Teste de vazamento de DNS: qual resolvedor responde pelo seu navegador

Resposta rápida: você tem um vazamento de DNS?

Se a sua VPN está conectada e as consultas de domínios continuam sendo respondidas pelo servidor da sua operadora ou pelo do seu roteador, isso é um vazamento de DNS que vale revisar. O que decide é de quem é o resolvedor, não o rótulo de país: o DNS usa anycast e os bancos de dados de geolocalização erram com frequência. Esta página mostra qual resolvedor atende as consultas deste navegador e a qual rede ele pertence; ela não vê todo o tráfego DNS do computador.

O que é um vazamento de DNS e por que ele importa

Toda vez que você digita um domínio, o seu dispositivo ainda não sabe a qual endereço IP se conectar. Ele pergunta a um servidor DNS (o resolvedor) e espera a resposta antes de abrir o site. Esse resolvedor vê, um por um, todos os nomes que você pede.

Com uma VPN conectada, essa pergunta deveria viajar dentro do túnel e ser respondida pelo resolvedor do provedor. Há um vazamento de DNS quando a pergunta sai por fora: o túnel oculta o seu endereço IP, mas a sua operadora (ou o roteador, ou o DNS seguro que o navegador ativou por conta própria) continua vendo a lista de domínios que você visita. É a parte da sua atividade que mais se parece com um histórico de navegação.

Por isso um vazamento de DNS não é percebido: a conexão funciona, as páginas carregam e o aplicativo diz “conectado”. A única forma de detectá-lo é verificar quem responde. Se você também quiser ver qual endereço IP está mostrando nesse mesmo momento, o teste de vazamentos de VPN reúne DNS, WebRTC e IPv6 em uma só passagem, e a ferramenta qual é o meu IP mostra a rota visível de fora.

Como fazer o teste de vazamento de DNS antes e depois da VPN

Uma única execução diz pouco. O que tem valor é a comparação: o mesmo teste, no mesmo navegador, antes e depois de mudar uma única coisa.

1. Rode o teste com a VPN desconectada e anote o que aparece na linha “Resolver DNS” (principalmente a rede ao lado do endereço) e no rótulo de status. Esse é o seu ponto de partida: normalmente o resolvedor da sua operadora ou o DNS público que você configurou.
2. Conecte a VPN, ou mude o DNS seguro do navegador. Mude um único ajuste em cada tentativa; se você mexer em três ao mesmo tempo, o resultado não vai dizer qual foi.
3. Rode o teste de novo na mesma aba e compare com o que você anotou antes. Com a VPN bem configurada, a rede da linha “Resolver DNS” passa a ser a do provedor, assim como a da linha “Seu IP público”. Se o IP já é da VPN e o resolvedor continua sendo da sua operadora, ali está o vazamento.
4. Use “Copiar relatório seguro” se precisar guardar o resultado. A exportação resume categorias e não inclui o seu IP, o IP do resolvedor nem outros identificadores sensíveis.
5. Repita depois de cada reconexão, troca de rede ou atualização do navegador. Um resultado da semana passada não descreve a sessão de hoje.

A ordem importa mais do que a pressa. A metodologia em português explica como cada sinal é rotulado e por que os rótulos são conservadores.

Como ler o resultado: um cartão, quatro linhas e um rótulo

O resultado não é uma aprovação nem uma reprovação. A ferramenta desenha exatamente um cartão, intitulado “Sinal de DNS”, com quatro linhas fixas, um rótulo de status e uma nota sobre o que o serviço de teste vê. Ao abrir a página, as linhas “Resolver DNS” e “Verificado via” mostram “—” até você clicar no botão; a do seu IP já vem preenchida. Saber o que há em cada linha evita ler no resultado mais do que ele contém.

• Resolver DNS: o endereço do resolvedor que foi perguntar pelos nomes de teste, seguido da rede a que ele pertence e do código do país, por exemplo “203.0.113.7 · Exemplo Telecom (BR)”. Se vários perguntaram, aparecem até três e um “+N” com o resto. Antes de rodar o teste, a linha mostra “—”.
• Seu IP público: o endereço com que este navegador sai para a internet, também com a rede e o país, lido do serviço de IP do próprio MyIPScan. É a outra metade da comparação: o rótulo sai de confrontar essa rede com a do resolvedor.
• Verificado via: o serviço que fez a observação, hoje sempre o bash.ws. Se a linha disser “Indisponível”, o teste não chegou a esse serviço e nada foi concluído; mais abaixo está o porquê disso poder acontecer.
• Limite: uma linha de texto fixo que repete o alcance do teste: ela mostra os resolvedores que chegaram ao servidor de teste e, se o seu resolvedor encaminha para outro, só o último salto. Ela está ali para que o resultado não seja lido como uma auditoria.

