DNS over HTTPS

（缩写：）是一种经由HTTPS协议进行的远程域名系统（DNS）解析协议。该方法旨在防止网络中间人对DNS数据进行的窃听和操纵，利用HTTPS协议加密DoH客户端和DoH服务器（递归解析器）之间的数据，以提高用户的隐私和安全性。DNS的查询和响应会隐于其他HTTPS流量中。

在2018年3月，Google和Mozilla基金會就开始测试基于HTTPS的DNS版本。 – Google provides two endpoints: one for its 2018 JSON API, one for an RFC 8484 API.2018年9月5日，Mozilla基金会发布的Firefox 62正式版加入了这项功能，但需要用户手动开启。2020年2月，Firefox为美国用户默认切换到DNS over HTTPS。2020年5月，Chrome的默认解析切至DNS over HTTPS。

特性
DNS over HTTPS利用HTTP協議的GET命令发出經由JSON等編碼的DNS解析請求。較於傳統的DNS協議，此處的HTTP協議通訊處於具有加密作用的SSL/TLS協議（兩者統稱作HTTPS）的保護之下。但是，由於HTTPS本身需要經由多次數據來回傳遞才能完成協議初始化，其域名解析耗時較原DNS協議會顯著增加。

DoH作为一个提议阶段的标准，由IETF以（2018年10月）发布。其使用HTTPS，并支持“有线格式”（）DNS响应数据，如现有的UDP响应中所返回的数据一样，在具有MIME类型application/dns-message的HTTPS有效负载中。承载其的HTTP层可以是任何版本的HTTP协议，但HTTP/2是“推荐”的最低版本。若使用HTTP/2，服务器还可以使用HTTP/2服务器推送来预先发送其预计可为其客户端所用的值。

尽管IETF已将作为提议的标准发布，并且各大公司正在对其进行实验，DoH还是一项进行中的工作。

傳統的DNS協議形成於互聯網早期，直接基於UDP或TCP協議，且彼時未慮及現代安全性的需要，未利用密碼學等手段進行加密或驗證。因而，其無法抵禦現代互聯網常見的DNS投毒污染等攻擊手段或監聽。雖然後來的DNSSEC方案通過電子簽名進行驗證，強化了DNS的安全性，並能夠抵禦DNS投毒污染等篡改通訊的手段，但其對於中間網絡設備進行的監聽仍然沒有抵禦能力（隨後，監聽者可以通過獲取的通訊數據知曉用戶訪問了哪一域名，而域名往往與具體的網站相關聯）。此外，DNSSEC的起效要求現有的大量DNS解析服務的提供商（常爲互聯網服務供應商或第三方大型互聯網機構）對已有的DNS服務器進行大範圍修改等問題，其推進進程並不理想。而對於DNS over HTTPS，在正確部署服務端並妥善配置客戶端的前提下，互聯網服務供應商或其它中間網路設備無法解密（亦即無法獲知請求的實際內容）或者篡改已經加密的HTTPS通訊，故其能夠有效保護互聯網使用者的安全及隱私；另一方面，其基於已經成熟並已廣泛部署的HTTPS協議，客戶端進行利用較爲方便。

 实施方案 
DNS over HTTPS用于DNS解析器的递归DNS解析。解析器（DoH客户端）必须能够访问托管查询端点的DoH服务器。基于HTTPS的DNS缺乏操作系统的本机支持。因此，希望使用它的用户必须安装附加软件。三种使用场景很常见：

在应用程序中使用DoH实现：某些浏览器具有内置的DoH实现，因此可以绕过操作系统的DNS功能来执行查询。缺点是应用程序可能无法通过错误配置或缺乏对DoH的支持来通知用户是否跳过DoH查询。
在本地网络中的名称服务器上安装DoH代理：在此方案中，客户端系统继续使用传统（端口53或853）DNS来查询本地网络中的名称服务器，然后通过到达来通过DoH收集必要的回复 互联网中的DoH服务器。 此方法对最终用户是透明的。
在本地系统上安装DoH代理：在此方案中，操作系统配置为查询本地运行的DoH代理。与前面提到的方法相反，需要在希望使用DoH的每个系统上安装代理，这可能需要在更大的环境中付出很多努力。

支持
公共DNS

DNS over HTTPS功能已由部分公共DNS支持，包括但不限：
AdGuard
阿里云公共 DNS
Cloudflare
DNSPod Public DNS
Google Public DNS
OpenDNS
QUAD9 DNS
台灣網路資訊中心（Quad 101）
软件
Edge、Firefox、Chrome浏览器均支持DoH。

 操作系统 

 苹果 
2020年6月，蘋果在WWDC大會宣布iOS 14與macOS 11新增對加密DNS的支援，包括DNS over HTTPS（DoH）與DNS over TLS（DoT）。

 微软Windows 
2019年11月17日，一篇在微软官方博客释出的博文宣布，Windows将支持DNS over HTTPS（DoH)，以加密DNS流量保护用户隐私。

Windows 11支持DoH。

 Android 
Android 11及更高版本支持DNS over HTTP/3（DoH3），拥有快速稳健的响应。

 参考资料 

Category:域名
Category:网际协议
Category:应用层协议
Category:Web安全漏洞