar: about:config → pesquisa network.dns.echconfig.enabled → deve estar true.

Safari (macOS / iOS)

O Safari não suporta DoH nativo como o Chrome ou o Firefox. A configuração acontece ao nível do sistema.

macOS Sonoma/Sequoia: instala um perfil de configuração DoH assinado.

1. A NextDNS fornece um perfil assinado em nextdns.io após a criação da conta. Descarrega o perfil .mobileconfig.
2. Abre o perfil → Preferências do Sistema → Perfis → Instalar.
3. Introduz a palavra-passe de administrador. O perfil DoH está ativo em todo o sistema, por isso o Safari (e todas as apps) usam-no automaticamente.

iOS 14+: Definições → Wi-Fi → toca na rede ativa → Configurar DNS → Manual → adiciona o URL DoH. Mais simples: instala o perfil NextDNS a partir do Safari móvel, aceita a instalação. Todas as apps iOS usam então o DoH (exceto as que forçam o seu próprio resolver — TikTok, algumas apps chinesas).

Para o DoH Cloudflare no iOS: instala a app gratuita «1.1.1.1» que configura o DoH do sistema e propõe opcionalmente o WARP (a VPN gratuita da Cloudflare, a não confundir com uma VPN de privacidade rigorosa).

Comparação dos três resolvers DoH dominantes

As listas de fornecedores pré-instaladas no Chrome e no Firefox (Cloudflare primeiro) facilitam a adoção por predefinição, mas a escolha do resolver continua a ser tua.

Quanto à velocidade, os rankings públicos independentes (como o DNSPerf) medem continuamente a latência destes resolvers a partir de muitos pontos de observação: a Cloudflare e a Google ficam regularmente entre os mais rápidos, enquanto a NextDNS e a Quad9 se mantêm competitivas na Europa. As diferenças reais dependem da tua localização, do teu fornecedor e do ponto de presença mais próximo — consulta um benchmark público para a tua situação específica.

Recomendação prática 2026:

• Maximalista da privacidade, simplicidade: Cloudflare 1.1.1.1 (o mais rápido, auditoria KPMG, zero configuração).
• Filtro personalizado (bloquear publicidade, trackers, parental): NextDNS, plano gratuito suficiente para uso pessoal <300k consultas/mês (um agregado familiar normal consome ~50-150k consultas/mês).
• Confiança numa organização, jurisdição suíça: Quad9, sem fins lucrativos, sem ligações às Big Tech dos EUA.

A evitar para a privacidade rigorosa: Google 8.8.8.8 (jurisdição dos EUA, registo 24-48h, óbvio interesse comercial publicitário) e os resolvers DoH oferecidos pelos fornecedores (Comcast, Verizon — política de registos = política do fornecedor, ou seja, nenhum ganho de privacidade).

Conflito DoH ↔ VPN: a fuga mais frequente em 2026

Este é o problema nº 1 identificado nas auditorias de fugas DNS pós-2022. Quando o Chrome/Firefox/Edge ativam o DoH por predefinição ao nível do navegador, as consultas DNS saem do navegador diretamente para a Cloudflare via HTTPS, contornando o DNS do sistema. Mas a VPN gere o DNS ao nível do sistema (encaminha as consultas UDP/53 pelo túnel). Consequência: o teu tráfego HTTP/HTTPS passa pela VPN, mas as tuas consultas DNS viajam via HTTPS diretamente fora da VPN — a lista de domínios que visitas mantém-se visível para a Cloudflare (potencialmente registada) e para a rede do fornecedor (que vê as ligações HTTPS para a Cloudflare ao lado da VPN).

Testa a tua situação: abre dnsleaktest.com em modo alargado → se vires a Cloudflare a responder (não o IP da tua VPN), o DoH do navegador está ativo e a contornar a VPN. Isso é tecnicamente uma fuga DNS residual.

Três soluções por ordem de preferência:

1. Desativar o DoH do navegador quando a VPN está ativa (definições do Chrome → DNS seguro → desligado). A VPN gere o DNS ao nível do OS e encaminha todas as consultas. Abordagem padrão. Desvantagem: exige uma reconfiguração a cada mudança VPN/não-VPN.
2. Usar uma VPN com DoH nativo integrado. A NordVPN Threat Protection inclui o seu próprio resolver DoH desde 2024, que encaminha as consultas DoH dentro do túnel WireGuard — sem fugas, navegação coerente. A ExpressVPN e a Mullvad adotaram a mesma abordagem.
3. Configurar o navegador no resolver DoH da VPN (avançado). A NordVPN expõe os seus resolvers internos em 103.86.96.X (confirma com o suporte — o IP varia por servidor). Não é a solução recomendada — demasiada fricção.

