DNS sobre HTTPS (DoH)

DNS sobre HTTPS (DoH) envolve suas consultas DNS dentro de uma conexão HTTPS comum, de modo que qualquer pessoa entre você e o resolvedor — seu provedor de internet, um operador de rede, um espião em Wi-Fi público — não possa ler ou modificar essas consultas. O DNS tradicional é enviado em texto claro, expondo cada domínio que você pesquisa; o DoH fecha essa lacuna. Como usa a mesma porta e formato que o tráfego web normal, também é difícil de identificar e bloquear. Seu irmão DNS sobre TLS alcança a mesma criptografia, mas em uma porta dedicada.

DoH protege a confidencialidade e integridade das consultas, o que é uma verdadeira vitória para a privacidade, mas não é o mesmo que roteamento de DNS através de um túnel. Se você usar uma VPN, enviar DNS através do túnel é o que previne uma vazamento de DNS; DoH complementa isso ao criptografar as consultas em si, útil especialmente quando você não está em uma VPN. Note que o resolvedor DoH ainda vê suas consultas, então escolher um confiável é importante. Combine DNS criptografado com roteamento de túnel para defesa em profundidade, em vez de tratar qualquer um como uma solução completa por si só.

Escolha um resolvedor em quem você confia, já que ele ainda vê suas consultas, e lembre-se de que o DoH protege a consulta, não seu IP. Em uma VPN, a principal defesa contra um vazamento de DNS é rotear o DNS através do túnel; adicione o DoH para confidencialidade e combine-o com SNI criptografado para remover o sinal do nome do host na negociação. Trate o DNS criptografado como uma camada em uma pilha, em vez de uma solução de privacidade independente.