Jeff Bruchado
Voltar para o Blog

Quad9 Sai da França em 2026: O Que o Bloqueio de DNS Ensina Sobre a Internet

Olá HaWkers, em 22 de outubro de 2026 o Quad9 publicou um texto curto com um título que diz tudo: "Au revoir, France". A fundação suíça que opera o resolvedor de DNS público 9.9.9.9 vai deixar de atender usuários na França a partir de 24 de novembro de 2026. O motivo é uma decisão do Tribunal Judiciário de Paris, obtida pela emissora beIN, que obriga o serviço a bloquear domínios acusados de transmitir esporte pirata.

O anúncio passou de 1.200 pontos no Hacker News em menos de um dia, e não por acaso. É a segunda vez que um resolvedor público grande prefere sair do país a obedecer uma ordem de bloqueio: o OpenDNS, da Cisco, fez o mesmo em junho de 2024. Você sabe o que acontece entre digitar um endereço e a página abrir, e por que um tribunal quer mexer exatamente nesse ponto? Neste artigo você vai entender o caso, o que ele revela sobre como a internet é governada hoje e, na prática, como verificar, trocar e testar o DNS que você usa.

O Que Aconteceu, em Ordem

A linha do tempo ajuda a separar o que é fato do que é opinião, porque o assunto gera muita das duas coisas.

  • Novembro de 2017: o Quad9 entra no ar como resolvedor público sem fins lucrativos, com foco em bloquear domínios de malware e phishing. Ele protege usuários franceses há quase 9 anos, segundo a própria fundação.
  • 2021 a 2023: a Sony Music processa o Quad9 na Alemanha para forçar o bloqueio de um site. A fundação tenta bloquear por geolocalização, a Sony acessa o conteúdo por VPN e o tribunal multa o Quad9 por descumprimento. Anos depois, em segunda instância, a corte de Dresden entende que um resolvedor DNS não é o autor da infração e o Quad9 vence. O processo custou "seis dígitos", nas palavras da fundação.
  • Maio e junho de 2024: a Canal+ obtém em Paris ordens para que Google, Cloudflare e Cisco bloqueiem domínios de pirataria de futebol em seus resolvedores públicos. Google e Cloudflare cumprem. A Cisco tira o OpenDNS da França e de Portugal em 28 de junho de 2024.
  • 21 de outubro de 2026: a 3ª Câmara do Tribunal Judiciário de Paris (processo RG 26/11882) decide a favor da beIN contra o Quad9. A multa por descumprimento cai de 580 mil euros para mil euros por dia, mas a obrigação de bloquear continua.
  • 22 de outubro de 2026: o Quad9 anuncia que vai recorrer e que deixa a França em 24 de novembro.

A fundação também diz ter cerca de 20 outros processos pendentes no país, cada um pedindo o bloqueio de mais domínios. Esse número pesa mais na decisão do que a multa em si.

O Que É um Resolvedor DNS e Por Que Ele Virou Alvo

Quando você acessa jeffbruchado.com.br, seu computador não sabe para qual IP mandar a requisição. Ele pergunta a um resolvedor recursivo, que vai atrás da resposta na cadeia de servidores autoritativos (raiz, depois .br, depois o servidor do domínio) e devolve o endereço final. Por padrão, esse resolvedor é o da sua operadora. Mas qualquer pessoa pode trocar para um público, como 8.8.8.8 (Google), 1.1.1.1 (Cloudflare) ou 9.9.9.9 (Quad9).

É aqui que nasce o conflito. Na França, a lei do esporte permite que detentores de direitos peçam medidas de bloqueio a qualquer entidade capaz de ajudar a impedir a pirataria. As operadoras já eram obrigadas a bloquear os sites. Só que, para driblar o bloqueio, bastava trocar o DNS da operadora por um público. Os detentores de direitos então foram atrás dos resolvedores públicos.

Cloudflare e Cisco argumentaram em 2024 que um resolvedor tem papel passivo, parecido com uma lista telefônica. O tribunal não aceitou: se o bloqueio impede pelo menos parte dos usuários de chegar ao site, ele é considerado proporcional.