DoH em dispositivos móveis: iOS e Android

iOS 14+

Três abordagens consoante o nível de configuração desejado:

• Por Wi-Fi: Definições → Wi-Fi → rede ativa → Configurar DNS → Manual → adicionar o URL DoH. Desvantagem: configuração por rede, não se aplica nos dados móveis.
• Perfil de sistema (recomendado): instala um perfil .mobileconfig a partir do Safari móvel. A Cloudflare fornece 1.1.1.1 que preconfigura o DoH em todo o sistema. A NextDNS gera um perfil personalizado a partir do painel do utilizador, incluindo o ID da conta e as regras de filtro.
• App de terceiros: 1.1.1.1, AdGuard, app NextDNS. Configura o DoH ao nível de VPN local — todas as apps iOS usam automaticamente o DoH.

Android 9+

O Android usa oficialmente DoT (DNS over TLS) sob o rótulo «DNS privado» em Definições → Rede e Internet → DNS privado. Configuração:

1. Seleciona Nome de anfitrião do fornecedor de DNS privado.
2. Introduz o hostname (não o URL completo):
   • Cloudflare: 1dot1dot1dot1.cloudflare-dns.com
   • NextDNS: [o-teu-id].dns.nextdns.io
   • Quad9: dns.quad9.net
3. Guarda. DoT ativo em todo o sistema.

Para o DoH rigoroso no Android (em vez do DoT), instala uma app dedicada: AdGuard Android, app NextDNS, 1.1.1.1 da Cloudflare. Criam uma VPN local que interceta o DNS e o envia via DoH. Compatível com VPN externa (NordVPN) via encadeamento de VPN se a app o suportar.

ECH: a camada complementar em 2026

O DoH cifra a consulta DNS. Mas uma vez resolvida, o teu navegador estabelece uma ligação TLS para o IP do site — e envia o SNI (Server Name Indication) em texto simples no ClientHello TLS para indicar ao servidor qual o site específico pedido (útil para os servidores que alojam vários sites HTTPS). Este SNI é visível para o teu fornecedor e para qualquer intermediário de rede, mesmo que tudo o resto esteja cifrado. Consequência: apesar do DoH, o teu fornecedor pode reconstruir a lista de sites visitados através do SNI.

O ECH (Encrypted Client Hello, rascunho RFC 2023) corrige esta falha cifrando o próprio SNI. O ClientHello é dividido em duas partes: um «exterior» enviado em texto simples (com um SNI falso genérico como cloudflare.com) e um «interior» cifrado com a chave pública do resolver. Para um observador: impossível saber qual o site específico pedido.

Antes do ECH, o teu fornecedor podia correlacionar o IP de destino com o SNI em texto simples para reconstruir o teu histórico de navegação. Combinar DoH + ECH + kill switch de VPN continua a ser a melhor prática de 2026 precisamente para neutralizar esta fuga residual — cada camada cobre as lacunas das outras duas.

Estado da implementação em maio de 2026:

• Firefox 118+: ECH ativo por predefinição desde outubro de 2023. Sem configuração necessária.
• Chrome / Edge / Brave: ECH disponível atrás de flag desde o Chrome 117, ativado por predefinição no Chrome 124 (abril de 2026). Verifica chrome://flags/#encrypted-client-hello → Default ou Enabled.
• Safari: ECH em pré-visualização desde o macOS Sequoia, lançamento progressivo em 2026.

Do lado do servidor, a Cloudflare implementa o ECH em todo o seu CDN desde 2023 (cobre ~20% da web global). A Fastly e a Akamai em implementação progressiva. Sites auto-alojados: exige Nginx 1.27+ com módulo ECH ou Caddy experimental.

Verifica o ECH ativo: cloudflare.com/ssl/encrypted-sni. O resultado «Encrypted SNI» deve estar verde. Se vermelho, verifica que estás a usar o Firefox 118+ ou o Chrome 124+ com o DoH ativado (o ECH depende do DoH para recuperar a chave pública do servidor através do registo DNS HTTPS).

