O que é vazamento de DNS? Como testar e corrigir

Vazamento de DNS acontece quando seu dispositivo envia consultas de nomes de sites fora do túnel criptografado da VPN, normalmente para a operadora, provedor de internet ou outro resolvedor de DNS. Isso pode revelar os domínios que você acessa, mesmo que a VPN ainda esteja escondendo seu IP do site.

A boa notícia é que dá para testar e, na maioria dos casos, corrigir. Este guia explica o que é DNS, por que essas consultas importam, as causas mais comuns de vazamento, como fazer um teste confiável e como reduzir o risco em desktop, celular e navegador.

O que é DNS e por que isso importa?

DNS significa Domain Name System. Ele é a agenda de endereços da internet. Quando você digita o nome de um site no navegador, seu dispositivo precisa descobrir o endereço do servidor antes de carregar a página.

Você lembra do nome porque ele é fácil de ler. Navegadores e apps precisam de um IP, porque as redes roteiam o tráfego por números. O DNS é o sistema que converte o nome no endereço.

Um lookup de DNS normal funciona assim:

1. Você digita um domínio ou abre um app.
2. Seu dispositivo pergunta a um resolvedor de DNS para onde aquele domínio aponta.
3. O resolvedor responde com o endereço IP ou outros registros.
4. Seu dispositivo conecta ao destino e carrega o serviço.

O ponto importante para a privacidade é que consultas de DNS podem revelar intenção. Um resolvedor pode não ver a URL completa, o artigo exato nem o conteúdo de uma sessão HTTPS criptografada. Mas ele costuma ver o nome do domínio pedido, como um site de notícias, banco, fórum de saúde, ferramenta de trabalho ou serviço de streaming.

Por isso, o tratamento do DNS faz parte da privacidade de uma VPN. Ela não serve só para trocar o IP visível aos sites. Também precisa impedir que o tráfego de consultas saia do caminho protegido. Se você está começando pelo básico, veja o que é uma VPN para entender melhor como o túnel funciona.

O que é vazamento de DNS?

Vazamento de DNS é quando o caminho do seu tráfego principal não bate com o caminho das consultas de DNS. Seu tráfego web pode passar por um servidor da VPN, enquanto as pesquisas de DNS ainda vão para sua operadora, para o 4G/5G, para um resolvedor público configurado no aparelho ou para um resolvedor escolhido pelo navegador.

Isso cria uma brecha de privacidade. O site que você visita pode ver o IP do servidor da VPN, mas o resolvedor fora do túnel ainda pode ver os domínios solicitados. Se esse resolvedor pertence à sua operadora, ela pode inferir parte do que você acessa a partir dos metadados de DNS.

Um vazamento de DNS não significa necessariamente que a VPN inteira falhou. Ele pode acontecer mesmo com o ícone mostrando conectado e com o IP público parecendo ser o do servidor da VPN. É por isso que esse tipo de problema passa despercebido sem teste direto.

Com a Crispy VPN, as consultas de DNS passam pelo túnel da VPN quando o app está conectado. Esse desenho mantém o tráfego de lookup alinhado com a conexão, em vez de deixá-lo voltar para a rede usada no momento.

O que um vazamento de DNS pode revelar

• Domínios: os sites e serviços que seu dispositivo tenta resolver.
• Horário: quando essas consultas acontecem.
• Contexto da rede: se a requisição saiu da sua internet de casa, do trabalho, do hotel, da operadora móvel ou de outra rede local.

DNS sozinho geralmente não expõe o conteúdo completo de uma página HTTPS segura. Também não deixa ninguém anônimo. Sites em que você está logado ainda podem reconhecer sua conta, e rastreadores podem continuar usando cookies ou impressões do navegador. Mesmo assim, vale evitar vazamentos de DNS porque eles revelam um mapa útil do que você acessa.

Como acontece um vazamento de DNS?

