DNS criptografado: o que muda com DoH e DoT
Criptografar a consulta esconde o nome procurado de quem está na mesma rede. Não esconde do servidor que responde, nem de quem controla o aparelho.
O que a criptografia do DNS esconde
Numa rede aberta como a de um café ou de um hotel, quem estiver sniffing o tráfego vê os nomes que os aparelhos procuram: os sites visitados, os serviços usados por aplicativos, as atualizações que são baixadas. Com DNS sobre TLS ou sobre HTTPS, a consulta viaja criptografada até o resolvedor e a rede passa a ver apenas uma conexão com esse servidor.
O efeito é maior em redes compartilhadas e em dispositivos móveis, onde o próprio operador da rede tem motivo para catalogar o que cada pessoa procura. Não é um escudo absoluto: o resolvedor continua vendo tudo, e a primeira conexão ainda pode ser interceptada por quem controla a rede.
Quem continua vendo
Se o resolvedor é o do seu provedor, criptografar o trajeto não muda nada para ele: ele é o destinatário da consulta. A partir do momento em que existe um resolvedor próprio, a pergunta relevante deixa de ser quem vê a consulta no caminho e passa a ser quem responde no fim.
E é aí que nasce o outro ponto de atenção. Concentrar as consultas em um único servidor aumenta a dependência dele: se o serviço cair, a navegação para; se ele estiver comprometido, todo o tráfego de nomes passa por um só lugar. Um resolvedor bem configurado compensa com registro de consultas por dispositivo, com política de retenção curta e com a possibilidade de conferir o histórico.
Quando o navegador decide sozinho
Navegadores como Chrome e Firefox oferecem uma opção de DNS seguro, que usa um servidor próprio do navegador em vez do configurado na rede. Isso evita a interceptação local, mas também significa que o servidor escolhido pelo navegador passa a ser o do navegador, e não o seu.
Em ambientes gerenciados por uma empresa, a escolha costuma ser imposta pela política do dispositivo, e o usuário nem percebe. Há ainda aplicativos que vêm com DNS criptografado já ligado e ignoram o que está configurado no aparelho. Por isso, conferir qual servidor respondeu é uma informação que vale ter.