DNS-over-HTTPS в браузере: зачем нужен и как включить
Когда браузер открывает сайт, ему сначала нужно узнать IP-адрес сервера по доменному имени. Для этого используется DNS — распределённая система, похожая на телефонную книгу интернета. Традиционный DNS-запрос обычно отправляется без шифрования, поэтому интернет-провайдер, владелец публичной сети или другой посредник может увидеть, какие домены запрашивает устройство.
DNS-over-HTTPS, или DoH, передаёт такие запросы через защищённое HTTPS-соединение. В результате они выглядят для наблюдателя как обычный веб-трафик. Это помогает скрыть историю DNS-запросов от локальной сети и уменьшает риск подмены ответа, когда пользователя пытаются направить на неправильный сервер.
Технология не превращает браузер в полностью анонимный инструмент и не заменяет VPN. Сайт всё равно видит IP-адрес посетителя, а сам браузер и операционная система могут передавать диагностические сведения другими каналами. DoH решает более узкую задачу: защищает процесс сопоставления домена с IP-адресом.
Включить зашифрованный DNS можно в современных версиях Firefox, Chrome, Microsoft Edge и некоторых других браузеров. Настройка занимает несколько минут, однако перед её применением полезно разобраться в различиях между поставщиками, режимами работы и возможными конфликтами с корпоративной или домашней сетью.
Как работает защищённый DNS-запрос
При обычном подключении браузер обращается к DNS-серверу провайдера или роутера. Запросы могут использовать протокол UDP или TCP через порт 53, а содержимое не шифруется. Даже если сам сайт работает по HTTPS, факт обращения к его домену в классической схеме может оставаться заметным для владельца сети.
DoH отправляет DNS-запрос на специальный сервер внутри HTTPS-соединения, обычно через порт 443. Данные шифруются так же, как при посещении интернет-магазина или почтового сервиса. Провайдер видит соединение с сервером DNS-поставщика, но не получает простой список доменов из DNS-пакетов.
Есть и другой защищённый вариант — DNS-over-TLS, или DoT. Он также шифрует обращения к DNS, но использует отдельный протокол TLS и обычно порт 853. Для браузера DoH удобнее, поскольку его трафик проще совместить с обычными HTTPS-соединениями. При этом обе технологии защищают канал до DNS-резолвера, а не весь интернет-трафик пользователя.
Что именно меняется после включения
Главный результат — локальный наблюдатель не сможет так же легко прочитать DNS-запросы. Это особенно полезно в кафе, гостинице, аэропорту, учебном заведении или другой сети, где администратор контролирует маршрутизатор. Защищённый резолвер также может блокировать известные вредоносные домены, если такая функция предусмотрена его политикой.
DoH не скрывает посещение сайта от самого сайта. После установления соединения веб-сервер получает IP-адрес, а страницы могут использовать cookies, JavaScript, учётные записи и рекламные идентификаторы. Историю браузера, загрузки и другие локальные следы новая настройка тоже не удаляет.
Поставщик DoH видит запросы, которые обрабатывает. Поэтому выбор сервера — это вопрос доверия к организации, её политике хранения журналов и юрисдикции. Иногда разумно использовать сервер, рекомендованный работодателем, университетом или администратором домашней сети. В других случаях можно выбрать независимого провайдера с понятными правилами конфиденциальности.
Зашифрованный DNS не исправляет уязвимости операционной системы и не блокирует вредоносные файлы. Он также не влияет на качество сканирования, работу драйверов или оптические настройки: например, ошибки оборудования нужно разбирать отдельно в материалах про автофокус Coolscan.
Варианты для разных браузеров
Названия пунктов могут немного отличаться в зависимости от версии программы и операционной системы. Обычно требуется открыть раздел конфиденциальности или безопасности, найти настройку защищённого DNS и выбрать автоматический режим либо конкретного поставщика.
| Браузер | Где искать настройку | Доступные варианты |
|---|---|---|
| Firefox | Настройки → Приватность и защита → DNS через HTTPS | Обычная защита, повышенная защита, собственный провайдер |
| Chrome | Настройки → Конфиденциальность и безопасность → Безопасность | Использовать безопасный DNS, автоматический или выбранный сервис |
| Microsoft Edge | Настройки → Конфиденциальность, поиск и службы → Безопасность | Безопасный DNS с автоматическим или пользовательским поставщиком |
| Opera | Настройки → Дополнительно → Безопасность и конфиденциальность | Вариант зависит от версии браузера и встроенных служб |
| Мобильные браузеры | Настройки приложения или системы Android | Поддержка зависит от конкретного браузера и версии ОС |
Firefox обычно предоставляет больше ручного контроля. В его настройках можно включить стандартную защиту, выбрать повышенный уровень или указать пользовательский адрес DoH-сервера. Повышенная защита может блокировать запросы, если браузер не может связаться с выбранным резолвером, поэтому в нестабильной сети иногда удобнее автоматический режим.
