DNS privado no Android e iPhone: o que é e como ativar

O DNS privado é o recurso do Android que criptografa as consultas de DNS, aquelas que o celular faz para descobrir o endereço de cada site e aplicativo. Para ativar, abra as configurações de rede, escolha a opção de nome do host e digite o endereço de um provedor, como one.one.one.one (Cloudflare) ou dns.google (Google). O iPhone não tem esse campo: lá, a mesma proteção chega por um perfil de configuração ou pelo app do provedor.

Neste guia você vê o que cada opção da tela faz, quais endereços usar, o caminho em Pixel, Samsung, Xiaomi e Motorola, como fazer no iPhone e o que fazer quando o DNS privado deixa o Wi-Fi “sem internet”.

O que é DNS privado e o que ele protege

Toda vez que você abre um site ou um app, o aparelho pergunta a um servidor DNS qual é o endereço IP daquele nome. No modelo tradicional, essa pergunta viaja sem criptografia pela porta 53, e qualquer intermediário no caminho (a rede Wi-Fi do café, o roteador, a operadora) consegue ler os nomes consultados e até alterar as respostas. O processo completo está explicado em como funciona o DNS.

O DNS privado coloca essas consultas dentro de uma conexão TLS, a mesma tecnologia do cadeado do HTTPS. O padrão se chama DNS sobre TLS (DoT), está definido na RFC 7858 e usa a porta 853. O recurso chegou no Android 9, em 2018. Desde 2022, aparelhos com Android 11 ou mais recente que recebem atualizações do sistema pelo Google Play usam DNS sobre HTTP/3 com provedores conhecidos que oferecem esse protocolo (no lançamento, Google e Cloudflare), sem nenhuma mudança na tela de configuração. Nas medições publicadas pelo Google, a troca reduziu em 24% a mediana do tempo de consulta.

Desativado, Automático ou nome do host: qual escolher

A tela do DNS privado tem três opções. Nos Pixel, elas aparecem como Desativado, Automático e “Nome do host do provedor de DNS particular”; outras marcas usam textos parecidos.

A diferença mais importante está na última linha. No modo de nome do host, o Android envia tudo por um canal seguro para o servidor configurado ou marca a rede como sem acesso à internet quando não consegue alcançá-lo, como descreve a documentação de lançamento do recurso. É uma escolha de segurança: se alguém bloquear o servidor de propósito, o celular não aceita em silêncio um DNS sem proteção. O efeito colateral é que um erro de digitação, ou uma rede que bloqueia a porta 853, derruba a conexão inteira.

No modo Automático, a proteção depende do DNS que a rede informa. Em casa, esse DNS costuma ser o próprio roteador, que normalmente não oferece DNS sobre TLS, então as consultas seguem abertas. Se a sua prioridade é privacidade, use o nome do host. Se você depende de um filtro configurado no roteador, deixe em Automático.

Qual nome do host usar

O campo aceita apenas o nome do servidor: sem https://, sem tls:// e sem endereço IP. Digitar 1.1.1.1 ou 8.8.8.8 ali não funciona. Os nomes abaixo estão nas páginas oficiais de cada serviço e foram testados por nós com conexão TLS na porta 853 em outubro de 2026.

Na Cloudflare, o nome longo 1dot1dot1dot1.cloudflare-dns.com também funciona e leva ao mesmo serviço. No NextDNS, troque SEU_ID pelo identificador que aparece no painel da sua conta.

Para escolher, responda duas perguntas: você quer algum filtro ou só privacidade? E qual serviço responde mais rápido na sua conexão? O teste de DNS mais rápido mede isso direto do seu navegador, e a comparação entre os dois mais usados está em 1.1.1.1 ou 8.8.8.8: qual DNS é melhor no Brasil. Endereços completos e políticas de privacidade de cada um estão no guia de DNS públicos, com páginas próprias para Cloudflare, Google, Quad9, AdGuard e NextDNS.

dns.adguard.com é seguro?

