Windows 11 tem DNS over HTTPS integrado nas Configurações, a maioria das pessoas nunca viu, e leva cerca de cinco minutos para ativar. Esse é o argumento que um artigo recente do XDA apresentou, e está certo: DNS criptografado é a atualização de privacidade mais barata em uma máquina Windows, e ainda assim a maioria dos desktops continua enviando consultas em texto plano para o resolvedor que o roteador entrega. Qualquer pessoa na mesma rede local, o ISP e o ponto de acesso do café podem ler cada domínio que consultamos.
Testamos sete apps e configurações para DNS criptografado no Windows, desde o cliente DoH integrado no Windows 11 até os clientes de terceiros que adicionam filtragem, regras por app e alternância entre DoH, DoT e DoQ. Cada um deles impede vazamentos de DNS em texto plano. As diferenças estão na filtragem, telemetria e no quanto de controle temos sobre qual app se comunica com qual resolvedor.
O que procurar em um app de DNS criptografado para Windows
Um bom cliente de DNS criptografado no Windows deve fazer mais do que tunelizar a porta 53:
- Suporte a DoH (DNS over HTTPS) no mínimo, DoT (DNS over TLS) e DoQ (over QUIC) como um bônus.
- Filtragem por perfil (anúncios, rastreadores, conteúdo adulto, phishing) com listas de permitidos e bloqueados, para que o resolvedor funcione como um filtro de conteúdo.
- Registros reais do que foi bloqueado, sem enviar nosso histórico de navegação para um intermediário.
- Roteamento por rede ou por app, para que uma VPN corporativa force consultas por seu túnel enquanto todo o resto usa nosso resolvedor.
- Suporte a split horizon ou domínios locais, para que
.local,.internale nomes de host de homelab ainda sejam resolvidos. - Um serviço silencioso com baixo uso de memória, porque um daemon de fundo que consome CPU não é viável.
Comparação rápida
| App | Melhor para | Plataformas | Plano gratuito | Preço inicial/mês | Avaliação |
|---|---|---|---|---|---|
| NextDNS | Filtragem configurável com perfis por rede | Windows, macOS, Linux | 300k consultas/mês | Assinatura anual modesta | 4.8 / 5 em avaliações de usuários |
| ControlD | DNS personalizado com regras de roteamento por app e geo | Windows, macOS, Linux | Camada totalmente gratuita | Assinatura anual modesta | 4.8 / 5 |
| AdGuard DNS | Resolvedor com bloqueio de lista em primeiro lugar | Windows, macOS, Linux | 300k consultas/mês | Assinatura anual modesta | 4.7 / 5 |
| Cloudflare WARP | Privacidade sem configuração com opção de túnel | Windows, macOS, Linux | Totalmente gratuito | WARP+ mensal modesto | 4.5 / 5 |
| Simple DNSCrypt | Interface de DNSCrypt / DoH gratuita | Windows | Totalmente gratuito, open source | Gratuito | Comunidade, GitHub |
| YogaDNS | Regras de DNS por aplicação | Windows | Teste | Licença única modesta | Utilitário pago |
| DNSCrypt-Proxy | Resolvedor headless para usuários avançados | Windows, macOS, Linux | Totalmente gratuito, open source | Gratuito | Projeto GitHub |
O cliente DoH integrado do Windows 11 é a oitava escolha — não é um “app” no sentido da loja, mas é a linha de base sensata. Cobrimos isso por último.
Os apps
1. NextDNS
NextDNS é a escolha se queremos a configuração de um resolvedor hospedado mais o controle de um Pi-hole auto-hospedado. O painel expõe grupos de filtros (anúncios, rastreadores, conteúdo adulto, malware, phishing, cryptomining, jogos de azar, namoro) e toda lista de bloqueio aberta popular. A análise por perfil mostra quais domínios foram consultados e quais foram bloqueados, e a configuração de retenção de log pode ser totalmente desativada para equipes que não querem manter um registro. O cliente Windows configura DoH no SO e um switch por perfil para redes domésticas versus corporativas.
Onde fica aquém: o nível gratuito é limitado a 300.000 consultas por mês, que a maioria dos desktops individuais ficará abaixo, mas uma casa não. O painel cresceu o suficiente para parecer um pequeno SIEM.
Preço:
- Gratuito: 300.000 consultas por mês
- Pago: assinatura anual modesta para consultas ilimitadas
Plataformas: Windows, macOS, Linux, Android, iOS, roteadores
Download: NextDNS
Conclusão: a escolha sensata para uma máquina de usuário único que quer filtragem forte e análise honesta.
2. ControlD
ControlD fornece um dos clientes desktop mais limpos do espaço e seu diferencial é roteamento por aplicação. Podemos apontar Chrome para um perfil, Steam para outro, e todo o resto para um terceiro. Desbloqueio geográfico, regras personalizadas por domínio e um conjunto de filtros pré-construídos (anúncios, rastreadores, malware, telemetria de IoT) são todos de primeira classe. A empresa é uma divisão do time de VPN Windscribe, e a postura de auditoria reflete isso — nenhum log de consultas mantido, uptime transparente, auditorias de terceiros.
