DNS over HTTPS w przeglądarce: kiedy pomaga i czego nie ukrywa
Nie masz pewności, co dokładnie się zepsuło?
Opisz objawy serwisantowi — podpowiemy, od czego zacząć diagnostykę i czy warto oddać sprzęt do naprawy.
Gdy otwierasz domenę, przeglądarka musi najpierw poznać jej adres IP. Tradycyjnie zapytanie DNS często trafia do serwera DNS bez szyfrowania. DNS over HTTPS, czyli DoH, wysyła takie zapytania przez szyfrowane połączenie HTTPS do kompatybilnego resolvera. Utrudnia to odczytanie lub podmianę samego zapytania DNS osobie obserwującej drogę w sieci.
DoH nie jest jednak VPN-em i nie ukrywa Twojego adresu IP przed odwiedzanymi stronami. Nie szyfruje automatycznie całego ruchu. Zmienia sposób rozwiązywania nazw domen. Dostawca DoH otrzymuje zapytania DNS, więc kwestia zaufania nie znika — częściowo przenosi się z lokalnej sieci lub dotychczasowego resolvera na wybranego operatora. Przed włączeniem warto znać zarówno korzyści, jak i ograniczenia tej funkcji.
Którą część połączenia szyfruje DoH
DNS można porównać do książki adresowej: przeglądarka pyta, pod jakim adresem sieciowym znajduje się domena. Bez DoH zapytanie może być widoczne dla uczestników trasy między urządzeniem a resolverem. DoH przesyła jego treść wewnątrz połączenia HTTPS, dlatego trudniej ją przechwycić lub zmienić na tym odcinku.
Nie oznacza to, że połączenie ze stroną staje się niewidzialne. Po otrzymaniu odpowiedzi DNS urządzenie nadal łączy się z serwerem witryny. Strona widzi adres IP, z którego pochodzi połączenie, a obserwatorzy sieci mogą widzieć metadane, czas i wielkość ruchu. HTTPS osobno chroni treść strony podczas transmisji, ale DoH nie zastępuje HTTPS i nie usuwa cookies, historii przeglądarki, identyfikatorów reklamowych ani informacji z konta.
Zmienia się przede wszystkim odbiorca zapytania. Zwykła konfiguracja może wysyłać DNS do operatora internetu, routera, firmowego serwera lub lokalnego filtra. Przy DoH może nim zostać resolver wbudowany w przeglądarkę albo wybrany przez użytkownika. Sam resolver może znać wyszukiwane domeny, a konkretne zasady retencji i przetwarzania zależą od jego polityki. Wybieraj dostawcę świadomie, a nie tylko dlatego, że jest pierwszą pozycją na liście.
Kiedy Secure DNS jest przydatny
DoH może być użyteczny w sieciach, nad którymi nie masz kontroli, gdy chcesz szyfrować zapytania kierowane do resolvera. Może utrudnić innemu użytkownikowi tej samej publicznej sieci Wi-Fi odczytanie zapytań DNS lub ich podmianę w drodze. Funkcja przydaje się też osobom, które chcą korzystać z resolvera o określonych zasadach filtrowania lub prywatności.
Ochrona ma granice. DoH sam nie zatrzyma phishingu, nie sprawi, że niebezpieczny plik będzie bezpieczny, nie ukryje ruchu przed właścicielem strony i nie zablokuje trackerów działających innymi metodami. Nadal sprawdzaj adres witryny, korzystaj z HTTPS, aktualizuj przeglądarkę i włącz uwierzytelnianie wieloskładnikowe. Warto również kontrolować uprawnienia rozszerzeń i nie instalować dodatków z nieznanych źródeł.
Czego DoH nie ukrywa
- Adresu IP przed odwiedzaną stroną.Serwer otrzymuje informacje sieciowe potrzebne do wysłania odpowiedzi.
- Całego ruchu i jego metadanych.DoH szyfruje zapytanie DNS do resolvera, a nie każdy pakiet wszystkich aplikacji. HTTPS osobno chroni treść sesji internetowej, lecz nie wszystkie metadane.
- Danych przeglądarki i kont.Historia, cookies, zapisane logowania i synchronizacja to inne funkcje, niezależne od DoH.
- Tożsamości przed dostawcą DoH.Resolver obsługuje zapytania i może widzieć je wraz z adresem sieciowym, z którego zostały wysłane, chyba że zastosowano odrębny mechanizm rozdzielenia tych informacji.
- Każdego śladu odwiedzin witryny.DNS jest tylko jednym z możliwych sygnałów. Adresy IP, metadane TLS, aplikacje i sama strona mogą ujawniać inne informacje.