В Chrome и Edge настройка чаще называется «Использовать безопасный DNS». В автоматическом режиме браузер пытается сохранить системного DNS-поставщика, если тот поддерживает защищённые запросы. При ручном выборе можно указать сервис из списка или ввести собственный адрес, но доступность некоторых вариантов зависит от политики браузера и региона.
На телефонах настройка может находиться не в самом браузере, а в параметрах Android: «Сеть и интернет» → «Частный DNS». Там используется преимущественно DNS-over-TLS, а не DoH. В iOS защищённый DNS часто подключается через профиль конфигурации или специализированное приложение, поэтому универсальный путь для всех устройств отсутствует.
Как включить DoH и проверить результат
Перед изменением параметров желательно записать текущие настройки или запомнить, какой DNS использует система. Это позволит быстро вернуться к исходному режиму, если перестанут открываться внутренние сайты, корпоративные ресурсы или страницы авторизации в публичной сети.
В Firefox откройте меню, перейдите в настройки приватности и найдите пункт DNS через HTTPS. Включите защищённый режим, выберите автоматическую или повышенную защиту и сохраните изменения. В Chrome откройте настройки безопасности, активируйте безопасный DNS и укажите автоматического либо конкретного поставщика. В Edge путь похож: нужный переключатель находится среди параметров конфиденциальности и служб.
После включения полностью закройте вкладки с проблемными сайтами и перезапустите браузер. Затем проверьте несколько обычных страниц, сайт с авторизацией и, если это важно, локальные ресурсы роутера или рабочей сети. Иногда результат можно проверить на странице диагностики выбранного DNS-провайдера, однако не стоит устанавливать неизвестные расширения только ради такого теста.
Нужно учитывать, что браузерная настройка действует прежде всего внутри конкретного браузера. Другие приложения Windows могут продолжать использовать системный DNS. Если требуется единая защита для всех программ, параметры следует менять на уровне операционной системы, роутера или отдельного сетевого сервиса. В Windows также полезно разобраться, какие системные сведения передаются в сеть и как управлять ими; отдельный материал о сборе данных Windows поможет рассмотреть эту тему шире.
Ограничения, сбои и вопросы приватности
Самая распространённая проблема — конфликт с фильтрацией DNS. Родительский контроль, корпоративные правила, блокировка вредоносных адресов и локальные домены могут перестать работать, если браузер обходит DNS-сервер роутера. В рабочей сети это способно привести к ошибке доступа к внутреннему порталу или файловому серверу.
Иногда DoH замедляет первое подключение, если выбранный резолвер находится далеко или перегружен. Возможны и временные сбои при недоступности сервиса. В таком случае стоит проверить другой сервер, переключиться на автоматический режим или временно отключить защищённый DNS для диагностики. Само по себе отключение не повреждает браузер и не меняет файлы пользователя.
Отдельное внимание нужно уделить политике журналирования. Бесплатный сервис может финансироваться рекламой, собирать техническую статистику или ограничивать запросы. Перед выбором провайдера изучите его документацию: срок хранения логов, использование IP-адресов, поддержку DNSSEC и наличие фильтрации. Не следует считать любой сервер автоматически приватным только потому, что он поддерживает HTTPS.
Для дополнительной защиты используйте HTTPS, обновляйте браузер и операционную систему, не вводите пароли на подозрительных страницах и проверяйте разрешения расширений. Если цель — скрыть весь сетевой маршрут, понадобится VPN или другая технология туннелирования, а DoH можно рассматривать как отдельный слой защиты DNS.
Проверьте настройку в основном браузере, выберите доверенный резолвер и протестируйте сайты, которыми пользуетесь ежедневно. Такая небольшая корректировка снижает риск перехвата DNS-запросов и помогает лучше контролировать сетевую приватность без установки лишних программ.