É o endereço antigo do AdGuard DNS, ainda muito citado em tutoriais. Em outubro de 2026, ele continuava apontando para os mesmos servidores (94.140.14.14 e 94.140.15.15) e apresentava certificado válido, mas a documentação atual do AdGuard lista apenas dns.adguard-dns.com. Prefira o nome novo: se o antigo for desligado um dia, o modo de nome do host deixaria o celular sem internet. Quanto à privacidade, a política do AdGuard DNS afirma que nenhum dado pessoal é processado quando você usa os servidores públicos e que a empresa guarda apenas estatísticas gerais, sem ligação com quem fez cada consulta.

Como ativar o DNS privado no Android

O recurso existe do Android 9 em diante, inclusive no Android 15 e no 16. O nome do menu muda conforme a marca: nos Pixel aparece como “DNS particular”; na Samsung e na Xiaomi, como “DNS privado”. Se não encontrar, abra as Configurações e digite DNS na busca.

Samsung Galaxy

Vá em Configurações > Conexões > Mais configurações de conexão > DNS privado, escolha a opção de nome do host do provedor, digite o endereço e toque em Salvar.

Xiaomi, Redmi e POCO

No HyperOS, o caminho costuma ser Configurações > Conexão e compartilhamento > DNS privado. Em algumas versões, a opção fica um nível abaixo, em Mais configurações de conexão.

Motorola e outras marcas

A Motorola usa um Android próximo do puro, e o caminho tende a ser o mesmo do Pixel, dentro de Configurações > Rede e Internet. Em qualquer marca, a busca das Configurações por “DNS” é o atalho mais rápido, porque o menu muda de lugar entre versões.

Como confirmar que está funcionando

Alguns provedores têm uma página que mostra se você está usando o serviço deles:

• Cloudflare: em one.one.one.one/help, a linha “Connected to 1.1.1.1” deve mostrar Yes, assim como uma das linhas de DNS over TLS ou DNS over HTTPS.
• Quad9: on.quad9.net informa se as suas consultas estão passando pelo Quad9.
• AdGuard DNS: adguard.com/en/test.html mostra qual configuração do AdGuard DNS está ativa (padrão, família ou sem filtro).
• NextDNS: test.nextdns.io exibe o status da conexão e o perfil em uso.

Se você usa o Chrome, saiba que ele tem um ajuste próprio, em Configurações > Privacidade e segurança > Usar DNS seguro, que por padrão fica no modo automático. Se você escolher um provedor ali, o Chrome passa a usar esse provedor ao abrir sites, e não o do sistema. Em aparelhos gerenciados ou com controle dos pais, o Google informa que essa opção do Chrome fica indisponível.

DNS privado no iPhone e iPad

No iPhone não existe um campo para digitar um servidor de DNS criptografado. Desde o iOS 14, o sistema aceita DNS sobre HTTPS e sobre TLS, mas a configuração precisa vir de fora, por um perfil de configuração ou por um app. A Apple documenta que, quando instalado manualmente, esse ajuste vale também para a rede celular, e não só para o Wi-Fi.

Como instalar um perfil de DNS

Se a Proteção de Dispositivo Roubado estiver ligada e você estiver fora de um local conhecido, a Apple orienta desativá-la antes de instalar o perfil e reativá-la em seguida. Para remover, volte a VPN e Gerenciamento de Dispositivos, toque no perfil e escolha Remover Perfil. Alguns perfis têm validade: os do Quad9, por exemplo, expiram em 19 de janeiro de 2027 e precisam ser baixados de novo.

Na documentação para desenvolvedores, a Apple marca esse formato de perfil de DNS como obsoleto a partir do iOS 27, em favor de um sistema de gerenciamento para empresas. Se você usa uma versão nova e o perfil não aparecer ou não funcionar, prefira o app oficial do provedor.

Pelo app do provedor

A Cloudflare recomenda o app 1.1.1.1: Faster Internet, que configura o DNS em qualquer rede, inclusive nos dados móveis. Atenção ao modo: o padrão do app é o WARP, que passa todo o tráfego pela rede da Cloudflare, como uma VPN. Se você quer só o DNS criptografado, escolha o modo 1.1.1.1 nas configurações do app. O Google não oferece app nem perfil de DNS para o iPhone.