A melhor forma de entender o problema é ver o DNS funcionando. O exemplo abaixo usa o módulo nativo do Node.js para perguntar o mesmo nome a resolvedores diferentes:

// compara-resolvedores.mjs
// Pergunta o mesmo domínio a vários resolvedores públicos e compara as respostas.
import { Resolver } from 'node:dns/promises';

const resolvedores = {
  operadora: null, // null = usa o DNS configurado no sistema
  google: '8.8.8.8',
  cloudflare: '1.1.1.1',
  quad9: '9.9.9.9',
};

async function consultar(nome, dominio, ip) {
  const resolver = new Resolver({ timeout: 3000, tries: 1 });
  if (ip) resolver.setServers([ip]);

  const inicio = performance.now();
  try {
    const enderecos = await resolver.resolve4(dominio);
    const ms = Math.round(performance.now() - inicio);
    return { nome, enderecos: enderecos.join(', '), ms };
  } catch (erro) {
    // NXDOMAIN, REFUSED ou timeout podem indicar bloqueio, mas não provam sozinhos
    return { nome, enderecos: `erro: ${erro.code}`, ms: null };
  }
}

const dominio = process.argv[2] ?? 'example.com';
const resultados = await Promise.all(
  Object.entries(resolvedores).map(([nome, ip]) => consultar(nome, dominio, ip))
);

console.table(resultados);

Rode com node compara-resolvedores.mjs example.com. Se um resolvedor devolve um IP e outro devolve erro ou um endereço diferente para o mesmo domínio, alguém no caminho está alterando a resposta. É exatamente isso que uma ordem de bloqueio exige.

Por Que o Quad9 Prefere Sair a Bloquear

A frase central do anúncio é esta: o Quad9 se recusa "categoricamente a alterar ou mentir" sobre as respostas de DNS que entrega. Parece retórica, mas há três argumentos técnicos por trás.

1. Ele não sabe quem é francês. O Quad9 não pede cadastro e diz não guardar registros que liguem um usuário a uma jurisdição. Para bloquear só na França, precisaria identificar a origem de cada consulta por geolocalização de IP, que é imprecisa e, como a Sony mostrou na Alemanha, se contorna com uma VPN em segundos.

2. Bloquear para todos exportaria a lei francesa. A forma mais simples de cumprir a ordem seria colocar os domínios na lista de bloqueio global. Aí um usuário no Brasil, no Japão ou no Canadá passaria a obedecer uma decisão de um tribunal de Paris. O Quad9 rejeita essa saída.

3. O bloqueio não funciona. A comparação da fundação é boa: é como segurar um pedaço de jornal na frente de um estádio para tapar a vista de um show. Quem quer assistir troca de resolvedor, usa DNS sobre HTTPS, usa VPN ou acessa o IP direto.

Há ainda o argumento econômico. Mil euros por dia é pouco para uma empresa grande, mas o Quad9 é uma fundação mantida por doações. Vinte processos simultâneos, cada um exigindo advogados na França, é o que torna o país inviável. E a beIN pedia 580 mil euros por dia.

Quem Sente o Impacto

O efeito vai muito além de quem trocou o DNS em casa. O Quad9 lista entre os usuários afetados órgãos de governo, redes de pesquisa e educação, universidades, hospitais, empresas de energia e transporte, provedores e operadoras móveis. Muitas dessas redes escolheram o Quad9 justamente pela camada de proteção contra domínios maliciosos.

E aqui está a ironia que o próprio anúncio aponta: a decisão, tomada para proteger direitos de transmissão de esporte, tira de milhares de redes francesas um filtro gratuito contra malware e phishing. O Quad9 tem três versões do serviço, e duas delas bloqueiam endereços conhecidos como perigosos. Quem depende dessa proteção vai ter que substituí-la, pagar por uma alternativa ou ficar sem.

Para quem administra rede, a lição é prática: um resolvedor público é uma dependência externa como qualquer outra, e pode sumir por decisão de terceiros. Se a sua empresa tem filial na França, ou clientes lá, o checklist abaixo resume o que fazer até 24 de novembro.