Vazamentos de DNS normalmente vêm de conflitos de configuração. Sistemas operacionais, navegadores, apps de VPN e adaptadores de rede podem influenciar o comportamento do DNS. Se essas camadas discordam, as consultas podem seguir por um caminho inesperado.

Configurações de DNS do sistema

O sistema operacional decide quais servidores de DNS usar em cada interface de rede. Quando a VPN conecta, ela normalmente cria uma interface virtual e deveria mandar o tráfego de DNS por ela. O vazamento acontece se o sistema continuar usando o DNS antigo do Wi-Fi ou do cabo de rede.

Isso é mais comum depois de trocas frequentes de rede, suspensão e retomada do aparelho, login em portal cativo ou ajustes manuais. Reconectar a VPN muitas vezes resolve um problema temporário de rota, mas vazamentos persistentes pedem revisão de configuração.

Tratamento de IPv6

IPv6 é um sistema mais novo de endereçamento que pode funcionar junto com IPv4. O DNS pode resolver registros de IPv4 e de IPv6. Se a VPN ou o dispositivo roteia o IPv4 corretamente, mas deixa o DNS de IPv6 ou o tráfego IPv6 usar a rede local, isso pode gerar vazamento.

Por isso o teste deve verificar a conexão inteira, e não só se um IP visível mudou. Um resultado limpo significa que seus servidores de DNS e o IP visível batem com a rota da VPN que você queria usar.

Servidores de DNS manuais

Muita gente define servidores de DNS personalizados no aparelho, no roteador ou no navegador para ganhar velocidade, filtragem ou confiabilidade. Essas configurações podem sobrescrever os servidores enviados pelo app da VPN. Se o resolvedor manual for acessado fora do túnel, há vazamento de DNS.

DNS manual nem sempre é ruim, mas precisa ser compatível com sua meta de privacidade. Ao usar uma VPN, o padrão mais seguro é deixar o app da VPN gerenciar o DNS, a menos que você tenha um motivo específico e saiba para onde essas consultas vão.

DNS over HTTPS no navegador

Alguns navegadores oferecem DNS over HTTPS, também chamado de DNS seguro. Ele criptografa o DNS entre o navegador e um provedor de DNS. Isso pode proteger o DNS da rede local, mas também pode ignorar as configurações de DNS usadas pelo app da VPN.

Se o DNS over HTTPS do navegador estiver apontando para um resolvedor fora da rota da VPN, um teste pode mostrar esse resolvedor em vez do DNS da VPN. Ele pode estar criptografado, mas ainda assim não está usando o tratamento de DNS pretendido pela VPN. Extensões de navegador também podem ter regras próprias de roteamento, então o teste no navegador e o teste do dispositivo inteiro podem mostrar resultados diferentes.

Opções de split tunneling

Split tunneling permite que aplicativos ou sites específicos usem uma rota diferente do restante do tráfego. Isso é útil quando você quer parte do tráfego dentro da VPN e parte fora. Mas também pode explicar resultados inesperados de DNS.

Se um app ou site estiver excluído da VPN, o DNS dele também pode ficar excluído, dependendo da plataforma e da implementação. A Crispy VPN oferece split tunneling no Android por aplicativo, no iPhone e iPad por site, e nas extensões de navegador por site. Se você usa split tunneling, revise as regras antes de assumir que toda consulta está protegida. Para aprofundar, leia o que é split tunneling.

Como fazer um teste de vazamento de DNS

Um teste de vazamento de DNS verifica quais resolvedores conseguem ver suas consultas. A ideia básica é comparar o resultado com a VPN desligada e com a VPN ligada. Se os mesmos servidores de DNS da operadora ou da rede local aparecerem com a VPN conectada, é provável que exista vazamento.

Faça o teste nas mesmas condições em que você realmente usa a internet. Se você navega mais em um navegador específico, teste nele. Se usa app de desktop ou celular, teste também a conexão inteira do dispositivo. Se alterna entre Wi-Fi e dados móveis, teste as duas redes.

