短.beDNS over HTTPS (DoH) とは、従来平文で送受信されていた DNS クエリを HTTPS プロトコルで暗号化して通信するプロトコル (RFC 8484) です。RFC 8484 (2018 年 10 月) は、開発時に検討した主な用途として、経路上の機器が DNS の処理に干渉するのを防ぐことと、Web アプリケーションが既存のブラウザーの API から DNS の情報を得られるようにすることの 2 つを挙げています。
従来の DNS (ポート 53、UDP/TCP) では、ユーザーがどのドメインにアクセスしようとしているかがネットワーク上で平文で観測可能でした。これにより、ISP によるアクセス履歴の収集、公衆 Wi-Fi での DNS スプーフィング、国家レベルの検閲が技術的に容易でした。
短縮 URL サービスとの関連では、DoH を使うと、端末と DoH リゾルバの間で DNS の応答を書き換えて短縮 URL サービスのドメインを偽サーバーに向ける攻撃がしにくくなります。
ブラウザーでは、Firefox が 2020 年 2 月に米国の利用者向けに DoH を既定で有効にする展開を始め、その既定の送り先は Cloudflare でした。Chrome は 2020 年 5 月の Chrome 83 から、使っている DNS プロバイダーが DoH に対応していれば DoH に自動で切り替える機能 (セキュア DNS) の展開を始めました (いずれも Mozilla と Chromium の発表)。
課題として、(1) 企業ネットワークでの DNS ベースのセキュリティフィルタリング (マルウェアドメインのブロック) が迂回される、(2) DoH リゾルバ (Cloudflare、Google) への集中によるプライバシーの新たな懸念、(3) ネットワーク診断の困難化、があります。