Cloudflare DNS Grátis: O que Inclui e Como Aproveitar o Plano Free

O DNS é o serviço mais crítico e mais esquecido da Internet: tudo começa com uma consulta DNS, e quando o DNS falha, o site ou serviço fica inacessível mesmo que os servidores estejam saudáveis. Muitas PMEs pagam mensalidades a fornecedores de DNS gerido sem saber que a Cloudflare oferece, no plano Free, um conjunto de funcionalidades que cobre a maioria dos cenários: DNS autoritativo em rede global, DNSSEC, resolução pública rápida e privada (1.1.1.1), filtragem de conteúdo (1.1.1.1 for Families) e o cliente WARP para cifrar tráfego. Este artigo percorre o que o plano Free inclui sem custos, como configurar cada componente e onde estão os limites reais.

Neste artigo

O que Está Incluído no Plano Free

O plano Free da Cloudflare não é um trial nem uma versão limitada a funcionalidades essenciais. A Cloudflare mantém o DNS autoritativo disponível em todos os planos, e o núcleo do serviço é o mesmo da rede global que serve os planos pagos documentação oficial da Cloudflare.

O que fica incluído a custo zero:

  • DNS autoritativo em rede global — os nameservers da Cloudflare respondem a partir de centenas de cidades, com routing anycast. Sem limite de consultas por mês, nem taxação por volume.
  • DNSSEC — assinatura criptográfica das zonas, activável com um clique no dashboard. A Cloudflare publica isto como “free DNSSEC” na documentação oficial Cloudflare DNS docs.
  • Protecção contra route leaks e hijacking de BGP — o anúncio das rotas dos nameservers é monitorizado pela própria rede Cloudflare.
  • CNAME flattening no apex do domínio — permite CNAME em exemplo.com mesmo que a RFC não permita, essencial para apontar o domínio raiz a serviços como Azure CDN ou load balancers.
  • 1.1.1.1 e 1.1.1.1 for Families — o resolver público e as variantes com filtragem de malware e conteúdo adulto, para dispositivos e routers.
  • WARP client — aplicação para iOS, Android, Windows, macOS e Linux que cifra o tráfego do dispositivo e usa o 1.1.1.1.

Nota sobre o modelo de negócio: a Cloudflare não financia o plano Free com publicidade nem venda de dados de resolução. O modelo passa por upselling para planos pagos (proxy, WAF, Zero Trust) e pela posição estratégica de operar resolver e autoritativo na mesma rede.

Funcionalidade Plano Free Nota
DNS autoritativo ✓ Sem limite de consultas
DNSSEC ✓ Activável por zona com um clique
Registos DNS por zona 1.000 / 200 1.000 se a zona foi criada antes de 01/09/2024; 200 a partir dessa data
CNAME flattening (apex) ✓ Registos adicionais flattening em planos pagos
1.1.1.1 resolver público ✓ Gratuito para qualquer utilizador
1.1.1.1 for Families ✓ IPs dedicados 1.1.1.2 / 1.1.1.3
WARP (consumidor) ✓ Sem limite de dados
Proxy/CDN (laranja cloud) ✓ Banda sem limite, mas sem WAF configurável
Regras de página / redirect Limitado 3 regras de página no plano Free

Como o DNS da Cloudflare Funciona

A Cloudflare opera dois papéis distintos que convém não confundir:

  • DNS autoritativo (Cloudflare DNS): a zona do teu domínio vive nos nameservers da Cloudflare. Qualquer consulta ao mundo sobre omeudominio.pt recebe a resposta dos servidores Cloudflare. Isto é o que o plano Free inclui.
  • DNS recursivo (1.1.1.1): o serviço que os dispositivos dos utilizadores usam para perguntar onde estão os domínios. Também é gratuito, mas é um produto separado — o utilizador final é que o escolhe, não o dono do domínio.

A distinção importa para a estratégia: migrar o domínio para o Cloudflare DNS resolve a fiabilidade e a gestão da tua zona. Configurar 1.1.1.1 nos dispositivos resolve a privacidade e a velocidade de resolução dos utilizadores. São passos independentes e complementares.

O autoritativo corre na mesma rede anycast que serve os restantes serviços da Cloudflare, o que significa que uma zona DNS beneficia da mesma distribuição geográfica e capacidade de absorção de DDoS que os sites proxied. A documentação da Cloudflare refere explicitamente protecção contra DDoS, route leaks e hijacking como benefícios para clientes de DNS Cloudflare DNS docs.

Passo 1 — Migrar o Domínio para o Cloudflare DNS

O processo clássico de migração, sem downtime se feito pela ordem certa:

  1. Cria a conta em dash.cloudflare.com e clica em Add a site. Escreve o domínio sem www e sem protocolo.
  2. Escolhe o plano Free e confirma.
  3. A Cloudflare faz um scan automático dos registos DNS existentes e importa-os. Revê a lista — o scan apanha A, AAAA, CNAME, MX, TXT e SRV, mas vale conferir contra a lista actual no fornecedor antigo, sobretudo TXT de SPF/DKIM/DMARC e registos SRV de serviços como Teams SIP.
  4. Altera os nameservers no registrador do domínio para o par atribuído pela Cloudflare (ex.: aria.ns.cloudflare.com e greg.ns.cloudflare.com). Cada zona recebe um par único.
  5. Aguarda a propagação — tipicamente minutos, o máximo do TTL anterior. A zona passa de Pending para Active no dashboard.

