Teste de vazamento de DNS: checar e corrigir

O que é vazamento de DNS?

Toda visita a um site começa com uma consulta DNS que transforma um nome como example.com em um endereço IP. Normalmente quem responde é o servidor DNS do seu provedor. Com VPN, essas consultas deveriam passar pelo túnel criptografado até o servidor DNS da própria VPN.

O vazamento de DNS acontece quando as consultas vão para o servidor DNS do provedor por fora do túnel. Os sites continuam vendo o IP da VPN, mas o provedor consegue ver cada domínio que você visita, e a filtragem ou bloqueio de DNS dele continua valendo.

Como funciona um teste de vazamento de DNS

O navegador não consegue informar qual servidor DNS usa. Por isso, o teste faz seu navegador consultar vários nomes de host únicos e aleatórios de um domínio cujo servidor DNS é operado por quem faz o teste. Esse servidor registra quais IPs de resolvedores fizeram as consultas. Se esses resolvedores forem do seu provedor enquanto a VPN está conectada, seu DNS está vazando.

O teste acima faz exatamente isso: lista cada resolvedor com provedor, rede e país, e compara com o IP que os sites veem. Os nomes de teste e os IPs dos resolvedores são apagados após 10 minutos.

Verifique seu servidor DNS manualmente

Rode um destes comandos no Terminal (macOS, Linux) ou no Prompt de Comando (Windows, só nslookup). Cada um pede a um serviço público que informe o endereço IP do resolvedor DNS que o contatou:

nslookup -type=txt o-o.myaddr.l.google.com
dig +short TXT o-o.myaddr.l.google.com
dig +short whoami.akamai.net

Como entender o resultado

Descubra quem é o dono do endereço retornado em qualquer serviço de WHOIS ou consulta de IP.
Se ele for do seu provedor enquanto a VPN está conectada, seu DNS está vazando.
Se for do seu provedor de VPN ou de um resolvedor que você escolheu, como Cloudflare (1.1.1.1) ou Google (8.8.8.8), não há vazamento para o provedor.
Esses comandos testam o DNS do sistema operacional. Se o navegador estiver com o “DNS seguro” (DNS over HTTPS) ativado, ele envia as consultas para esse provedor.

Como corrigir um vazamento de DNS

Ative a proteção contra vazamento de DNS do app de VPN (às vezes chamada de “usar o DNS da VPN”) e o kill switch.
Garanta que a VPN também trate o IPv6, ou desative o IPv6 no adaptador de rede. Consultas IPv6 podem escapar de VPNs que só cobrem IPv4.
Ative o DNS criptografado: “DNS seguro” no Chrome, Edge ou Brave, ou “DNS via HTTPS” no Firefox, usando o resolvedor da VPN ou um provedor de confiança.
Confira se o roteador ou um DNS configurado manualmente não está sobrescrevendo as configurações da VPN e teste de novo.

Perguntas frequentes

›Por que o teste encontra vários servidores DNS?

Grandes serviços de DNS como Google, Cloudflare e a maioria dos provedores usam grupos de servidores, então consultas diferentes podem vir de endereços diferentes. O que importa é a qual rede eles pertencem.

›Vazamento de DNS é o mesmo que vazamento de IP?

Não. Com vazamento de DNS, os sites ainda veem o IP da VPN, mas seu provedor (ou quem opera o resolvedor que vaza) consegue ver quais domínios você consulta.

›O HTTPS impede vazamentos de DNS?

Não. O HTTPS criptografa o conteúdo da página, mas as consultas DNS tradicionais são enviadas sem criptografia antes de a conexão começar. O DNS criptografado (DNS via HTTPS ou TLS) resolve essa parte.

›Posso ter vazamento de DNS sem VPN?

Sem VPN, é esperado que suas consultas vão para o servidor DNS do provedor ou para um que você escolheu, então não é vazamento. O termo faz sentido quando você usa VPN ou proxy.

›O modo anônimo impede vazamentos de DNS?

Não. Janelas anônimas usam as mesmas configurações de DNS das janelas normais.

›O teste não encontrou nenhum servidor DNS. Por quê?

Um bloqueador de anúncios ou de conteúdo pode barrar as requisições de teste aleatórias antes de o navegador consultá-las. Pause-o neste site e rode o teste de novo.

Teste de vazamento de DNS