Privacidade DNS explicada: quem vê todos os sites que consulta
Antes de o browser carregar uma página, pergunta ao DNS onde esse site vive. Essas consultas revelam a sua navegação a quem gere o resolver — eis como o DNS cifrado muda o cenário.
O DNS é um diário da sua navegação
Cada domínio que visita começa com uma consulta DNS: uma pergunta em texto simples sobre qual endereço IP pertence àquele nome. Por omissão, essa pergunta vai para o resolver do seu ISP ou da sua rede, o que significa que o fornecedor pode registar uma lista quase completa dos sites que visita.
Isto acontece antes de qualquer proteção HTTPS entrar em ação. A cifragem protege o conteúdo da página, não a consulta que encontrou a página.
O que o DNS cifrado (DoH/DoT) muda
O DNS-over-HTTPS (DoH) e o DNS-over-TLS (DoT) envolvem essas perguntas em cifragem entre si e o resolver. O seu ISP passa a ver apenas que contactou o resolver — não os nomes que perguntou.
A contrapartida é a colocação da confiança: o resolver escolhido continua a ver tudo. Mudar do seu ISP para um resolver que respeite a privacidade move a confiança, não a elimina. Uma VPN acrescenta outra camada ao esconder até o tráfego do resolver da sua rede local.
O que o seu browser pode e não pode dizer
Eis a parte honesta: uma página web não consegue ler as definições DNS do seu sistema. Nenhum site pode listar os seus resolvers configurados nem provar que cifragem o seu SO usa. Qualquer ferramenta que afirme isso com puro JavaScript está a adivinhar.
O que um browser pode fazer é testar heurísticas de alcance e ensinar onde procurar. Corra a verificação de privacidade DNS deste site para conhecer o caminho das definições de DNS cifrado do seu browser, e depois confirme a configuração ao nível do sistema nos guias abaixo.