Что меняет DoH

Обычный DNS часто передает запросы без транспортного шифрования. DoH помещает их в HTTPS, поэтому посторонний участник локальной сети не должен видеть содержимое защищенного обмена при корректной TLS-проверке. Сам резолвер запрос видит и отвечает на него.

Клиент обращается к выбранному DoH-сервису по HTTPS endpoint. Операционная система, браузер или приложение могут выбирать разные резолверы и политику переключения. Из-за этого настройки DoH в браузере не всегда совпадают с DNS-настройками ОС или корпоративной сети.

DoH не заменяет DNSSEC

TLS защищает канал до resolver, но не подтверждает происхождение каждой DNS-записи из зоны. DNSSEC валидирует подписанные данные через цепочку доверия; DoH и DNSSEC решают разные задачи и могут применяться одновременно.

Шифрование также не означает анонимность: оператор выбранного резолвера может видеть домены запросов и хранить журналы по собственной политике. Выбирайте сервис, которому готовы доверить DNS-историю, и проверьте правила организации, если устройство управляется работодателем.

Resolver остается виден.

Защищенный участок заканчивается на выбранном DoH-resolver; дальнейший запрос к DNS-иерархии зависит от реализации сервиса и его upstream. Поэтому шифрование канала между браузером и resolver не скрывает всю операцию от всех участников DNS.

Выбор важен. Корпоративные DNS-политики и фильтры могут работать иначе, если браузер использует отдельный DoH-resolver.

В DoH запрос и ответ представляются сообщением application/dns-message, передаваемым в HTTP exchange. Конкретный клиент может использовать GET или POST согласно RFC 8484 и своей реализации.

URI endpoint и способ выбора resolver задает клиентская программа или операционная система. Если устройство переключилось на другой сервис, DNS-запросы уйдут к другой организации; проверьте настройки браузера и системы отдельно.

Как проверить конфигурацию

Уточните, кто управляет настройкой, какой endpoint используется и что происходит при недоступности DoH. Сравните разрешение имени с ожидаемой зоной и проверьте сертификат HTTPS; не отключайте DNSSEC-проверку ради исправления чужой ошибки.

Смотрите DNSSEC, DNS и TLS. Использован RFC 8484, проверенный 8 октября 2026 года; трафик и резолверы не проверялись.