Nota: Durante a transição, o registo antigo continua a servir consultas em cache. Não apagues registos no fornecedor antigo antes da zona ficar Active na Cloudflare.

Dois requisitos prévios que a documentação destaca: DNSSEC activado no fornecedor antigo tem de ser desactivado antes da mudança de nameservers, senão o domínio fica com erros de validação após a migração doc DNSSEC da Cloudflare. E se o domínio foi registado na própria Cloudflare (Registrar), a zona já vem ligada ao DNS da Cloudflare sem alteração de nameservers.

Passo 2 — Activar o DNSSEC

Depois da zona ficar Active, o DNSSEC é activado na Cloudflare e o DS record publicado no registrador:

  1. No dashboard, DNS → Settings → Enable DNSSEC.
  2. A Cloudflare gera o DS record e mostra-o com o formato do registrador.
  3. Publica o DS record no painel do registrador (cada registrador tem secção própria — OVH, Gandi, Namecheap e outros têm guias referenciados na doc oficial).
  4. Aguarda a validação — pode levar até 24 horas pela cadência de TTL.

A partir daqui, todas as respostas da zona são assinadas. Um cliente com validação (qualquer resolver moderno) detecta spoofing: se alguém interceptar a resposta e devolver um IP falso, a cadeia de assinaturas falha e o cliente rejeita a resposta. Para uma PME, isto fecha o vector de redirecionamento de tráfego por envenenamento de cache DNS.

Nota sobre o reverso: quem usa a Cloudflare como secundário ou com zone transfers tem opções de DNSSEC específicas por configuração (primary/secondary) — verifica a página correcta da doc antes de activar.

Passo 3 — Usar o Resolver 1.1.1.1 nos Dispositivos

O resolver público 1.1.1.1 é gratuito para qualquer utilizador e não requer conta. A configuração nos dispositivos muda apenas o servidor DNS:

  • IPv4: 1.1.1.1 e 1.0.0.1
  • IPv6: 2606:4700:4700::1111 e 2606:4700:4700::1001

No Windows, Definições → Rede → propriedades do adaptador → DNS manual. Em Linux com NetworkManager, nmcli connection modify <nome> ipv4.dns "1.1.1.1 1.0.0.1" e nmcli connection up <nome>. No router, a configuração serve toda a rede local de uma vez guia de configuração do 1.1.1.1.

Dica: Em vez do ISP, cujos resolvers podem registar consultas e usá-las para publicidade, o 1.1.1.1 não vende nem partilha dados pessoais — compromisso documentado e auditado por uma das maiores firmas de auditoria, com relatório público privacy commitments do 1.1.1.1. Os IPs são truncados e apagados em 25 horas.

A Cloudflare mede o 1.1.1.1 como o resolver público mais rápido, servido da mesma rede em centenas de cidades — a vantagem prática é menor latência de resolução em consultas cache miss.

Passo 4 — 1.1.1.1 for Families na Rede de Casa ou da PME

Para filtragem de malware (e opcionalmente conteúdo adulto) sem instalar software, a Cloudflare mantém variantes do resolver com IPs dedicados:

Variante IPv4 IPv6 DoH
Padrão (sem filtro) 1.1.1.1 / 1.0.0.1 2606:4700:4700::1111 / ::1001 —
Block malware 1.1.1.2 / 1.0.0.2 2606:4700:4700::1112 / ::1002 security.cloudflare-dns.com/dns-query
Block malware + adulto 1.1.1.3 / 1.0.0.3 2606:4700:4700::1113 / ::1003 family.cloudflare-dns.com/dns-query

Quando um domínio é classificado como malicioso, o resolver devolve 0.0.0.0 em vez do IP real — o dispositivo nem liga ao destino. A classificação cobre malware, phishing e, na variante família, conteúdo adulto. Há URLs de teste para confirmar o bloqueio: malware.testcategory.com e nudity.testcategory.com guia de configuração do 1.1.1.1.

Para uma PME sem gateway de DNS próprio, configurar o router para usar 1.1.1.2/1.0.0.2 é uma camada de defesa gratuita contra phishing — não substitui um Secure Web Gateway, mas apanha domínios conhecidos antes de o utilizador carregar.

Passo 5 — Cifrar as Consultas com DoH e DoT

DNS em texto claro é visível por quem controla a rede: o ISP vê cada domínio consultado mesmo que o conteúdo seja HTTPS. A Cloudflare suporta três padrões de cifração no 1.1.1.1 doc de cifração do 1.1.1.1:

  • DoT (DNS over TLS) — TLS dedicado na porta 853. Configurável em routers e sistemas Unix via stubby ou systemd-resolved com DNSOverTLS=yes.
  • DoH (DNS over HTTPS) — as consultas viajam dentro de HTTPS na porta 443. Suportado nativamente em Firefox, Chrome/Edge, Android 9+ e iOS 14+.
  • ODoH (Oblivious DoH) — acrescenta um proxy entre cliente e resolver, de forma que nenhuma entidade única vê simultaneamente identidade e consulta. Tecnicamente especificado (RFC 9230) e suportado pela Cloudflare, mas com adopção prática ainda baixa: quase nenhum cliente mainstream o expõe como opção configurável.

