O que é 1.1.1.1? Um guia simples sobre resolvedores DNS públicos

Pergunte num fórum de rede doméstica por que um site carrega devagar e alguém vai dizer isso em até cinco respostas: é só trocar seu DNS para 1.1.1.1. Ele é oferecido do jeito que fita adesiva é oferecida: como a solução para tudo. Eu mesmo já digitei esses dígitos no meu roteador. Às vezes as páginas realmente abriam mais rápido depois. Uma vez, na casa de um parente, ele «resolveu» um problema que acabou sendo um roteador morrendo, que morreu de vez uma semana depois, levando minha reputação junto.

Então vamos ser precisos sobre o que são esses quatro dígitos, o que muda quando você os usa e o que definitivamente não muda.

Primeiro, o trabalho que um resolvedor faz por você

Toda vez que algo na sua rede pede um site pelo nome, alguma coisa precisa traduzir esse nome para um endereço. Essa coisa é um resolvedor recursivo, e você já tem um: seu provedor de internet o opera, e seu roteador entrega o endereço dele automaticamente a cada dispositivo. Você nunca o escolheu, provavelmente não sabe o endereço dele, e ele responde a milhares das suas perguntas por dia. Os conceitos básicos do que é um servidor DNS apresentam os personagens; o resolvedor é quem faz o trabalho pesado por você.

Ele também é uma testemunha. Seu resolvedor vê cada nome que você consulta — não as páginas em si, mas os nomes, o que já forma um esboço bem fiel dos seus hábitos. Quem opera seu resolvedor detém esse registro. Trocar de resolvedor não elimina a testemunha. Só muda quem é a testemunha.

Então, o que exatamente é 1.1.1.1?

1.1.1.1 é um resolvedor recursivo público, operado pela Cloudflare e aberto a qualquer pessoa, de graça, num endereço curto o bastante para decorar — o que, honestamente, é metade do motivo de ele ter se espalhado. Há um segundo endereço, 1.0.0.1, pelo motivo de sempre: para que um único endereço morto não derrube suas consultas junto. Resolvedores públicos de outras empresas existem em outros endereços famosos; a ideia tem décadas. 1.1.1.1 é simplesmente o que virou nome conhecido.

«Público» é o ponto central. O resolvedor do seu provedor existe para atender aos clientes dele. Um resolvedor público existe para atender a quem perguntar, e recebe instruções de você, e não dos padrões do seu provedor.

Como ele difere do resolvedor que você já tem

O restante da família

O endereço famoso tem irmãos, e conhecê-los evita uma confusão comum. O mesmo operador publica variantes em endereços vizinhos: uma que recusa nomes conhecidos por distribuir malware e outra que recusa esses mais conteúdo adulto, voltada para residências. Às vezes, as pessoas caem em uma variante com filtragem sem perceber — por meio de um guia, de uma predefinição do roteador ou de um parente bem-intencionado — e depois relatam, perplexas, que certos sites “não existem”. Eles existem. O resolvedor está se recusando a apresentá-los a você, e isso é um recurso que alguém escolheu em seu nome.

Também existem formas IPv6, longas cadeias hexadecimais como 2606:4700:4700::1111, e é por isso que ninguém as cita em jantares. Se a sua conexão roda IPv6 e você define apenas os endereços IPv4, alguns dispositivos continuam usando silenciosamente o resolvedor IPv6 que receberam, e suas consultas se dividem entre dois serviços — confundindo todos os testes que você fizer depois. Um dispositivo que oferece uma tela para uma família geralmente tem uma tela para a outra. Preencha as duas.

Leia essa tabela de novo e repare no que não está nela: uma linha prometendo velocidade. Velocidade é outra questão, e merece sua própria seção honesta mais abaixo.

As promessas de privacidade, com os limites incluídos

Trocar muda quem pode registrar suas consultas. O operador do 1.1.1.1 continua vendo suas consultas — ele precisa vê-las para respondê-las —, então o que você realmente escolhe é de quem prefere a política de privacidade. Combine-o com DNS criptografado e você ganha algo real: com DNS over HTTPS ou seu irmão TLS, o trecho entre você e o resolvedor é criptografado, então seu provedor e o Wi-Fi da cafeteria não conseguem mais ler as perguntas enquanto elas passam.

Agora, os limites. Os sites que você visita continuam vendo sua conexão chegar do seu próprio endereço. Seu provedor continua vendo a quais endereços você se conecta, mesmo que não possa mais ver os nomes que você consultou. 1.1.1.1 não é uma VPN, não finge ser, e qualquer guia que deixe você sair pensando o contrário está vendendo alguma coisa.

