O que é DNS e como funciona

DNS (Domain Name System, ou Sistema de Nomes de Domínio) é o serviço que traduz nomes como qual-meu-ip.com nos endereços IP que os computadores usam para se conectar. Toda vez que você abre um site ou um aplicativo, o aparelho pergunta a um servidor DNS qual IP corresponde àquele nome e recebe a resposta em milissegundos, quase sempre direto de um cache. Sem o DNS, você teria de decorar números como 104.21.41.51 para chegar a cada site.

Abaixo você vê como uma consulta funciona de verdade, com o exemplo real deste site, os tipos de registro, cache e TTL, os servidores DNS públicos, privacidade, segurança e como resolver os erros mais comuns. Para consultar os registros de qualquer domínio agora, use o DNS Lookup.

O que é DNS e por que ele existe

Antes do DNS, a rede que deu origem à internet usava um único arquivo de texto, o HOSTS.TXT, mantido pelo centro de informações do Stanford Research Institute. Cada computador precisava baixar uma cópia atualizada para saber qual número correspondia a cada nome, o que deixou de funcionar quando a rede cresceu. Em 1983, Paul Mockapetris publicou as RFCs 882 e 883, que descreveram o DNS. A base atual são as RFCs 1034 e 1035, de 1987, complementadas por dezenas de especificações posteriores.

O DNS é distribuído e hierárquico: nenhum servidor conhece todos os nomes, e cada parte do endereço é administrada por um responsável diferente. É isso que permite que ele atenda a internet inteira e continue funcionando quando servidores falham. O velho arquivo de hosts ainda existe nos sistemas (no Windows, em C:\Windows\System32\drivers\etc\hosts; no macOS e no Linux, em /etc/hosts) e é consultado antes do DNS.

Como uma consulta DNS funciona, passo a passo

Veja o que acontece quando você digita qual-meu-ip.com pela primeira vez, sem nada guardado em cache:

Os endereços acima são os que este site usava em outubro de 2026 e podem mudar. Na prática, a maior parte das consultas termina no primeiro ou no segundo passo, porque nomes populares já estão em algum cache.

Consulta recursiva e consulta iterativa

Entre o seu aparelho e o resolvedor, a consulta é recursiva: o aparelho pede a resposta final e espera. Entre o resolvedor e os servidores da hierarquia, as consultas são iterativas: cada servidor responde apenas com uma indicação (“pergunte àquele outro”), e o resolvedor segue a cadeia até chegar ao servidor que tem o registro.

A hierarquia: raiz, TLD e servidores autoritativos

Servidores raiz

No topo ficam os servidores raiz. São 13 identidades, de a.root-servers.net a m.root-servers.net, cada uma com um endereço IPv4 e um IPv6, mantidas por 12 organizações. Graças ao anycast, que permite a várias máquinas responderem pelo mesmo endereço, essas 13 identidades somavam 2.047 instâncias em operação em outubro de 2026, inclusive em cidades brasileiras como São Paulo, Rio de Janeiro, Brasília, Fortaleza, Porto Alegre e Curitiba. O número 13 vem do limite histórico de 512 bytes para respostas DNS sobre UDP, definido na RFC 1035. Hoje a extensão EDNS(0) permite respostas maiores, mas a quantidade foi mantida por compatibilidade.

Servidores de TLD

Logo abaixo estão os domínios de topo (TLDs). O .com é operado pela Verisign; o .org, pela Public Interest Registry; e o .br, pelo NIC.br, por meio do Registro.br. Cada TLD sabe quais servidores respondem pelos domínios registrados nele.

Servidores autoritativos

São os servidores que guardam os registros de cada domínio, configurados pelo dono ou pelo serviço de DNS que ele contratou (no caso deste site, a Cloudflare). Para ver quem registrou um domínio, quando ele expira e quais servidores de nomes ele usa, consulte o Whois.

Tipos de registro DNS

Cada domínio pode ter vários tipos de registro, cada um com uma função:

Você pode consultar todos eles no DNS Lookup. O registro PTR é explicado em IP reverso, e os registros de e-mail em SPF, DKIM e DMARC, com verificação na ferramenta verificar SPF e DMARC.

