DNS over HTTPS (DoH) – protokół sieciowy pozwalający przesyłać zapytania i odpowiedzi systemu nazw domen wewnątrz szyfrowanego połączenia HTTPS. Dzięki temu nazwy domen odpytywanych przez użytkownika nie są widoczne dla podmiotów pośredniczących w transmisji, takich jak dostawcy usług internetowych czy operatorzy sieci lokalnych i nie mogą zostać przez nich podmienione. Protokół opisano w dokumencie RFC 8484, opublikowanym w październiku 2018 roku przez IETF^[1].

DoH obsługują m.in. przeglądarki Firefox i Google Chrome oraz systemy Windows 11, macOS, iOS i Android^[2].

Zwykłe zapytanie DNS wysyłane jest jawnym tekstem, protokołem UDP na port 53, więc może je odczytać każdy, kto obserwuje ruch po drodze. W DoH ten sam komunikat trafia do wnętrza żądania HTTPS, kierowanego pod ustalony adres serwera – na przykład https://example.com/dns-query. Odpowiedź wraca tą samą, zaszyfrowaną drogą.

Zapytanie można przesłać na dwa sposoby: metodą GET, umieszczając zakodowany komunikat w parametrze dns adresu, albo metodą POST, w treści żądania. W obu przypadkach przenoszony jest kompletny, niezmieniony komunikat DNS, oznaczony typem application/dns-message. DoH zmienia zatem wyłącznie sposób transportu, a nie zasady działania samego DNS^[1].

Serwery DoH nasłuchują zwykle na porcie 443, czyli tym samym, z którego korzysta przeglądanie stron internetowych. Z tego powodu ruch DoH jest trudny do odróżnienia od zwykłego ruchu WWW, a przez to trudny do zablokowania.

• Domain Name System
• DNSSEC