Situação O que fazer
Estações usando 9.9.9.9 no DHCP Trocar o DNS entregue pelo DHCP e renovar os leases
Servidores com DNS fixo em /etc/resolv.conf ou systemd-resolved Atualizar a configuração e testar a resolução
Forwarders em Unbound, BIND ou dnsmasq apontando para o Quad9 Trocar o upstream e manter pelo menos dois provedores
Navegadores com DNS sobre HTTPS no Quad9 Revisar a política do navegador ou do MDM
Dependência da proteção contra malware Escolher outro filtro antes de desligar o atual

Na Prática: Descubra Qual DNS Você Usa

Antes de trocar qualquer coisa, descubra o que está configurado hoje. Os comandos mudam por sistema:

# macOS: lista os servidores DNS em uso por interface
scutil --dns | grep 'nameserver\[[0-9]*\]' | sort -u

# Linux com systemd-resolved: mostra o DNS de cada interface
resolvectl status | grep -E 'Link|DNS Servers'

# Linux sem systemd-resolved
cat /etc/resolv.conf

# Windows (PowerShell)
Get-DnsClientServerAddress -AddressFamily IPv4

# Qualquer sistema com dig: pergunta direto ao Quad9 e mostra quem respondeu
dig @9.9.9.9 example.com +short
dig example.com | grep SERVER

Se aparecer 9.9.9.9, 149.112.112.112, 2620:fe::fe ou 2620:fe::9, você está usando o Quad9. Esses são os endereços oficiais do serviço.

Na Prática: Troque e Mantenha um Plano B

A regra é nunca depender de um provedor só. No Linux com systemd-resolved, dá para configurar um principal e um reserva de empresas diferentes:

# /etc/systemd/resolved.conf
# Principal e reserva de provedores diferentes: se um sair do ar
# (ou do país), o outro continua respondendo.
[Resolve]
DNS=1.1.1.1#cloudflare-dns.com 8.8.8.8#dns.google
FallbackDNS=1.0.0.1#cloudflare-dns.com 8.8.4.4#dns.google
# Criptografa as consultas com DNS sobre TLS quando o servidor aceitar
DNSOverTLS=opportunistic
DNSSEC=allow-downgrade

Depois rode sudo systemctl restart systemd-resolved e confira com resolvectl status. No macOS, o equivalente por linha de comando é:

# Define DNS principal e reserva na interface Wi-Fi do macOS
networksetup -setdnsservers Wi-Fi 1.1.1.1 8.8.8.8

# Volta para o DNS entregue pela rede (DHCP)
networksetup -setdnsservers Wi-Fi empty

# Limpa o cache local para a troca valer na hora
sudo dscacheutil -flushcache && sudo killall -HUP mDNSResponder

Repare que a troca não é neutra. Google e Cloudflare cumprem as ordens francesas desde 2024, então na França eles devolvem respostas filtradas para os domínios listados. Quem escolhe resolvedor está escolhendo também a política de bloqueio que aceita.

Na Prática: Monitore se o Seu DNS Está Respondendo

Para quem cuida de produção, vale ter um teste automatizado que avise quando um resolvedor para de responder ou começa a responder diferente. O script abaixo usa DNS sobre HTTPS no formato JSON, que roda em qualquer ambiente com fetch:

// monitora-doh.mjs
// Consulta o mesmo nome em vários endpoints DoH e alerta sobre divergências.
const endpoints = {
  cloudflare: 'https://cloudflare-dns.com/dns-query',
  google: 'https://dns.google/resolve',
};

async function resolverDoh(nome, url, dominio) {
  const resposta = await fetch(`${url}?name=${dominio}&type=A`, {
    headers: { accept: 'application/dns-json' },
    signal: AbortSignal.timeout(4000),
  });
  const dados = await resposta.json();
  // Status 0 = NOERROR, 3 = NXDOMAIN, 5 = REFUSED
  const ips = (dados.Answer ?? [])
    .filter((r) => r.type === 1)
    .map((r) => r.data)
    .sort();
  return { nome, status: dados.Status, ips };
}

const dominio = process.argv[2] ?? 'example.com';
const resultados = await Promise.allSettled(
  Object.entries(endpoints).map(([nome, url]) => resolverDoh(nome, url, dominio))
);