Por que ele pode parecer mais rápido — e por que talvez não

Dois mecanismos genuínos trabalham a favor dele. O primeiro é o anycast: o mesmo endereço é anunciado de lugares do mundo todo, então sua consulta pousa numa instância próxima em vez de atravessar um oceano. O segundo é o cache. Um resolvedor que responde perguntas para uma multidão enorme provavelmente já recebeu os nomes populares, e uma resposta em cache volta imediatamente em vez de depois de uma cadeia completa de consultas. Acerte um cache quente o dia todo e a navegação realmente parece mais ágil.

Mas o cache corta para os dois lados. Um nome obscuro que ninguém pediu ainda precisa da cadeia completa de consultas, onde quer que seu resolvedor more. E a geografia é pessoal: o resolvedor do seu provedor pode estar a um salto curto da sua casa, enquanto a instância anycast mais próxima pode rotear de um jeito estranho a partir da sua rede específica. Já vi os dois vencerem. Meça pela sua própria navegação ao longo de alguns dias, não pela fé.

Uma palavra sobre os rankings de velocidade de resolvedores, porque você vai encontrá-los se pesquisar. Os benchmarks medem a rapidez com que os resolvedores respondem a uma lista de nomes a partir da sua conexão, e os resultados são reais — para aqueles nomes, naquela hora, naquela conexão. O que eles não conseguem capturar é o seu mix. Os nomes obscuros que uma residência realmente consulta começam sem cache em todos os lugares, e um resolvedor que vence o benchmark por milissegundos pode perder sua terça-feira à noite para uma peculiaridade de roteamento que ninguém mediu. Use os rankings para desempatar, não para tomar a decisão.

Mais um limite de escopo que vale a pena manter claro: um resolvedor só ajuda na primeira etapa, a consulta. Depois que o seu dispositivo tem um endereço e começa a conversar com um site, o resolvedor sai inteiramente da história — ele não é consultado de novo até que a resposta em cache expire. Então, um streaming lento, uma chamada sofrida, um download que se arrasta: nada disso é um problema de DNS disfarçado, e nenhum resolvedor, por mais rápido ou famoso que seja, vai resolvê-los. A culpa é um orçamento. Gaste-o na camada que é realmente lenta.

Quando eu não trocaria

• Um notebook de trabalho ou da escola. As configurações de resolvedor dele podem ser política deliberada, e nomes internos — a impressora, o servidor de arquivos, a intranet — muitas vezes só resolvem pelo resolvedor do escritório. Aponte-o para outro lugar e as coisas quebram misteriosamente.
• Uma rede atrás de um portal cativo. A dança de login de hotéis e aeroportos já é frágil o bastante; enviar suas consultas para um lugar incomum antes de fazer login pode deixá-la ainda mais estranha.
• Se você depende discretamente da filtragem familiar ou contra malware do seu provedor. Um resolvedor público simples não filtra. Trocar pode remover uma proteção que você tinha esquecido que tinha.
• No meio de uma falha que você quer que seu provedor conserte. O suporte dele vai culpar, com razão, a única coisa que você mudou, e você não terá resposta.

Se nada disso se aplica e você quiser testar, trocar seu servidor DNS leva poucos minutos: faça isso primeiro num único dispositivo, conviva com a mudança por alguns dias e deixe o roteador por último.

Um homônimo para manter separado: o aplicativo

Pesquise esses dígitos em uma loja de aplicativos e você encontrará um aplicativo do mesmo operador, construído sobre uma tecnologia complementar que faz algo que o resolvedor simples não faz: ele roteia o tráfego de um telefone pela rede do operador, o que está muito mais próximo do que uma VPN faz do que de uma troca de resolvedor. Juntar os dois sob uma única marca causa uma confusão real. Algumas pessoas instalam o aplicativo esperando “apenas DNS” e ganham um túnel; outras digitam os dígitos em uma tela de configurações esperando um túnel e ganham apenas DNS. São ferramentas diferentes que por acaso compartilham um nome famoso, então decida qual das duas você realmente quer antes de instalar ou digitar qualquer coisa. Minha regra prática: se você digitou dígitos em uma tela de configurações, você trocou um resolvedor. Se instalou algo que pediu permissões de VPN, você instalou um túnel.

Minha configuração hoje é um meio-termo: o roteador da casa aponta para um resolvedor público, e o notebook aceita o que cada rede lhe entrega. Não é ideologia — é só o arranjo que quebrou menos coisas. Esse é o enquadramento honesto para 1.1.1.1 como um todo. Os dígitos não são mágica, e também não são golpe. São uma escolha sobre quem responde às suas perguntas, feita por você em vez de por padrão.