Configuração rápida no Firefox: Settings → Privacy & Security → DNS over HTTPS → Max Protection → provider https://mozilla.cloudflare-dns.com/dns-query (resolver parceiro da Mozilla) ou https://cloudflare-dns.com/dns-query directo.

Em Android 13, Rede e Internet → DNS privado → hostname one.one.one.one — o sistema usa DoT automaticamente para todas as apps.

Atenção: DoH cifrado para o 1.1.1.1 contorna filtros DNS da rede local — redes escolares e alguns gateways corporativos bloqueiam DoH conhecido por política. Em ambiente empresarial gerido, prefere DoT no router (controlável) a DoH por dispositivo (burla o controlo).

Passo 6 — WARP: Cifrar o Tráfego Inteiro

DoH/DoT cifram só as consultas DNS. O WARP client vai mais longe: cifra o tráfego IP inteiro do dispositivo num túnel WireGuard-based até à rede Cloudflare, com IP de saída Cloudflare. É gratuito no plano consumidor (1.1.1.1 with WARP), sem limite de tráfego, disponível para iOS, Android, Windows, macOS e Linux doc do WARP client.

Diferenças face a uma VPN tradicional:

  • Não é para escolher país de saída nem aceder a redes privadas remotas — o tráfego sai pela Cloudflare, sem selector de região.
  • Não esconde o IP para serviços que vê o IP de saída como Cloudflare (alguns serviços interpretam como tráfego de proxy).
  • Cifra o trajecto dispositivo-internet e impede o ISP de ver ou registar o destino das ligações.

Para cenários Zero Trust (acesso a apps internas, Gateway de filtragem corporativa), a variante certa é o WARP for Zero Trust do Cloudflare One, com plano gratuito até 50 utilizadores — é um produto separado do WARP consumidor e usa o mesmo cliente com configuração própria.

Limites do Plano Free e Quando Fica Curto

O plano Free é generoso mas não é ilimitado em tudo. Onde fica curto:

  • Proxy reverso (laranja cloud) — ao activar o proxy num registo, o tráfego passa pela rede Cloudflare com CDN e protecção DDoS, mas sem WAF configurável, sem regras custom de firewall e com o conjunto base de regras de página (3 regras). Sites que precisam de WAF gerido ficam nos planos Pro ou superiores.
  • Load balancing, argo smart routing, image optimisation — planos pagos.
  • DNS interno (Internal DNS) e custom nameservers — Enterprise.
  • SLA — o plano Free não tem suporte prioritário. O DNS autoritativo em si tem a mesma infra-estrutura anycast de todos os planos.

O que não fica curto: número de consultas DNS (sem limite), DNSSEC, e os produtos 1.1.1.1/For Families/WARP consumidor. O número de registos DNS por zona, esse tem limite concreto: 1.000 registos em zonas Free criadas antes de 1 de Setembro de 2024 e apenas 200 registos em zonas criadas a partir dessa data (doc oficial da Cloudflare, developers.cloudflare.com/dns/manage-dns-records). Para uma PME com vários subdomínios, registos SPF/DKIM/DMARC e SRV, os 200 atingem-se com facilidade — os registos que serviços como o Email Routing criam por conta do utilizador também contam para a quota.

Dica: Para domínios com só DNS (sem proxy), o plano Free cobre o cenário completo a zero. O valor pago começa quando precisas de proxy com WAF, regras de tráfego avançadas ou load balancing.

Como Evitar Problemas na Migração

  • Desactiva DNSSEC no fornecedor antigo antes de mudar nameservers — DNSSEC activo na zona antiga com nameservers novos quebra a resolução doc DNSSEC da Cloudflare. Depois da zona Active, reactiva o DNSSEC pela Cloudflare.
  • Exporta a zona antes — screenshot ou export BIND dos registos actuais. O scan automático apanha a maioria, mas registos SRV, TXT longos (DKIM com múltiplas strings) e CNAMEs apontados a serviços dinâmicos são os que mais falham.
  • Confere os TTLs — mantém TTL baixos (300s) nos registos críticos durante a janela de migração, sobe depois para 3600+.
  • MX e SPF primeiro se migrar email — um erro em MX ou DKIM custa entregabilidade. Testa com mail-tester após a mudança.
  • Não uses proxy (laranja) em registos que o serviço exige “DNS only” — registos MX, SMTP, e serviços que validam IP real (ex.: algumas APIs, SSH) devem ficar cinzentos. Activar proxy num MX quebra a entrega de email.
  • Verifica a propagação — dig +trace omeudominio.com NS mostra a delegação actual. O whois confirma os nameservers no registrador.

Artigos Relacionados