Como cumprir ofício de bloqueio da Anatel e da ANCINE no DNS

De onde vêm os ofícios

Apostas (bets). A Medida Provisória 1.394/2026, assinada em 25/09/2026, proibiu as apostas de quota fixa no país e determinou o bloqueio de sites e aplicativos a partir de 6 de outubro. O Ministério da Fazenda e o Ministério da Justiça pedem o bloqueio, e a Anatel repassa as ordens aos provedores de acesso. Antes da MP, a Secretaria de Prêmios e Apostas já pedia à Anatel o bloqueio de bets sem autorização.

Pirataria. A ANCINE determina o bloqueio de sites e endereços IP que transmitem conteúdo pirata, com base na Lei 14.815/2024 e na Instrução Normativa 174/2026, que prevê o bloqueio dinâmico (sites espelho e novos endereços). A Anatel notifica os provedores.

Vale guardar a prova de que cumpriu cada ofício e desde quando: é o que você apresenta se for questionado.

1. Ache a lista de domínios

• A carta de encaminhamento da Anatel quase nunca traz a lista. Ela vem num anexo, em geral uma planilha ("Tabela Domínios"). Procure todos os anexos do e-mail ou do processo.
• Algumas listas vêm só em PDF. Copie o texto com cuidado: quebras de linha e rodapés do documento podem virar "domínios" falsos.
• Ofícios de pirataria costumam trazer data de desbloqueio. Anote o prazo de cada lista.
• Use só o anexo com a lista. O e-mail costuma trazer também a carta de encaminhamento, a decisão judicial ou o despacho. Esses documentos têm links do próprio órgão no rodapé (validação do PJe, do SEI, "assinado eletronicamente"): se entrarem na lista, você bloqueia o site do tribunal ou do governo.
• Junte tudo numa lista só, um domínio por linha, em minúsculas, sem http://, sem www. e sem barra no fim.

2. Bloqueie no seu DNS recursivo

O objetivo é que o domínio e todos os subdomínios respondam NXDOMAIN (domínio inexistente) para os seus clientes.

Unbound

Crie um arquivo com uma linha por domínio e inclua no unbound.conf:

# /etc/unbound/bloqueios.conf
server:
    local-zone: "exemplo-bet.com." always_nxdomain
    local-zone: "filmes-pirata.net." always_nxdomain

# no final do unbound.conf
include: "/etc/unbound/bloqueios.conf"

Antes de recarregar, cheque a configuração. Se a checagem falhar, o Unbound não deve ser recarregado:

unbound-checkconf && unbound-control reload

BIND

Use uma zona RPZ (Response Policy Zone). CNAME . faz o domínio responder NXDOMAIN; a linha com *. pega os subdomínios:

# named.conf
options { ... response-policy { zone "rpz.bloqueios"; }; ... };
zone "rpz.bloqueios" { type master; file "/etc/bind/db.rpz.bloqueios"; allow-query { none; }; };

# /etc/bind/db.rpz.bloqueios
$TTL 300
@ SOA localhost. hostmaster.localhost. 1 3600 600 604800 300
@ NS localhost.
exemplo-bet.com    CNAME .
*.exemplo-bet.com  CNAME .

named-checkzone rpz.bloqueios /etc/bind/db.rpz.bloqueios && rndc reload rpz.bloqueios

PowerDNS Recursor

O PowerDNS lê o mesmo arquivo RPZ. No arquivo Lua de configuração:

rpzFile("/etc/powerdns/bloqueios.rpz", {policyName="bloqueios"})

rec_control reload-lua-config

Bloqueios por IP

Alguns ofícios da ANCINE trazem endereços IP, não só domínios. O DNS não bloqueia IP: esses entram no roteador ou firewall da borda (por exemplo, uma address-list no MikroTik).

3. Confira em cada servidor

Teste um domínio da lista e um site normal, consultando cada servidor DNS que atende os clientes:

dig @IP-DO-SEU-DNS exemplo-bet.com      # esperado: status: NXDOMAIN
dig @IP-DO-SEU-DNS www.exemplo-bet.com  # subdomínio também: NXDOMAIN
dig @IP-DO-SEU-DNS google.com           # o resto continua resolvendo: NOERROR

Confira também a quantidade bloqueada: no Unbound, unbound-control list_local_zones | grep -c always_nxdomain deve bater com o tamanho da lista.

4. Guarde o comprovante

Para cada ofício, registre: o número do ofício e a data em que chegou, a lista aplicada, o horário em que o bloqueio passou a valer em cada servidor e o teste feito (o resultado do dig). Guarde junto o arquivo original do ofício.

5. Prazos de desbloqueio

Quando uma lista tem data de desbloqueio, tire esses domínios na data certa, e só eles: o mesmo domínio pode estar em outro ofício ainda válido. Registre também o desbloqueio.

Bloqueou por engano? Tire o domínio da lista, recarregue o DNS, confira com dig que ele voltou a responder (NOERROR) e anote o motivo e o horário, do mesmo jeito que no bloqueio.

Erros comuns

• Bloquear só em um servidor. O cliente que usa o DNS secundário continua acessando.
• Esquecer os subdomínios. Sem o *. na RPZ, www. e outros escapam (no Unbound, always_nxdomain já pega tudo abaixo).
• Lixo do PDF virando domínio. Rodapés e numeração de página podem parecer domínios. Confira se a terminação existe de verdade; cuidado também com o contrário: .zip e .mov são terminações reais, usadas por sites piratas.
• Ordenar a lista com acentuação ligada. Em alguns Linux, sort -u com idioma em português junta domínios diferentes como se fossem iguais e alguns somem. Use LC_ALL=C sort -u.
• Arrastar todos os PDFs do e-mail. Carta, decisão e despacho trazem links do próprio órgão. Mantenha uma lista de proteção com .gov.br, .jus.br e os domínios do seu provedor, e desconfie quando um PDF render só um ou dois domínios.
• Recarregar sem checar. Um arquivo com erro pode derrubar o DNS de todos os clientes. Sempre unbound-checkconf ou named-checkzone antes.

Dúvidas frequentes

Este guia resume procedimentos técnicos e normas públicas; não substitui a orientação jurídica do provedor.

Fontes

• Teletime: MP prevê bloqueio de bets por operadoras a partir de 6 de outubro (25/09/2026)
• Congresso Nacional: tramitação da MPV 1.394/2026
• Teletime: ANCINE aprova instrução normativa de combate à pirataria
• Ministério da Fazenda: pedido de bloqueio de sites de apostas à Anatel (2024)