Nie traktuj więc etykiety „Secure DNS” jako trybu pełnej anonimowości. Jeśli chcesz ukryć adres sieciowy przed odwiedzanym serwisem, DoH tego nie zapewni. Jeśli Twoim celem jest ochrona zapytań DNS na lokalnym odcinku sieci, to właśnie zadanie tej funkcji.
Jak włączyć lub sprawdzić DoH w przeglądarce
W Chrome otwórz Ustawienia → Prywatność i bezpieczeństwo → Bezpieczeństwo → Używaj bezpiecznego DNS. W trybie automatycznym Chrome może wrócić do zwykłego DNS, jeżeli ma problem z wyszukaniem adresu. Wybór konkretnego dostawcy może zmienić to zachowanie. Na urządzeniu zarządzanym lub z aktywną kontrolą rodzicielską funkcja może być niedostępna albo podlegać politykom.
W Edge przejdź do Ustawienia → Prywatność, wyszukiwanie i usługi → Zabezpieczenia → Użyj bezpiecznego DNS, a następnie wybierz sposób wyszukiwania adresu sieciowego. Nazwy opcji mogą zmieniać się między wydaniami; użyj wyszukiwarki ustawień i wpisz „Secure DNS” lub „bezpieczny DNS”.
W Firefoxie otwórz Ustawienia → Prywatność i bezpieczeństwo → DNS przez HTTPS. Dostępne poziomy ochrony mogą się różnić. Tryb domyślny może uwzględniać sygnały sieciowe i wracać do systemowego DNS, a tryby zwiększone lub maksymalne ostrzej reagują na niedostępność resolvera. W sieci firmowej nie wymuszaj DoH bez zgody administratora.
Po zmianie sprawdź kilka stron oraz zasoby wewnętrzne, jeśli z nich korzystasz. Nie traktuj jednej niezweryfikowanej strony testowej jako jedynego dowodu działania: ustawienia przeglądarki i sieci mogą współpracować w bardziej złożony sposób niż pojedynczy wskaźnik.
Dlaczego DoH może utrudnić dostęp do witryn
Firmy, szkoły, filtry rodzicielskie i niektóre routery używają zwykłego DNS do blokowania złośliwych domen, ograniczania kategorii stron lub rozwiązywania adresów wewnętrznych. DoH w przeglądarce może ominąć lokalny resolver. W efekcie filtr przestanie działać, strona firmowa nie zostanie odnaleziona albo pojawi się błąd. Firefox w wybranych warunkach może automatycznie wyłączyć DoH po otrzymaniu sygnałów sieciowych; na urządzeniu zarządzanym Chrome może nie pozwolić na zmianę.
Problemy może powodować również sam dostawca DoH, jego odpowiedź DNS albo brak dostępu do jego serwera. Jeśli po włączeniu część stron przestaje się otwierać, wróć do ustawienia domyślnego lub tymczasowo wyłącz funkcję i porównaj rezultat. Nie zmieniaj równocześnie ustawień routera, systemowego DNS i przeglądarki, bo trudniej będzie wskazać przyczynę.
DoH, VPN i tryb prywatny to różne narzędzia
VPN tworzy tunel dla ruchu sieciowego do serwera VPN; zaufanie przenosi się wtedy na dostawcę VPN, a nie znika. Okno prywatne przede wszystkim ogranicza lokalne zachowywanie historii po jego zamknięciu, ale nie ukrywa adresu IP przed stronami. DoH szyfruje zapytania DNS między przeglądarką a resolverem, nie zmieniając trasy pozostałego ruchu internetowego.
Wybierz narzędzie zgodnie z celem i nie traktuj ich jako zamienników. O innym aspekcie prywatności przeczytasz w materiale o losowym adresie MAC Wi-Fi i jego ograniczeniach. Jeśli Secure DNS jest aktywny, ale konkretna strona się nie otwiera, sprawdź tryb i zgodność z siecią zamiast instalować nieznane „programy ochronne”.
Pamiętaj też, że DoH nie usuwa danych już odwiedzanych witryn. Cookies i pamięć lokalna pozostają w profilu niezależnie od tego, jakiego resolvera używa przeglądarka. Jeśli chcesz skasować dane pojedynczej strony, skorzystaj z poradnika jak wyczyścić pamięć podręczną jednej witryny, zamiast zmieniać DNS.
Podsumowanie
DoH jest przydatny, gdy chcesz szyfrować zapytania DNS w drodze do resolvera. Nie ukrywa adresu IP przed witryną, nie kasuje historii i nie zastępuje VPN ani HTTPS. Wybierz zaufanego dostawcę DNS i uwzględnij filtry sieciowe, kontrolę rodzicielską oraz polityki organizacji. Jeśli po konfiguracji zniknie dostęp do zasobów wewnętrznych, przywróć zarządzany tryb i skontaktuj się z administratorem sieci.