Onde fica aquém: o nível gratuito é generoso, mas as regras refinadas vivem no plano pago. O app desktop leva um tempo para abrir no primeiro lançamento.
Preço:
- Gratuito: camada totalmente gratuita com filtragem básica
- Pago: assinatura anual modesta para regras personalizadas e roteamento por app
Plataformas: Windows, macOS, Linux, Android, iOS, roteadores
Download: ControlD
Conclusão: a escolha para quem quer Chrome e VPN corporativa conversando com resolvadores diferentes.
3. AdGuard DNS
AdGuard DNS é o resolvedor para quem quer bloqueio de anúncios e rastreadores como padrão e pouco mais para configurar. Dois presets seguros para famílias, pontos de extremidade DoH por servidor, e um cliente Windows que vincula cada interface de rede ao upstream criptografado. As estatísticas são enviadas ao painel AdGuard apenas se escolhermos; o resolvedor “sem logs” pula toda análise.
Onde fica aquém: a superfície de customização é mais fina que NextDNS ou ControlD. Se já rodamos AdGuard Home em um servidor, isso é redundante.
Preço:
- Gratuito: 300.000 consultas por mês
- Pago: assinatura anual modesta para consultas ilimitadas e feeds de filtro premium
Plataformas: Windows, macOS, Linux, Android, iOS
Download: AdGuard DNS
Conclusão: a escolha para DNS criptografado configurar-e-esquecer que bloqueia anúncios nativamente.
4. Cloudflare WARP
Cloudflare WARP é a opção gratuita que não precisa de reflexão. Instale o cliente, faça login com um email, e toda consulta de DNS na máquina passa por um túnel criptografado para o resolvedor 1.1.1.1 do Cloudflare. O nível premium WARP+ atualiza o transporte para o túnel Argo para um ganho real de latência em regiões de rede ruim, e WARP Zero Trust adiciona políticas de nível de equipe para uso familiar ou pequeno negócio. Funciona também como uma VPN leve, embora uma VPN real ainda seja uma VPN melhor.
Onde fica aquém: a filtragem é limitada às listas de bloqueio do Cloudflare 1.1.1.1 for Families. Tudo sobre o app assume uma conta Cloudflare.
Preço:
- Gratuito: DNS criptografado ilimitado e túnel leve
- Pago: assinatura mensal WARP+ modesta para o nível Argo
Plataformas: Windows, macOS, Linux, Android, iOS
Download: Cloudflare WARP
Conclusão: o DNS criptografado gratuito com o menor custo de configuração, e a escolha mais segura se não podemos nos comprometer com um resolvedor pago.
5. Simple DNSCrypt
Simple DNSCrypt é a interface open-source nativa do Windows para o DNSCrypt Proxy. Ele é fornecido com uma lista curada de resolvadores públicos que suportam DNSCrypt v2, DoH e DoT, e os conecta ao resolvedor do Windows via loopback. Como tudo roda localmente, não há conta em nuvem e sem telemetria.
Onde fica aquém: a UI é funcional, não polida. Roteamento por app não faz parte. Quem quer filtragem tem que escolher um resolvedor cujo upstream já filtra.
Preço:
- Gratuito: totalmente gratuito, open source
- Pago: sem nível pago
Plataformas: Windows
Download: Simple DNSCrypt
Conclusão: a escolha para quem quer DNS criptografado sem conta hospedada, e não se importa em escolher seu próprio resolvedor.
6. YogaDNS
YogaDNS é um utilitário Windows pago que resolve o problema de DNS por aplicação mais completamente que ControlD. As regras podem corresponder ao nome do processo, intervalo de IP ou consulta de DNS, e rotear cada correspondência para um upstream diferente via DoH, DoT, DNSCrypt ou UDP simples para domínios locais. Para qualquer um que rode uma mistura de serviços de homelab, VPN corporativa e navegador pessoal na mesma máquina, YogaDNS é a ferramenta que os mantém fora das tabelas DNS um do outro.
Onde fica aquém: a UI mostra sua herança de utilitário Windows. É um utilitário pago em vez de um serviço hospedado, então a filtragem depende de qual upstream apontamos as regras.
Preço:
- Gratuito: teste
- Pago: licença única modesta para a edição Pro
Plataformas: Windows
Download: YogaDNS
Conclusão: a alternativa quando o modelo “um resolvedor para tudo” não encaixa.
7. DNSCrypt-Proxy
DNSCrypt-Proxy é o resolvedor de linha de comando que Simple DNSCrypt envolve uma UI, e executá-lo diretamente é uma jogada razoável para quem é confortável em um arquivo de configuração. Suporta DoH, DoT, DNSCrypt v2, Oblivious DoH e relé DNS anonimizado. No Windows, roda como um serviço, escuta no loopback, e leva uma configuração estilo nsswitch para rotear regras para upstreams. Para quem está construindo uma configuração headless ou scriptando o resolvedor para reprodutibilidade, é o primitivo a usar.