Checklist para teste de vazamento de DNS

1. Desconecte a VPN. Abra uma página de teste de DNS e anote os nomes dos provedores, países e IPs mostrados. Isso vira sua linha de base.
2. Conecte a VPN. Escolha a localização que você costuma usar e espere o app indicar que a conexão foi estabelecida.
3. Atualize a página do teste. Rode primeiro o teste padrão. Se houver um teste estendido, faça esse também.
4. Compare os resultados. Você não deve ver servidores de DNS da sua operadora, da empresa, da escola, do hotel ou da rede móvel quando a VPN estiver conectada.
5. Confira seu IP visível. Use uma página de verificação de IP para confirmar que o IP público também mudou para a localização da VPN. Você pode usar o que é meu IP para essa parte.
6. Repita após trocar de rede. Teste de novo depois de mudar de Wi-Fi, sair para dados móveis ou ativar o aparelho do modo repouso.

Um bom resultado nem sempre vem com o nome da sua VPN. A infraestrutura de DNS pode usar nomes de provedores diferentes, nomes de data center ou endereços de relay. O que importa é não aparecer sua operadora local nem outro resolvedor que você não pretendia usar.

Se você usa a Crispy VPN, conecte o app antes de testar. O DNS deve passar pelo túnel junto com o restante do tráfego. Se o teste mostrar DNS da sua operadora depois de conectar, trate isso como um problema de configuração do dispositivo ou do navegador e siga as correções abaixo.

Como corrigir problemas de vazamento de DNS

A correção certa depende da causa. Comece pelos passos menos invasivos e avance para ajustes do sistema e do navegador se o vazamento continuar.

Correções rápidas para tentar primeiro

1. Desconecte e reconecte a VPN. Isso atualiza rotas e configurações de DNS.
2. Troque a localização do servidor. Uma nova conexão pode limpar um estado antigo da rede.
3. Reinicie o app e o navegador. Navegadores podem manter decisões de DNS em cache até reiniciar.
4. Reinicie o dispositivo. Isso redefine interfaces de rede e atribuições antigas de DNS.
5. Atualize o app da VPN e o sistema operacional. Bugs de roteamento de DNS muitas vezes são corrigidos em updates.

Verifique os DNS manuais

Olhe as configurações de Wi-Fi, Ethernet e rede móvel. Se você adicionou DNS manualmente, remova temporariamente e volte o DNS para automático. Depois reconecte a VPN e rode o teste de novo.

Se o vazamento sumir, a configuração manual estava sobrescrevendo a VPN. Você pode decidir se esse DNS personalizado vale a pena, mas não parta do princípio de que ele é privado só porque é conhecido ou criptografado.

Revise o DNS seguro do navegador

Abra as configurações de privacidade ou segurança do navegador e procure por DNS seguro ou DNS over HTTPS. Se ele estiver ativado com um provedor específico, desative temporariamente ou configure o navegador para usar o padrão do sistema. Reconecte a VPN, reinicie o navegador e teste de novo.

Isso é ainda mais importante se só um navegador vaza enquanto outros apps testam limpo. Nesse caso, a VPN pode estar funcionando corretamente no sistema, mas o navegador está escolhendo o próprio resolvedor.

Revise as regras de split tunneling

Se o split tunneling estiver ativado, verifique se o navegador, o site do teste ou o app estão excluídos da VPN. Remova a exclusão e rode o teste novamente. Um resultado que muda após desativar o split tunneling não é mistério. Significa que a regra estava funcionando como configurada.

Use o app da VPN em vez de gambiarras sem suporte

Configurações de roteador não suportadas, arquivos de configuração aleatórios ou ferramentas de rede de terceiros podem tornar o roteamento de DNS mais imprevisível. A Crispy VPN oferece apps para iPhone e iPad, Mac, Windows, Linux, Android, Apple TV, Android TV e Google TV, além de extensões para Chrome, Edge e Firefox. Baixe o app correto na página de download e teste por ali.

