DNS over HTTPS (DoH): co to jest i jak to sprawdzić

Co DoH faktycznie robi

DoH wysyła zapytania i odpowiedzi DNS wewnątrz HTTPS, tego samego protokołu używanego do zwykłego przeglądania stron, zamiast tradycyjnego, tekstowego UDP lub TCP na porcie 53. Dla obserwatora w sieci zapytanie DoH jest nie do odróżnienia od każdego innego żądania HTTPS do tego serwera.

Dlaczego ma to znaczenie

Niezaszyfrowane zapytanie DNS ujawnia każdą wyszukiwaną domenę każdemu na trasie — Twojemu dostawcy internetu, operatorowi publicznego Wi-Fi czy atakującemu na trasie — nawet jeśli sama strona jest potem ładowana przez HTTPS. DoH szyfruje samo zapytanie, zamykając tę konkretną lukę.

DoH kontra DNS over TLS (DoT)

DoT szyfruje DNS w ten sam sposób, ale na własnym, dedykowanym porcie 853. To sprawia, że da się go zablokować równie łatwo jak zwykły DNS — operator sieci musi zablokować tylko jeden port. DoH celowo współdzieli port 443 ze zwykłym ruchem HTTPS, więc zablokowanie go bez blokowania większości sieci jest dużo trudniejsze.

Kompromis

Ta sama cecha sprawia, że DoH jest naprawdę kontrowersyjny: może omijać filtrowanie oparte na DNS ustawione na poziomie sieci — przez pracodawcę, szkołę czy oprogramowanie kontroli rodzicielskiej — bo ruch nie wygląda już jak DNS dla niczego monitorującego port 53. To realny, aktywnie dyskutowany kompromis między prywatnością jednostki a egzekwowaniem polityki sieciowej, a nie rozstrzygnięty techniczny szczegół.

Jak sprawdzić, czy DoH jest aktywny

Bezpośrednie przetestowanie punktu końcowego DoH resolvera potwierdza, czy poprawnie odpowiada przez HTTPS, niezależnie od tego, czy Twoja przeglądarka lub system faktycznie są skonfigurowane, by używać go na co dzień.