DNS Públicos com Filtragem: Comparação dos Providers em 2026

1. Introdução: o que são DNS públicos

O DNS (Domain Name System) é o sistema que traduz nomes de domínio como kbase.pt em endereços IP. Por defeito, o seu operador (ISP) fornece automaticamente os seus próprios servidores DNS quando se liga à internet. No entanto, esses servidores nem sempre são os mais rápidos, seguros ou privados.

DNS públicos são servidores DNS mantidos por empresas como Cloudflare, Google, Quad9 ou AdGuard, disponíveis para qualquer pessoa. Substituir o DNS do ISP por um DNS público traz três vantagens principais:

• Privacidade: alguns ISP guardam e vendem histórico de navegação (as queries DNS revelam que sites visita). Providers como Quad9 têm sede na Suíça com legislação de privacidade forte.
• Velocidade: DNS públicos usam infraestruturas globais anycast com cache otimizado, muitas vezes mais rápido que o DNS do ISP local.
• Segurança: muitos providers oferecem filtragem automática de malware, phishing e conteúdo adulto — funcionalidade que o ISP raramente fornece sem custo.

2. Cloudflare DNS (1.1.1.1)

A Cloudflare oferece três variantes do seu DNS público, todas gratuitas. A diferença está no nível de filtragem. Todos suportam DNS-over-HTTPS e DNS-over-TLS e não guardam logs de IP.

A Cloudflare foi auditada pela KPMG quanto à política de não registo de IPs. O endpoint DoH é https://cloudflare-dns.com/dns-query e o DoT usa cloudflare-dns.com.

3. Google Public DNS (8.8.8.8)

O Google Public DNS é o DNS público mais antigo e conhecido. Usa os IPs 8.8.8.8 e 8.8.4.4. É rápido e fiável, mas não oferece qualquer filtragem — nem malware, nem conteúdo adulto, nem anúncios.

Suporta DoH (https://dns.google/dns-query) e DoT (dns.google), mas por defeito os sistemas operativos usam DNS em texto simples (porta 53) quando se configuram apenas os IPs. Para tirar partido da encriptação é preciso activar DoH/DoT explicitamente nas definições do SO.

4. Quad9 (9.9.9.9)

O Quad9 é um DNS público sem fins lucrativos com sede na Suíça, focado em segurança e privacidade. Usa o IP 9.9.9.9 e filtra automaticamente domínios maliciosos usando feeds de threat intelligence de mais de 20 parceiros (IBM, Microsoft, etc.).

A principal vantagem do Quad9 é a política de não registo de IPs combinada com jurisdição suíça, que tem leis de proteção de dados mais fortes que os EUA. Suporta DoH (https://dns.quad9.net/dns-query) e DoT (dns.quad9.net).

5. OpenDNS / Cisco (208.67.222.222)

O OpenDNS foi adquirido pela Cisco e oferece o serviço “OpenDNS Home”, gratuito para uso pessoal. Usa os IPs 208.67.222.222 e 208.67.220.220. A grande vantagem é a personalização de filtros: cria-se uma conta gratuita e define-se quais categorias bloquear (redes sociais, jogos, conteúdo adulto, etc.).

O OpenDNS Home Shield bloqueia por defeito malware e phishing. Para conteúdo adulto, é necessário criar conta e configurar os filtros personalizados. Suporta DoH, mas a configuração de filtros personalizados requer conta.

6. AdGuard DNS (94.140.14.14)

O AdGuard DNS é o único provider da lista que bloqueia anúncios e trackers ao nível do DNS, sem necessidade de instalar extensões no browser. Usa os IPs 94.140.14.14 e 94.140.15.15.

A versão gratuita bloqueia anúncios, trackers e alguns domínios maliciosos. Existe também uma versão “Family Protection” (94.140.14.15) que adiciona filtragem de conteúdo adulto + modo de pesquisa segura. Suporta DoH (https://dns.adguard-dns.com/dns-query) e DoT (dns.adguard-dns.com).

7. DNS-over-HTTPS (DoH) e DNS-over-TLS (DoT)

O DNS tradicional envia queries em texto simples (porta 53), o que permite a qualquer intermediário (ISP, Wi-Fi público) ver que sites visita. DoH (porta 443, HTTPS) e DoT (porta 853, TLS) encriptam as queries DNS, protegendo a privacidade.

7.1 Activar DoH/DoT em Windows 11

Em Windows 11 (build 22000+), o DoH é suportado nativamente. Configura-se via Definições ou PowerShell:

# Adicionar servidor DNS com DoH via PowerShell
Add-DnsClientDohServerAddress -ServerAddress "1.1.1.1" -DohTemplate "https://cloudflare-dns.com/dns-query" -AllowFallbackToUdp $false -AutoUpgrade $true

# Definir DNS da interface
Set-DnsClientServerAddress -InterfaceAlias "Wi-Fi" -ServerAddresses ("1.1.1.1","1.0.0.1")

# Verificar
Get-DnsClientDohServerAddress

7.2 Activar DoH/DoT em macOS

No macOS (Big Sur+), via Definições > Rede > Wi-Fi > Detalhes > DNS. Para DoT/DoH nativo, usar uma ferramenta como dnscrypt-proxy ou o cliente oficial da Cloudflare (1.1.1.1 app).

# Definir DNS via terminal (sem DoH nativo)
networksetup -setdnsservers Wi-Fi 1.1.1.1 1.0.0.1

# Verificar
networksetup -getdnsservers Wi-Fi

# Para DoH/DoT nativo: instalar dnscrypt-proxy via Homebrew
brew install dnscrypt-proxy

7.3 Activar DoT em Linux (systemd-resolved)

# /etc/systemd/resolved.conf
[Resolve]
DNS=1.1.1.1#cloudflare-dns.com 1.0.0.1#cloudflare-dns.com
DNSOverTLS=yes

# Aplicar alteracoes
sudo systemctl restart systemd-resolved

# Verificar
resolvectl status
resolvectl dns

7.4 Activar DoH em Android

Em Android 9+: Definições > Rede e Internet > DNS privado > “Nome do host do provedor DNS privado”. Introduzir o hostname DoT do provider, ex: cloudflare-dns.com ou dns.adguard-dns.com.

7.5 Activar DoH em iOS

Em iOS 14+: instalar um perfil de configuração DoH. A Cloudflare e a AdGuard disponibilizam perfis prontos. Alternativamente, usar a app nativa do provider (1.1.1.1 app da Cloudflare).

8. Tabela comparativa geral

Comparação lado-a-lado de todos os providers cobertos neste artigo. “Logs” indica se o provider regista endereços IP dos utilizadores.

Temp = logs temporarios (24-48h). Pers. = filtros personalizaveis via conta. Ads+Track = bloqueio de anuncios e trackers.

9. Erros comuns e soluções

10. Checklist: mudar de DNS e verificar