O rótulo do cartão só pode assumir três valores quando o teste termina, mais um transitório enquanto ele roda:

• Normal O resolvedor está na mesma rede que o seu IP público, ou é um resolvedor público conhecido (Google Public DNS, Cloudflare, Quad9 e similares), que o cartão nomeia. Significa “a rota de DNS deste navegador coincide com a sua conexão”, não “não há vazamento”.
• Requer revisão Pelo menos um resolvedor pertence a uma rede diferente da do seu IP público, às vezes também em outro país. Sem VPN isso pode ser normal, por exemplo com um DNS que você configurou em outra rede; com a VPN conectada, costuma indicar que as consultas saem por fora do túnel. Não é um vazamento comprovado: é o motivo para revisar os ajustes mais abaixo.
• Não verificado É o status inicial e também o que fica se o teste não conseguiu concluir: o bash.ws não respondeu ou foi bloqueado pela rede, por uma extensão ou pela política da empresa, ou os resolvedores apareceram, mas não foi possível carregar a rede do seu IP para comparar.
• Verificando Estado momentâneo enquanto o teste está em andamento; o cartão se chama então “Resultado de DNS” e é substituído ao terminar. Se ele ficar parado ali, rode o teste de novo.

No cabeçalho da ferramenta há também um quadro Status com um número de 0 a 100 e um nível: “Baixa exposição” até 20, “Exposição moderada” até 50, “Alta exposição” até 80 e “Verificar com prioridade” acima disso. Antes de rodar qualquer coisa, ele mostra “Não verificado”. É um resumo de exposição desta sessão, não uma nota dada ao seu provedor.

O rótulo resume a comparação; o dado de verdade está nas linhas, na rede ao lado de cada endereço. As duas seções seguintes explicam o que esses endereços significam e como compará-los com a rota que você esperava.

O que significam as linhas “Resolver DNS” e “Seu IP público”

A linha “Resolver DNS” mostra o endereço com que o seu resolvedor sai para a internet para perguntar ao servidor autoritativo, que nem sempre é o que está escrito nos seus ajustes. Se você configurou 8.8.8.8, aqui vai aparecer outro endereço da rede do Google, porque os resolvedores grandes perguntam a partir de muitos endereços. Por isso o que importa é a rede ao lado do endereço, não o número exato.

Esse é o núcleo do teste: comparar essa rede com a da linha “Seu IP público”. Sem VPN, o normal é as duas mostrarem a rede da sua operadora, ou o resolvedor ser um DNS público que você mesmo escolheu. Com a VPN conectada, as duas deveriam passar para a rede do provedor. Se o IP muda e o resolvedor continua na sua operadora, o endereço viaja pelo túnel e os nomes não: é a combinação típica de um vazamento de DNS. Se nem o IP mudar, o navegador não está passando pela VPN, o que é um problema maior do que o DNS.

O endereço do resolvedor mudar de uma execução para outra é normal e não indica uma falha: os resolvedores grandes distribuem as consultas entre vários endereços de saída, e por isso podem aparecer dois ou três na mesma linha. Enquanto a rede for a mesma, o rótulo não muda.

Em dois casos a linha não mostra o resolvedor que você configurou. Se o seu resolvedor encaminha as consultas para outro (um roteador que repassa tudo ao DNS da operadora, ou um filtro da empresa), aparece o último salto, o que conversa com o servidor autoritativo. E se o navegador estiver com o DNS seguro (DNS sobre HTTPS) ativado, quem pergunta é o provedor desse DNS seguro: você vai ver, por exemplo, Cloudflare ou Google mesmo que o resto do computador use outro resolvedor.

Sobre o país: o código entre parênteses vem de bancos de dados de geolocalização, que erram com frequência em faixas de infraestrutura, e os resolvedores públicos usam anycast, ou seja, respondem a partir do nó mais próximo. Por isso o teste compara primeiro a rede e só leva o país em conta quando as redes já são diferentes: um resolvedor da sua VPN em outro país não é marcado para revisão se pertencer à mesma rede do seu IP.

Para que serve a linha “Verificado via”

A terceira linha diz quem fez a observação, e para entendê-la é preciso saber como o teste funciona. O seu navegador não consegue descobrir sozinho qual resolvedor usa: ele recebe respostas, mas nunca vê quem perguntou. Por isso, quando você clica no botão, a página pede ao bash.ws um identificador de uso único, faz o navegador resolver vários nomes inventados sob esse identificador e depois pergunta ao bash.ws quais resolvedores chegaram ao servidor DNS autoritativo dele pedindo esses nomes. Como esses nomes não existiam antes, ninguém os tinha em cache: quem pergunta é, necessariamente, o resolvedor que atende o seu navegador.