const ok = resultados.filter((r) => r.status === 'fulfilled').map((r) => r.value);
const falhas = resultados.filter((r) => r.status === 'rejected');

if (falhas.length) console.warn(`⚠️ ${falhas.length} resolvedor(es) sem resposta`);

const conjuntos = new Set(ok.map((r) => `${r.status}:${r.ips.join(',')}`));
if (conjuntos.size > 1) {
  // Respostas diferentes podem ser CDN por região, mas NXDOMAIN em um só é suspeito
  console.warn('⚠️ Respostas divergentes:', ok);
} else {
  console.log('✅ Resolvedores concordam:', ok[0]);
}

Uma ressalva honesta: sites atrás de CDN devolvem IPs diferentes conforme a região, então divergência de IP nem sempre é bloqueio. O sinal forte é um resolvedor responder NXDOMAIN ou REFUSED enquanto os outros respondem normalmente.

O Padrão Maior: A Internet Se Fragmentando por Camada

O caso Quad9 não é isolado. Ele faz parte de uma tendência em que governos e tribunais descem cada vez mais na pilha de rede para impor decisões. Primeiro foram os sites, depois as operadoras, agora os resolvedores. A Canal+ já disse que o próximo passo inclui bloqueio por IP.

O Brasil conhece bem esse movimento. Em agosto de 2024, o STF determinou a suspensão do X no país e previu multa de R$ 50 mil por dia para quem usasse VPN para acessar a rede. A Anatel, por sua vez, derruba com frequência servidores de IPTV pirata. A lógica é a mesma da França: quando o bloqueio numa camada não basta, a pressão vai para a camada seguinte.

E a França vive um momento curioso. O mesmo país que discute substituir apps americanos em nome da soberania digital acaba de perder um resolvedor europeu, sem fins lucrativos, com sede em Zurique. Quem fica são justamente os grandes provedores americanos que aceitaram filtrar.

Para desenvolvedores, há três consequências concretas:

  1. Infraestrutura tem geografia. A mesma configuração pode funcionar no Brasil e falhar em Paris. Testes de disponibilidade precisam rodar de mais de uma região.
  2. DNS é dependência crítica. Ter dois provedores de empresas diferentes, como você faria com um banco de dados ou uma fila, deixou de ser exagero.
  3. Neutralidade técnica tem custo. O Quad9 pagou "seis dígitos" para vencer na Alemanha e agora prefere perder um país inteiro a manter um sistema de bloqueio que considera inviável.

Perspectivas: O Que Pode Mudar Até 24 de Novembro

O Quad9 vai recorrer, e a corte de apelação pode reverter a decisão, como aconteceu na Alemanha. A fundação também pediu que franceses procurem seus deputados e a Arcom, a autoridade reguladora do audiovisual e do digital no país. Se nada mudar, a partir de 24 de novembro o serviço simplesmente deixa de responder para quem estiver na França.

Fique de olho em três coisas nas próximas semanas: o resultado do recurso, o andamento dos outros 20 processos e se algum outro resolvedor independente segue o mesmo caminho. Se dois dos maiores resolvedores neutros saírem de um país europeu em dois anos, o debate sobre quem controla a camada de nomes da internet deixa de ser teórico.

Enquanto isso, a tarefa prática é simples: confira qual DNS você usa, tenha um reserva de outro provedor e automatize o teste. O DNS é invisível até o dia em que some.

Bora pra cima! 🦅

📚 Quer Acompanhar o Que Vem Por Aí?

Este artigo cobriu a saída do Quad9 da França e o que o bloqueio de DNS muda para quem cuida de rede, mas o ecossistema muda toda semana e nem tudo vira artigo aqui.

No X eu compartilho o que estou testando, os bastidores dos projetos e as novidades que aparecem antes de virarem post.

Me Segue Lá

👉 Seguir @jeffbruchado no X

💡 Conteúdo diário sobre desenvolvimento, carreira e as ferramentas que eu realmente uso

Comentários (0)

Esse artigo ainda não possui comentários 😢. Seja o primeiro! 🚀🦅

Adicionar comentário