DNS su HTTPS (DoH): cos'è e come testarlo

Cosa fa realmente il DoH

Il DoH invia query e risposte DNS all'interno di HTTPS, lo stesso protocollo usato per la normale navigazione web, invece del tradizionale UDP o TCP in chiaro sulla porta 53. Per un osservatore sulla rete, una query DoH è indistinguibile da qualsiasi altra richiesta HTTPS verso quel server.

Perché conta

Una query DNS in chiaro rivela a chiunque sul percorso — il tuo provider internet, il gestore di un Wi-Fi pubblico o un aggressore sul percorso — ogni dominio che cerchi, anche se il sito stesso viene poi caricato via HTTPS. Il DoH cripta la query stessa, chiudendo proprio quella lacuna.

DoH contro DNS su TLS (DoT)

Il DoT cripta il DNS allo stesso modo, ma tramite una propria porta dedicata, la 853. Questo lo rende facile da bloccare quanto il DNS normale — un operatore di rete deve solo bloccare una porta. Il DoH condivide deliberatamente la porta 443 con il normale traffico HTTPS, rendendo molto più difficile bloccarlo senza bloccare anche gran parte del web.

Il compromesso

Proprio questa caratteristica rende il DoH davvero controverso: può aggirare il filtraggio basato su DNS impostato a livello di rete — da un datore di lavoro, una scuola o un software di controllo parentale — poiché il traffico non assomiglia più al DNS per chi monitora la porta 53. È un compromesso reale, attivamente dibattuto, tra privacy individuale e applicazione delle policy di rete, non una nota tecnica risolta.

Controllare se il DoH è attivo

Testare direttamente l'endpoint DoH di un resolver conferma se risponde correttamente via HTTPS, indipendentemente dal fatto che il tuo browser o sistema sia effettivamente configurato per usarlo quotidianamente.