Cache e TTL

Se toda consulta percorresse a hierarquia inteira, a navegação seria bem mais lenta. Por isso as respostas são guardadas em vários pontos: no navegador, no sistema operacional, muitas vezes no roteador e, principalmente, no resolvedor recursivo.

Cada registro traz um TTL (time to live), que diz por quantos segundos ele pode ficar em cache. O registro A deste site, por exemplo, usa 300 segundos (5 minutos); domínios que mudam pouco costumam usar horas. Quando alguém altera um registro, os caches antigos só expiram quando o TTL termina, e esse intervalo é o que se chama de propagação DNS. Ele depende do TTL que estava configurado antes da mudança. Acompanhe uma alteração com a ferramenta de propagação DNS e entenda os prazos em quanto tempo demora a propagação.

Como limpar o cache DNS

Quando um site mudou de servidor ou você suspeita de uma resposta antiga, limpe o cache:

# Windows (Prompt de Comando)
ipconfig /flushdns

# macOS (Terminal)
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

# Linux com systemd-resolved
resolvectl flush-caches

No Chrome, a página chrome://net-internals/#dns tem o botão “Clear host cache”. No celular, ativar e desativar o modo avião ou reiniciar o aparelho costuma bastar. O passo a passo completo está em como limpar o cache DNS.

Servidores DNS públicos

Por padrão, o roteador entrega aos aparelhos o resolvedor do provedor. Você pode trocá-lo por um resolvedor público, no roteador (vale para a casa toda) ou em cada aparelho:

O OpenDNS, da Cisco, usa 208.67.222.222 e 208.67.220.220, e a versão FamilyShield (208.67.222.123 e 208.67.220.123) bloqueia conteúdo adulto.

Privacidade. Segundo o Google, os registros temporários do Google Public DNS, que incluem o IP completo, são apagados em 24 a 48 horas; uma amostra fica guardada de forma permanente, sem o IP, apenas com localização no nível de cidade e o número do sistema autônomo. A Cloudflare se compromete a não gravar o IP de quem consulta o 1.1.1.1 (exceto em uma pequena amostra para diagnóstico), a apagar os registros em até 25 horas e a não usar os dados para anúncios, com auditoria independente. O Quad9, fundação sem fins lucrativos sediada na Suíça, afirma não guardar os IPs dos usuários. Já o resolvedor do provedor vê todas as suas consultas; o Marco Civil da Internet (art. 14) proíbe o provedor de conexão de guardar registros de acesso a aplicações de internet.

Velocidade. Não existe “o DNS mais rápido” para todo mundo: o resultado depende de onde você está e da rota até cada serviço. Meça na sua conexão com o teste de velocidade de DNS e veja a comparação em 1.1.1.1 ou 8.8.8.8. Os detalhes de cada serviço estão no guia de DNS públicos (por exemplo, Cloudflare, Google e Quad9), e o passo a passo para trocar está em como configurar o DNS.

DNS e privacidade: quem vê suas consultas

O DNS tradicional, na porta 53, não é criptografado. Quem está no caminho, como o provedor ou o responsável por um Wi-Fi público, pode ver quais nomes você consulta e, em redes mal-intencionadas, até alterar as respostas. Para resolver isso existem dois padrões:

• DNS sobre HTTPS (DoH, RFC 8484): as consultas viajam dentro de conexões HTTPS, na porta 443.
• DNS sobre TLS (DoT, RFC 7858): as consultas usam uma conexão TLS própria, na porta 853. É o que o Android chama de DNS particular.

Em 2026, boa parte dos aparelhos já usa ou oferece DNS criptografado:

• Chrome: o “DNS seguro” vem ativado no modo automático, que passa a usar DoH quando o seu provedor de DNS atual oferece suporte. Fica em Configurações > Privacidade e segurança > Segurança > Usar DNS seguro. O Edge tem uma opção equivalente.
• Firefox: ativa o DoH por padrão em alguns países e permite ligá-lo nas configurações de privacidade.
• Android 9 ou mais recente: em Configurações > Rede e Internet > DNS particular, o modo automático usa DoT quando a rede permite; você também pode informar um nome como dns.google.
• Windows 11: aceita DoH nas configurações de rede para servidores conhecidos, como Cloudflare, Google e Quad9.
• iPhone, iPad e Mac: suportam DNS criptografado por meio de perfis de configuração ou de aplicativos dos provedores de DNS.

