DNS over HTTPS (DoH): o que é e porque importa
Quando escreve um URL no navegador, o sistema DNS traduz o nome do domínio para um endereço IP. Tradicionalmente, estas consultas DNS viajam em texto limpo (sem encriptação): qualquer pessoa na rede (o ISP, alguém no mesmo Wi-Fi, um atacante) pode ver que sites está a visitar. O DNS over HTTPS (DoH) resolve isto encriptando as consultas DNS dentro de ligações HTTPS.
O problema
O DNS foi desenhado nos anos 80 sem encriptação. Mesmo que o site use HTTPS (conteúdo encriptado), a consulta DNS inicial é visível. O ISP sabe que visitou seudominio.pt mesmo sem ver o conteúdo. Em redes públicas (cafés, aeroportos), qualquer pessoa pode interceptar as consultas DNS. Além da privacidade, DNS sem encriptação permite ataques de DNS spoofing: redirecionar as consultas para IPs maliciosos.
Como o DoH resolve
O DoH encapsula as consultas DNS dentro de pedidos HTTPS normais (porta 443). Isto significa que as consultas DNS são indistinguíveis de tráfego web normal, encriptadas end-to-end, protegidas contra manipulação (DNS spoofing) e invisíveis para o ISP e outros intermediários.
Como ativar
Chrome: Definições → Privacidade e Segurança → Segurança → Usar DNS seguro → escolha um fornecedor (Cloudflare 1.1.1.1, Google, Quad9).
Firefox: Definições → Privacidade e Segurança → DNS over HTTPS → Proteção Máxima → escolha fornecedor.
A nível de sistema (Windows 11): Definições → Rede → Propriedades do adaptador → DNS → preferido: 1.1.1.1 com encriptação activada.
Implicações para site owners
O DoH é transparente para quem gere sites: não precisa de configurar nada no servidor ou no WordPress. A resolução DNS funciona da mesma forma; apenas a privacidade do utilizador melhora. Se usa Cloudflare como DNS do domínio, as consultas DNS dos visitantes já beneficiam da infraestrutura encriptada do Cloudflare.
Privacidade da consulta e confiança no resolver
DoH protege a ligação da consulta DNS até ao resolver escolhido. Esse serviço continua a poder observar pedidos, e outros elementos da ligação podem revelar informação. Não equivale a anonimato total.
Em redes empresariais, uma configuração no navegador pode contornar o DNS interno e afetar políticas ou nomes privados. Defina resolvers autorizados e teste aplicações. Antes de ativar, perceba quem presta o serviço, que política aplica e como a mudança se integra com a rede existente.
Evite interromper serviços ligados ao domínio
O nome de domínio costuma estar associado a mais serviços do que o site. Antes de alterar nameservers ou registos, guarde a zona DNS e identifique entradas A, AAAA, CNAME, MX e TXT que estejam em utilização. Verifique também subdomínios, plataformas de envio de correio e serviços de validação. Uma alteração pensada apenas para a página pública pode interromper o e-mail empresarial.
Depois da mudança, teste separadamente o endereço principal, a versão com www, o envio e a receção de mensagens e eventuais aplicações externas. A propagação de alterações depende de caches e valores TTL, pelo que os resultados podem variar temporariamente entre redes. Documentar a configuração anterior facilita a resolução de uma falha e reduz o risco de voltar a mexer em parâmetros sem diagnóstico.
Inclua as pessoas no plano de segurança
A tecnologia protege uma parte do serviço, mas muitas ocorrências começam com credenciais expostas, permissões antigas ou mensagens fraudulentas. Utilize palavras-passe únicas num gestor adequado, ative autenticação multifator quando disponível e defina quem pode aprovar alterações sensíveis. Nunca partilhe códigos de acesso numa resposta a uma mensagem inesperada.
O procedimento de recuperação deve ser conhecido antes de uma falha. Saiba quem administra o domínio, onde se encontram as cópias de segurança e como contactar o fornecedor. Após uma suspeita de incidente, registe os sintomas e preserve informação que possa ajudar a análise. A rapidez da reação é importante, mas alterações precipitadas podem apagar os elementos necessários para descobrir o que aconteceu.
O domínio deve permanecer sob controlo da empresa
O domínio identifica o site e as contas de correio, podendo também ser usado para autenticar serviços externos. Conserve informação sobre o titular, os contactos de recuperação, a renovação e a gestão do DNS. Quando uma agência administra o serviço, documente como a empresa pode recuperar o controlo se a relação terminar.
Não concentre os acessos numa única pessoa. Utilize credenciais individuais ou um gestor adequado e defina quem pode autorizar alterações aos nameservers. Uma mudança de DNS pode afetar mais serviços do que a página pública.
Evitar surpresas na renovação
Registe a data de expiração do domínio e confirme que os contactos e meios de pagamento estão atualizados. Os períodos de recuperação e eventuais custos após a expiração variam com a extensão. Não espere pelos últimos dias para renovar ou iniciar uma transferência importante.
Se o domínio suporta e-mail empresarial, uma expiração pode interromper comunicação e serviços de autenticação. Inclua o domínio no plano de continuidade digital, juntamente com alojamento e cópias de segurança.
Distinguir resolução DNS de acesso ao site
Identifique o objetivo da alteração sem confundir privacidade da consulta com proteção da aplicação.
Se pretende registar o nome connosco, comece pelo nosso serviço de registo de domínios. Fale connosco se precisa de ajuda a escolher.