DNS over HTTPS (DoH) versleutelt DNS-query's door deze door HTTPS te tunnelen, waardoor netwerkoperators, internetproviders en afluisteraars niet kunnen zien welke domeinen je aanvraagt.
Bij traditionele DNS reizen query's als plaintext UDP-pakketten. Iedereen op je netwerkpad—je internetprovider, WiFi-router of netwerkbeheerder—kan elk domein zien dat je bezoekt. DoH verpakt DNS-query's in versleuteld HTTPS-verkeer, hetzelfde protocol dat websites beveiligt. Je resolver-eindpunt ziet er uit als een normale HTTPS-verbinding, waardoor DNS-lookups niet te onderscheiden zijn van webbrowsen.
DoH-clients (ingebouwd in moderne browsers zoals Firefox, Chrome en Edge) sturen DNS-query's automatisch door naar een DoH-resolver—meestal de resolver van je internetprovider, een openbare zoals 1.1.1.1, of een privacygerichte alternatief. De query is van begin tot eind versleuteld totdat deze de resolver bereikt.
Hoe het werkt:
- Browser stuurt versleutelde DNS-query via HTTPS naar een DoH-resolver
- Resolver ontsleutelt en voert standaard DNS-lookup uit
- Antwoord wordt versleuteld en via HTTPS geretourneerd
- Browser ontsleutelt en gebruikt het antwoord
Voorbeeld: In plaats van een plaintext UDP-aanvraag voor example.com wordt de query POST-ed naar https://resolver.example.com/dns-query met de DNS-aanvraag base64-gecodeerd.
DoH complemeert maar verschilt van DNSSEC, dat de authenticiteit van DNS-antwoorden valideert, niet de privacy. Het werkt ook onafhankelijk van TLS Handshake, hoewel beide HTTPS-infrastructuur gebruiken.
TipDoH kan DNS voor netwerkbeheerders verbergen, maar niet voor je DoH-resolverprovider of je internetprovider (zij zien HTTPS-verkeer naar de resolver). Voor maximale privacy gebruik je een resolver waarvan je vertrouwt.