Como o DNS funciona: transformando nomes em endereços

Você digita um endereço de website no navegador — digamos, exemplo.com — e em menos de um segundo, o site aparece na sua tela. Mas o computador não entende "exemplo.com". Ele precisa de um número, um endereço IP (protocolo de internet), algo como 192.0.2.1. Alguém — ou melhor, algo — precisou traduzir aquele nome legível para um número que máquinas compreendem. Esse "algo" é o DNS, e entender como funciona é fundamental para compreender como a internet realmente opera, por que sua privacidade pode estar exposta, e como a censura acontece de forma silenciosa.

O DNA como catálogo telefônico da internet

Pense no DNS como um catálogo telefônico gigantesco e distribuído. Há muitos anos, quando você queria ligar para alguém, consultava um livro: procurava o nome, encontrava o número. O DNS faz exatamente isso, mas para a internet. Em vez de nomes de pessoas e números de telefone, temos nomes de domínio (como google.com) e endereços IP (como 142.250.185.46).

O ponto crucial é que este "catálogo" não existe em um único lugar. Milhões de servidores DNS espalhados pelo mundo mantêm pedaços diferentes dessa informação, e eles trabalham juntos para responder sua pergunta. Quando você digita um endereço no navegador, seu dispositivo não sabe o IP correspondente — ele precisa perguntar.

A jornada de uma pergunta DNS

Quando você tenta acessar um site, uma série de consultas acontece nos bastidores, em uma ordem precisa. Seu dispositivo primeiro pergunta a um "resolvedor stubborn" — um servidor DNS fornecido pelo seu provedor de internet (ISP) ou que você configurou manualmente. Este resolvedor é como o seu vizinho que conhece um pouco de tudo; ele não tem todas as respostas, mas sabe para onde encaminhar a pergunta.

O resolvedor stubborn contacta um "resolvedor recursivo", um servidor mais poderoso que realmente faz o trabalho. Este resolvedor recursivo começa a escada: primeiro pergunta a um "servidor raiz", um dos 13 clusters de servidores fundamentais que conhecem a estrutura geral de toda a internet. O servidor raiz não sabe o IP de exemplo.com, mas sabe quem administra os domínios .com — o "servidor TLD" (Domínio de Nível Superior). O resolvedor recursivo então pergunta ao servidor TLD apropriado.

O servidor TLD também não possui a resposta final, mas sabe exatamente qual servidor "autoritativo" gerencia exemplo.com — o servidor que realmente possui a informação. O resolvedor recursivo pergunta àquele servidor autoritativo, recebe a resposta, e devolve ao seu dispositivo. Tudo isso leva milissegundos. Seu navegador então conhece o IP correto e pode conectar-se ao servidor web.

Por que isso importa para sua privacidade

Aqui está o problema: por padrão, DNS é enviado em texto plano. Não criptografado. Ninguém precisa abrir seus emails ou monitorar o tráfego direto de dados para saber quais sites você visita — seu ISP, qualquer pessoa conectada à sua rede Wi-Fi, ou qualquer ator na sua cadeia de conexão pode simplesmente olhar as consultas DNS. Veem todos os nomes de domínios que você procura antes mesmo de você acessar o site.

Isso é particularmente preocupante em contextos onde a vigilância é comum ou onde você não confia na segurança da rede. Um colega em um café com Wi-Fi público pode ver quais sites você visita. Um governo pode monitorar o tráfego DNS em escala nacional.

Alternativas criptografadas: DoH e DoT

Os pesquisadores e engenheiros de internet reconheceram esse problema. Surgiram duas principais soluções: DoH (DNS sobre HTTPS) e DoT (DNS sobre TLS). Ambas criptografam suas consultas DNS para que apenas seu dispositivo e o servidor DNS saibam quais sites você está procurando.

Com DoH, as consultas DNS viajam dentro de mensagens HTTPS normais — a mesma criptografia que protege seu email no Gmail. Com DoT, usam-se conexões TLS dedicadas, como aquelas que protegem aplicações de banco online. A diferença técnica importa para alguns casos de uso, mas o resultado é semelhante: maior privacidade.

Contudo, existem tradeoffs. Implementar essas alternativas criptografadas adiciona complexidade. Alguns provedores de DNS públicos criptografados coletam seus dados de consulta para criar perfis de usuário (embora afirmem não fazer isso). E em alguns ambientes corporativos ou escolares, a criptografia DNS interfere com sistemas de controle de conteúdo.

Por que DNS é a arma preferida da censura

Os governos e ISPs descobriram que o DNS é o ponto de estrangulamento perfeito para censura. Não é necessário cortar a internet inteira — basta impedir que um servidor DNS responda corretamente. Alguém tenta acessar um site bloqueado? O servidor DNS recusa responder ou fornece um endereço IP falso. O site fica efetivamente invisível.

Isso é barato e fácil de implementar em escala. A criptografia DNS desafia esse controle, mas não o elimina completamente — um ISP pode ainda bloquear conexões para servidores DoH ou DoT conhecidos.

Entendendo o sistema como um todo

O DNS é a infraestrutura invisível que torna a internet navegável. Funciona através de um sistema distribuído elegante de perguntas e respostas, mas por padrão deixa um rastro de cada site que você procura. As soluções existem — criptografia DNS através de DoH e DoT — mas nenhuma é uma solução mágica para privacidade ou para contornar censura.

Para compreender verdadeiramente como sua privacidade funciona online e como a censura acontece, você precisa entender que DNS é apenas um dos muitos pontos na jornada. Aprofunde-se em como endereços IP funcionam, como ISPs veem o tráfego, e como as redes de entrega de conteúdo mudam o jogo.