Ajuste manual, sem criptografia

Em Ajustes > Wi-Fi, toque no (i) ao lado da rede, depois em Configurar DNS > Manual. Apague os servidores listados, toque em Adicionar Servidor e digite, por exemplo, 1.1.1.1 e 1.0.0.1. A troca vale só para aquela rede Wi-Fi e não criptografa as consultas.

DNS privado bloqueia anúncios?

Bloqueia uma parte, se você escolher um provedor com filtro, como o AdGuard DNS. Quando um app ou site tenta carregar algo de um domínio conhecido de publicidade ou rastreamento, o DNS responde que o endereço não existe e aquele item não carrega, em qualquer app, sem instalar nada.

O filtro, porém, é grosso: ele só enxerga nomes de domínio. A própria documentação do AdGuard lembra que o bloqueio por DNS não remove o espaço vazio deixado pelo anúncio e que muitos anúncios mais elaborados só poderiam ser barrados bloqueando domínios inteiros que também servem para outras funções. Por isso, propaganda entregue pelo mesmo domínio do conteúdo, como acontece em muitas redes sociais e plataformas de vídeo, costuma continuar aparecendo.

• Vantagens: vale para todos os apps, no Wi-Fi e nos dados móveis; corta domínios de rastreamento; nos filtros de segurança, barra endereços conhecidos de golpe e malware antes de a página abrir.
• Desvantagens: pode quebrar links de promoções e de e-mail que passam por domínios de rastreamento; alguns apps deixam de funcionar; sem uma conta (como no NextDNS ou no AdGuard DNS privado), não há como liberar exceções; e não substitui antivírus nem atualizações.

Se algo parar de carregar, troque por um servidor sem filtro (unfiltered.adguard-dns.com, one.one.one.one ou dns.google) para confirmar se a causa é o bloqueio.

Problemas comuns e como resolver

Wi-Fi conectado, mas sem internet

Quase sempre é o modo de nome do host sem conseguir falar com o servidor. Confira a grafia e teste nos dados móveis. Se só uma rede falha, ela provavelmente bloqueia a porta 853, o que é comum em empresas, escolas e alguns hotéis: use o modo Automático nessa rede ou outro provedor. O sintoma também aparece quando o próprio provedor sai do ar. Em 14 de julho de 2025, segundo o relatório da Cloudflare, o resolvedor 1.1.1.1 ficou 62 minutos indisponível, inclusive por DNS sobre TLS. Outras causas desse aviso estão em Wi-Fi conectado sem internet.

O filtro dos pais ou da empresa parou de funcionar

O nome do host passa por cima do DNS do roteador. Se o controle de conteúdo da casa depende do DNS configurado no roteador, o celular com DNS privado ignora esse filtro. Para filtrar também no celular, use no próprio DNS privado um serviço com filtro familiar, como family.cloudflare-dns.com, ou volte para Automático. Pelo mesmo motivo, nomes que só existem na rede local e são respondidos pelo roteador, como os de um servidor doméstico, deixam de funcionar.

Wi-Fi com página de login

Em redes de hotel, aeroporto ou shopping que pedem login, se a página de acesso não abrir, mude para Automático, faça o login e depois volte ao nome do host. Nessas redes, o DNS criptografado é justamente o que você quer manter ligado, como explicamos em riscos do Wi-Fi público.

Com VPN ligada, o teste mostra outro DNS

Apps de VPN e alguns bloqueadores criam uma conexão própria e podem definir o DNS enquanto estão ativos. Se a página de verificação não confirmar o provedor que você configurou, desligue a VPN e teste de novo. Para ver se o DNS está escapando por fora da VPN, siga o guia como saber se seu IP foi vazado.

Para trocar o DNS também no computador e no roteador, veja como configurar o DNS no PC, no celular e no roteador. E, para conferir se um site está resolvendo para o endereço certo depois da mudança, use o DNS Lookup.