Onde fica aquém: sem UI. A configuração é um arquivo TOML. Pequenos erros na configuração resultam em momentos sem DNS durante uma tarde ocupada.
Preço:
- Gratuito: totalmente gratuito, open source
- Pago: sem nível pago
Plataformas: Windows, macOS, Linux, BSD
Download: Lançamentos de DNSCrypt-Proxy
Conclusão: a escolha para scriptografar toda a pilha de DNS criptografado sob controle de versão.
8. Windows 11 DNS over HTTPS
Windows 11 fornece um cliente DoH em Configurações → Rede e Internet → Ethernet ou Wi-Fi → Atribuição de servidor DNS. Defina o DNS para 9.9.9.9 (Quad9), 1.1.1.1 (Cloudflare), 8.8.8.8 (Google), 76.76.2.0 (ControlD) ou 94.140.14.14 (AdGuard) e mude criptografia de DNS de Desativado para “Criptografado apenas (DNS over HTTPS)”. O resolvedor do sistema assume daí em diante, nenhum cliente de terceiros necessário. Esta é a configuração que o artigo do XDA destacou e é a linha de base correta.
Onde fica aquém: o seletor apenas reconhece uma pequena lista de resolvadores bem conhecidos. Pontos de extremidade DoH personalizados para um perfil NextDNS ou um resolvedor privado ainda precisam de um cliente de terceiros. Sem filtragem, análise ou regras por app.
Preço: incluído no Windows 11
Plataformas: Windows 11 (Windows 10 tem um cliente DoH de qualidade prévia atrás de uma flag)
Download: Guia DoH Microsoft
Conclusão: a atualização gratuita de cinco minutos que toda máquina Windows 11 deve ter ativada, quer adicionemos um cliente de terceiros ou não.
Como escolher o app de DNS criptografado certo no Windows
- Se queremos a configuração mais rápida sem conta: ative Windows 11 DoH e aponte para Cloudflare, Quad9 ou ControlD.
- Se queremos filtragem de conteúdo forte e análise honesta: NextDNS é a escolha.
- Se rodamos Chrome, Steam e VPN corporativa na mesma máquina e queremos em resolvadores diferentes: ControlD ou YogaDNS.
- Se bloqueio de anúncios é o objetivo todo: AdGuard DNS.
- Se queremos um túnel gratuito e um resolvedor em um: Cloudflare WARP.
- Se queremos zero contas em nuvem: Simple DNSCrypt ou DNSCrypt-Proxy com um resolvedor DoH público.
Para a maioria das pessoas, a pilha sensata é Windows 11 DoH apontado para Cloudflare ou Quad9 como baseline, mais NextDNS ou ControlD como a camada de filtragem para a rede doméstica. Dessa forma uma troca de Wi-Fi para uma rede de hotel ainda recebe consultas criptografadas, e o perfil de filtragem acompanha a conta.
FAQ
Windows 11 DoH é bom o suficiente por conta própria? Para DNS criptografado sem filtragem, sim. Esconde consultas da rede local e do ISP. Se queremos bloqueio de anúncios ou rastreadores, ou regras por app, ainda queremos um resolvedor ou cliente de terceiros por cima.
Qual resolvedor de DNS criptografado é o mais rápido no Windows? Cloudflare e Google ficam dentro de alguns milissegundos um do outro na maioria das conexões de casa nos EUA e UE. As redes anycast do NextDNS e ControlD são competitivas. A resposta correta é fazer benchmark contra nossa própria rede, porque o peering do ISP importa mais que um placar.
DNS criptografado substitui uma VPN? Não. DNS criptografado esconde o domínio que consultamos, mas não o IP ao qual nos conectamos. Uma VPN esconde o IP de destino também. Para navegação diária em uma rede doméstica, DNS criptografado cobre o maior vazamento. Para Wi-Fi público, também queremos uma VPN.
Posso rodar DNS criptografado com um Pi-hole caseiro ou AdGuard Home? Sim. Aponte o upstream do Pi-hole para um resolvedor DoH ou DoT, e deixe o Windows usar o Pi-hole como seu servidor DNS normal na rede local. Algumas configurações rodam um cliente DoH leve no desktop para dias de café e o Pi-hole para casa.
Qual é a diferença entre DoH, DoT e DoQ? DoH tuneliza DNS sobre HTTPS na porta 443, DoT tuneliza DNS sobre TLS na porta 853, e DoQ tuneliza sobre QUIC. Todos os três criptografam a consulta e impedem espionagem de LAN ou ISP. DoH é o melhor suportado no Windows porque compartilha a porta 443 com tráfego HTTPS normal.