• “bash.ws” nesta linha e pelo menos um resolvedor na primeira. É o caso comum: a observação funcionou e o rótulo reflete a comparação com o seu IP. Interprete os endereços como explicado acima.
• “bash.ws”, resolvedores à vista e o rótulo em “Não verificado”. O resolvedor foi visto, mas não foi possível carregar a rede do seu IP público para comparar. Os endereços continuam valendo como dado; repita o teste para ter a comparação.
• “Indisponível” nesta linha. O teste não chegou ao bash.ws ou não recebeu resposta: rede fora do ar, uma extensão ou um filtro que bloqueia o domínio, ou o serviço fora do ar. O rótulo fica em “Não verificado” e o cartão diz que nada foi concluído. Isso não é um resultado limpo, é a ausência de resultado: teste em outra rede ou com as extensões desativadas.

Vale saber o que esse serviço vê. Quando você roda o teste, o bash.ws vê o seu IP público e os resolvedores DNS que perguntam por você, e devolve isso a esta página; o MyIPScan não guarda o resultado, e o relatório seguro não copia nenhum desses endereços. Por isso a verificação não começa sozinha ao abrir a página: ela espera você clicar no botão. Se o que você quer é consultar registros específicos de um domínio, a consulta de registros DNS resolve A, AAAA, MX ou NS a partir do servidor, sem depender do navegador.

Como comparar o resolvedor com o seu IP visível

O cartão “Sinal de DNS” já coloca as duas coisas lado a lado: o resolvedor e o seu IP público, cada um com a sua rede. O rótulo resume a comparação, mas vale saber fazê-la você mesmo; os passos são curtos.

1. Olhe primeiro a rede ao lado de cada endereço. Se o nome da rede do resolvedor não disser nada a você, copie o endereço e cole na consulta ASN: ela devolve o número da rede e a organização por trás dele, e assim você sabe se é a sua operadora, o seu provedor de VPN ou um DNS público.
2. Se quiser mais contexto sobre o seu próprio endereço, a ferramenta qual é o meu IP mostra a localização aproximada e a rede dele, e você confirma se o tráfego do navegador sai pela operadora ou pela VPN.
3. Se preferir ver todas as rotas de uma vez, rode o teste de vazamentos de VPN: ele faz a mesma verificação de DNS junto com WebRTC e IPv6 e, como ali a VPN é a rota esperada, um resolvedor de outra rede e de outro país é marcado como possível vazamento.

O que você procura ao comparar é uma divergência de organização, não de país. Com a VPN conectada, as duas linhas deveriam mostrar a rede do provedor de VPN. Um resolvedor da sua operadora ao lado de um IP da VPN é o vazamento de DNS clássico: o endereço vai pelo túnel e os nomes não. A página mostra essa combinação nas duas linhas e o rótulo passa a “Requer revisão”; para corrigir, confira os ajustes da seção “O que revisar”.

O rótulo de país merece desconfiança por dois motivos. O primeiro é o anycast: o mesmo endereço de um resolvedor público é anunciado a partir de muitas cidades ao mesmo tempo e responde o nó mais próximo, que não precisa estar onde está o servidor VPN. O segundo é que os bancos de dados de geolocalização erram com frequência, e mais ainda com faixas de infraestrutura; a geolocalização de IP deixa ver como esse dado é aproximado. Por isso a comparação útil é a do dono.

Qual DNS você deveria ver com NordVPN, ExpressVPN, Proton VPN, Mullvad e Surfshark

Quando uma VPN roteia bem o DNS, o resolvedor que atende as suas consultas pertence à VPN e não à operadora da sua casa. A linha “Resolver DNS” não vai mostrar os endereços internos do túnel listados abaixo, e sim o endereço público com que o resolvedor do provedor sai para a internet; o que conta é a rede dele ser a da VPN. O que segue descreve o comportamento documentado de alguns serviços comuns; é informação descritiva, não uma recomendação nem uma comparação entre provedores.