Desempenho e impacto real

O DoH acrescenta um ligeiro overhead em comparação com o DNS UDP clássico: o tempo para estabelecer a ligação TLS, depois o encapsulamento HTTP de cada consulta. Num resolver rápido com ligação persistente, este overhead reduz-se a poucos milissegundos por consulta após o primeiro handshake — negligenciável na prática, já que o DNS representa menos de 1% do tempo total de carregamento da página. A cache DoH do navegador (o Chrome mantém uma cache das entradas recentes por predefinição) acelera ainda mais as consultas repetidas, rivalizando com o DNS UDP clássico.

Em redes degradadas (dados móveis em movimento, hotspot Wi-Fi público saturado), o DoH pode até comportar-se melhor do que o DNS UDP em alguns casos — os pacotes UDP perdem-se por vezes sem um mecanismo de retransmissão agressivo em redes saturadas, enquanto o DoH beneficia do retry TCP nativo que compensa a perda de pacotes. O impacto exato depende da rede, do resolver e do ponto de presença mais próximo.

Armadilhas conhecidas em 2026

Armadilha #1 — Controlo parental quebrado. Se os teus filhos ativarem o DoH no navegador (Chrome, Firefox), o controlo parental baseado em DNS (OpenDNS Family, Cleanbrowsing no router, do lado do operador) é completamente contornado. Solução 2026: bloquear o DoH no router via regra de firewall (Asus AiProtection, Pi-hole + dnsmasq que força o DNS local), ou instalar um NextDNS família que suporta DoH com filtro parental.

Armadilha #2 — Filtro empresarial contornado. As políticas de DLP (Data Loss Prevention) e de filtro de URL empresariais baseiam-se na interceção de DNS. O DoH ativado nas estações de trabalho dos funcionários contorna a política de TI. Solução: implementar Cloudflare Gateway ou Zscaler com política compatível com DoH (o agente empresarial interceta o DoH em vez do DNS).

Armadilha #3 — DoH bloqueado em certos países. A Rússia, o Irão e a China bloqueiam de forma intermitente o Cloudflare 1.1.1.1 e outros resolvers DoH públicos. Solução: IP rotativos NextDNS, ou DoH via VPN (a VPN encaminha o DoH, torna-se invisível ao filtro nacional).

Armadilha #4 — Conflito com o Pi-hole. Se usas o Pi-hole para bloquear publicidade ao nível da rede, o DoH do navegador contorna o Pi-hole. Solução: configurar o Pi-hole com cloudflared como upstream DoH (o Pi-hole torna-se resolver DoH local), bloquear o DoH do navegador via regras de firewall e forçar o navegador a usar o DNS do sistema (Pi-hole).

Armadilha #5 — Apps que forçam o seu DNS. O TikTok, certas apps OEM chinesas (Xiaomi, Huawei), apps bancárias com anti-MITM forçam o seu próprio resolver independentemente da configuração DoH do sistema. Nenhuma solução limpa — limitação intrínseca do ecossistema móvel.

Resumo: configuração do DoH em 2026

Recomendação 2026: para uso pessoal, ativa o DoH do navegador (Cloudflare ou NextDNS) + combina com uma VPN sem registos que gere o DoH ao nível do túnel. A NordVPN Threat Protection resolve o conflito DoH/VPN sem configuração manual. Verifica o ECH ativo no Firefox 118+ ou Chrome 124+. Para agregados com crianças, acrescenta um NextDNS família que filtra os domínios inadequados respeitando a cifra do DoH.

Pontos a reter

O DoH não é uma proteção mágica, é um tijolo fundamental da privacidade web de 2026 — tal como o HTTPS se tornou depois de 2018. Cifrar a resolução DNS impede a vigilância passiva trivial (fornecedor, hotspot, entidade empregadora) mas não mascara nem IP nem SNI sem o ECH. Combo vencedor: DoH (Cloudflare ou NextDNS) + ECH (Firefox 118+ ou Chrome 124+) + VPN sem registos auditada = tripla camada que torna a vigilância no uso pessoal praticamente impossível sem acesso direto ao dispositivo.

Configurar o DoH leva 5 minutos por navegador, 0 minutos com uma VPN que o inclui nativamente. Verifica que o controlo parental e o filtro empresarial continuam a funcionar após a ativação. Para a privacidade rigorosa, desativa o DoH do navegador quando uma VPN já gere o DNS ao nível do sistema — caso contrário uma dupla camada redundante que pode criar fugas.