Nos dispositivos suportados, a Crispy VPN usa WireGuard em todos os servidores. O WireGuard é um protocolo moderno, com base de código pequena, bom desempenho e consumo amigável de bateria em dispositivos móveis. Para entender melhor o protocolo, veja o que é WireGuard.

Prevenção de vazamento de DNS em cada dispositivo

Evitar vazamento de DNS é, em grande parte, manter o app da VPN no controle da rota e não criar conflitos de DNS. Os detalhes variam conforme o dispositivo.

Windows, Mac e Linux

Sistemas de desktop costumam ter várias interfaces de rede, como Wi-Fi, cabo, adaptadores virtuais e perfis de trabalho. Se aparecer vazamento, confira as configurações de DNS dos adaptadores e remova resolvers manuais antigos. Depois reconecte a VPN.

No Windows, Mac e Linux, um kill switch também ajuda a reduzir exposição se a conexão da VPN cair. A Crispy VPN inclui kill switch opcional nessas plataformas de desktop. No Windows, há também um modo Lockdown opcional. Kill switch não é a mesma coisa que proteção contra vazamento de DNS, mas ajuda a impedir que o tráfego continue fora da VPN durante interrupções.

iPhone, iPad e Android

Celulares e tablets alternam entre Wi-Fi, dados móveis, rede de hotel e portais cativos. Faça o teste após trocar de rede se você depende da VPN para privacidade. Também vale verificar se DNS privado, perfis de gerenciamento do aparelho ou apps de segurança estão alterando o comportamento do DNS.

No Android, as configurações do sistema chamadas Always-on VPN e Bloquear conexões sem VPN ajudam a evitar tráfego acidental fora do túnel. No iPhone e iPad, mantenha o app atualizado e revise regras de split tunneling por site se algum endereço se comportar de forma estranha.

Navegadores e extensões

Navegadores são uma fonte comum de resultados confusos porque podem usar a própria configuração de DNS seguro. Se o vazamento aparecer só no Chrome, Edge ou Firefox, confira as configurações do navegador antes de mexer no dispositivo inteiro.

As extensões de navegador também cobrem o tráfego do navegador, e não todos os apps do aparelho. Isso é útil quando você só precisa de proteção para navegação, mas não é a mesma coisa que uma VPN completa no dispositivo. Para entender essa diferença, leia extensão de VPN para navegador.

Dispositivos de TV

As plataformas de TV são mais simples, mas também oferecem menos controles de rede. A Crispy VPN suporta Apple TV e Android TV ou Google TV, com login por leitura de QR code no celular. Se você estiver resolvendo DNS na TV, teste a mesma rede primeiro no celular ou notebook e depois reconecte o app da TV.

O que uma VPN consegue e não consegue esconder do DNS

Uma VPN bem configurada deve manter as consultas de DNS dentro do túnel criptografado. Isso impede que o operador do Wi-Fi, a operadora de internet ou a operadora móvel vejam consultas comuns de DNS em texto aberto. Também mantém o caminho do DNS consistente com o servidor da VPN que você escolheu.

A Crispy VPN também não registra atividades e usa um desenho de relay em duas partes que separa quem você é do que você faz. Isso importa porque privacidade de DNS não é só sobre o túnel. Também tem a ver com a forma como o serviço é construído para reduzir vínculos desnecessários.

Mesmo assim, VPN não deixa ninguém anônimo. Ela não bloqueia malware ou phishing sozinha e não impede que um site reconheça você quando fizer login na conta. Também não apaga cookies de rastreamento já salvos no navegador.

Pense na proteção contra vazamento de DNS como uma camada. Ela ajuda a manter metadados de consultas longe da rede local e da operadora. Combine isso com configurações sensatas do navegador, uso cuidadoso de contas, atualizações regulares e noção clara do que a VPN protege.

Se você está conferindo a configuração depois de instalar a VPN, vale testar mais do que o DNS. IP público, comportamento de WebRTC, configurações do kill switch e ajustes do navegador também afetam a privacidade. Um próximo passo prático é como saber se minha VPN está funcionando, que mostra as verificações mais amplas.