• NordVPN: DNS próprio dentro do túnel (103.86.96.100 e 103.86.99.100) ou um resolvedor da Nord. Sinal a revisar: o resolvedor da sua operadora enquanto o aplicativo indica que você está conectado.
• ExpressVPN: DNS próprio gerenciado dentro do túnel, sem configuração à parte. Sinal a revisar: DNS da operadora, ou Google e Cloudflare se não foi você quem os configurou.
• Proton VPN: resolvedor dentro do túnel (10.2.0.1). Sinal a revisar: o DNS da operadora, sobretudo no Windows depois de uma troca de rede.
• Mullvad: DNS da Mullvad (10.64.0.1) ou um resolvedor público operado pela Mullvad. Sinal a revisar: qualquer outro resolvedor enquanto você está conectado, incluindo o do roteador.
• Surfshark: DNS privado dentro do túnel (162.252.172.57 e endereços semelhantes). Sinal a revisar: DNS da operadora ou do roteador junto com o IP de saída da Surfshark.

Esses endereços mudam quando os provedores atualizam a infraestrutura, então não os tome como uma lista fixa. O sinal confiável continua sendo o dono do resolvedor. Alguns provedores hospedam o DNS em uma rede diferente da do servidor de saída, e aí o rótulo pode pedir revisão mesmo que o resolvedor seja deles: confira o nome da organização antes de concluir. E um rótulo de país diferente, por si só, costuma se dever ao roteamento anycast, e não a um vazamento.

Por que o IPv6 é a causa mais frequente de um vazamento de DNS

Muitas VPNs roteiam só IPv4. Se a sua rede residencial ou móvel também tem IPv6 e o aplicativo não o gerencia, o dispositivo pode mandar consultas DNS por IPv6 diretamente para a sua operadora enquanto o tráfego IPv4 continua dentro do túnel. O vazamento existe, mas um teste que só olha o IPv4 não o vê.

Os sinais típicos são estes: o resultado muda entre o Wi-Fi e os dados móveis, muda entre o perfil normal e uma janela anônima, ou a VPN se comporta de outro jeito depois de suspender e retomar o computador. Quando isso acontecer, desative o IPv6 no sistema ou use uma VPN que o roteie, e verifique de novo.

O teste de visibilidade IPv6 confirma separadamente se o seu endereço IPv6 está visível. O teste de vazamento de WebRTC cobre o outro caminho pelo qual o navegador pode revelar endereços sem passar pelo DNS, e o teste de impressão digital do navegador mostra o que distingue você mesmo que o DNS e o IP estejam onde você esperava.

O que revisar quando o DNS não corresponde ao que você esperava

Se o resolvedor não é o que você imaginava, revise nesta ordem e rode o teste de novo entre um passo e o seguinte.

1. Ative a proteção contra vazamento de DNS no aplicativo da VPN, se existir essa opção.
2. Verifique o túnel dividido. Um aplicativo ou uma faixa excluída pode levar o DNS para fora do túnel sem que nada se desconecte.
3. Revise o DNS seguro do navegador, também chamado de DNS sobre HTTPS. Chrome, Edge e Firefox podem ativá-lo por conta própria e nem sempre seguem o DNS do sistema.
4. Olhe o DNS do adaptador de rede no sistema operacional. No Windows é onde o DNS da operadora mais reaparece depois de uma troca de rede.
5. Revise o DNS do roteador. Se ele estiver fixado ali, todos os dispositivos da casa o herdam sem aviso.
6. Reconecte a VPN depois de cada mudança e repita o teste antes de dar o ajuste como resolvido.

Nenhum ajuste torna uma sessão anônima, e esta página não promete isso. O que você consegue é fazer a rota visível coincidir com a que pretendia usar, e isso dá para verificar.

O que esta verificação não consegue ver

A ferramenta faz este navegador resolver nomes de uso único sob bash.ws e lê nesse serviço quais resolvedores perguntaram por eles; a rede do seu IP ela tira do serviço do próprio MyIPScan. Isso define com exatidão o seu alcance e também os seus limites.

Ela vê o resolvedor que atende as consultas deste navegador, não as que o seu sistema operacional faz fora dele, nem as de outros aplicativos, nem os registros da sua operadora. De uma cadeia de encaminhamento ela só vê o último salto e, com o DNS seguro do navegador ativado, vê o provedor dele, não o DNS do sistema. Se você usa um DNS público, ela vê o Google ou a Cloudflare, mas não se a consulta chegou a eles por dentro ou por fora do túnel. E não pode dizer nada sobre conexões futuras: descreve esta sessão, neste navegador, agora.

Por isso um resultado limpo não prova que não exista nenhum vazamento. Ele prova que, nesta execução, o resolvedor que o servidor de teste viu coincidia com a rota do seu IP. É útil, é repetível e é limitado. A metodologia em português descreve onde cada sinal para, e a versão em inglês deste teste de vazamento de DNS aplica as mesmas regras.