O passo a passo para o celular está em DNS privado no Android e no iPhone.

O que o DNS criptografado não esconde

Mesmo com DoH ou DoT, o provedor continua vendo o IP do servidor com que você se conecta. Além disso, no início de uma conexão HTTPS o navegador costuma enviar o nome do site em aberto, no campo SNI. A extensão ECH (Encrypted Client Hello), padronizada na RFC 9849 em março de 2026, criptografa essa informação, e navegadores como Chrome e Firefox já a usam quando o site oferece suporte. Para esconder o tráfego do provedor como um todo, é preciso uma VPN; entenda os limites em seu provedor sabe o que você acessa? e o que é VPN. Se você usa VPN, confira se as consultas DNS não estão vazando por fora do túnel com as dicas de como saber se seu IP foi vazado.

Segurança do DNS

DNSSEC: respostas com assinatura

O DNSSEC acrescenta assinaturas digitais aos registros. A raiz assina as chaves dos TLDs, os TLDs assinam as dos domínios, e assim se forma uma cadeia de confiança. O resolvedor que valida DNSSEC descarta respostas adulteradas. O DNSSEC não criptografa nada: ele garante autenticidade, enquanto DoH e DoT garantem sigilo no trajeto. Donos de domínios .br podem ativá-lo pelo painel do Registro.br, desde que o serviço de DNS usado suporte.

Envenenamento de cache

Nesse ataque, alguém tenta fazer um resolvedor aceitar uma resposta falsa, que passa a ser entregue a todos os usuários até o TTL expirar. Os resolvedores modernos dificultam isso com portas e identificadores aleatórios, e o DNSSEC elimina o problema nos domínios assinados.

Sequestro de DNS no roteador

O ataque mais relevante para usuários domésticos no Brasil é a troca do DNS configurado no roteador. Em 2018, pesquisadores da Netlab 360 descreveram a campanha GhostDNS, que invadiu mais de 100 mil roteadores de mais de 70 modelos, 87,8% deles no Brasil, e trocou o DNS para levar os usuários a páginas falsas de bancos. Para se proteger:

• troque a senha padrão de administração do roteador e mantenha o firmware atualizado;
• desative a administração remota se não usa;
• confira de vez em quando quais servidores DNS estão configurados no roteador;
• desconfie de avisos de certificado inválido em sites de banco e nunca prossiga.

Veja como acessar o painel no guia de acesso ao roteador e outras proteções em firewall: o que é e riscos do Wi-Fi público.

Problemas comuns de DNS e como resolver

• DNS_PROBE_FINISHED_NXDOMAIN (Chrome): o nome não foi encontrado. Pode ser erro de digitação, domínio expirado ou falha do resolvedor. Veja como resolver o DNS_PROBE_FINISHED_NXDOMAIN.
• ERR_NAME_NOT_RESOLVED: parecido, indica que o navegador não conseguiu transformar o nome em IP.
• “O servidor DNS não está respondendo” (diagnóstico do Windows): o resolvedor configurado não respondeu, por falha do roteador, do provedor ou do próprio servidor.
• O site abre no celular e não no computador: os aparelhos podem estar usando resolvedores ou caches diferentes.

Um roteiro rápido para descobrir a causa:

1. Confira se o endereço foi digitado corretamente.
2. Tente outro site. Se nenhum abre, o problema provavelmente é a conexão, não o DNS; veja conectado, sem internet.
3. Limpe o cache DNS e reinicie o roteador.
4. Compare o resolvedor atual com um público usando os comandos abaixo.

# Windows, macOS e Linux
nslookup qual-meu-ip.com
nslookup qual-meu-ip.com 1.1.1.1

# Windows PowerShell
Resolve-DnsName qual-meu-ip.com -Type AAAA

# macOS e Linux
dig qual-meu-ip.com +short

Se o resolvedor público responde e o do provedor não, a falha está no DNS do provedor, e trocar o DNS resolve. Mais comandos úteis estão em comandos de rede no CMD.