DNS over HTTPS: apa itu dan bagaimana cara melindungi permintaan Anda

Panduan Alpha » Computing » DNS over HTTPS: apa itu dan bagaimana cara melindungi permintaan Anda

Saat Anda mengetikkan alamat web, ada komponen yang bekerja di balik layar untuk memastikan Anda mencapai situs yang benar: Sistem Nama Domain (DNS). DNS menerjemahkan nama yang mudah diingat menjadi alamat IP yang dapat dipahami komputer. Memang nyaman, tetapi selama bertahun-tahun sistem ini beroperasi dengan kerentanan yang signifikan: permintaan ini dikirim tanpa enkripsi. Inilah mengapa DNS over HTTPS, juga dikenal sebagai DoH, menjadi sangat penting—lapisan perlindungan tambahan yang mempersulit penyedia layanan internet Anda untuk melacak domain mana yang Anda kunjungi.

Penting untuk mengklarifikasi satu hal sejak awal: DoH meningkatkan privasi permintaan DNS, tetapi bukan VPN, dan juga tidak mengubah seluruh koneksi Anda menjadi terowongan rahasia . Sepanjang artikel ini, kita akan membahas secara detail apa itu DoH, mengapa menjadi populer, cara mengaktifkannya di Chrome, Edge, dan Firefox, kelebihan dan kekurangannya, perbedaannya dengan DNS over TLS dan VPN, serta sejauh mana keterbatasan teknis dan praktisnya.

Apa itu DNS dan mengapa sistem tradisional tidak memadai?

Server DNS adalah salah satu komponen yang hampir tidak pernah diperhatikan siapa pun, namun komponen ini mendukung sebagian besar aktivitas penjelajahan online. Tugasnya adalah menghubungkan nama domain dengan alamat IP dari server yang bersangkutan . Saat Anda mengunjungi situs web, komputer Anda tidak memahami huruf: komputer membutuhkan alamat IP untuk mengetahui mesin mana yang harus dihubungkan. Banyak router dilengkapi dengan server DNS yang sudah dikonfigurasi oleh penyedia layanan internet, yang membuat prosesnya mudah, meskipun juga meninggalkan jejak yang terlihat bagi siapa pun yang mengontrol infrastruktur tersebut.

Masalah mendasar adalah bahwa permintaan DNS tradisional dilakukan dalam teks biasa dan tanpa perlindungan . Hal ini membuka pintu bagi penyadapan, serangan man-in-the-middle, dan manipulasi respons. Penyedia layanan internet dapat mengetahui domain mana yang Anda minta dan kapan; penyerang di jaringan bersama dapat mencoba mencegat permintaan dan mengembalikan respons palsu. Teknik ini dikenal sebagai pembajakan DNS dan pada akhirnya dapat mengarahkan Anda ke halaman palsu, iklan yang tidak diinginkan, atau situs yang dirancang untuk mencuri data. Pemerintah dan penyedia layanan internet juga secara historis telah mengeksploitasi kelemahan ini untuk menerapkan sensor, memblokir domain, atau menampilkan iklan tambahan.

• Mendengarkan secara pasif: Seseorang mengamati pertanyaan-pertanyaan tersebut dan menyimpulkan layanan atau situs web mana yang sering Anda kunjungi.
• Man-in-the-middle: Komunikasi tersebut dicegat dan responsnya dimodifikasi untuk menyamar sebagai server.
• Pemblokiran dan penyaringan: Hal ini mencegah resolusi domain tertentu untuk mengontrol akses ke konten.

DNS over HTTPS: Mengenkripsi permintaan agar tidak terlihat oleh semua orang.

DNS over HTTPS, atau DoH, adalah solusi yang memanfaatkan protokol HTTPS untuk mengirimkan permintaan dan respons DNS dalam bentuk terenkripsi . Alih-alih mengirimkan permintaan DNS biasa, perangkat membungkusnya dalam koneksi yang aman, biasanya menggunakan port 443, port yang sama yang digunakan oleh situs web yang aman. Ini melindungi baik permintaan maupun respons, mencegah pengamat eksternal untuk membacanya dengan mudah.

Agar ini berfungsi, server DNS yang dikueri juga harus mendukung DNS berbasis domain (DoH ). Mengaktifkan opsi di browser saja tidak cukup: resolver yang dipilih harus mematuhi standar ini. Spesifikasi ini terus berkembang dan masih dianggap sebagai teknologi yang sedang dikembangkan, meskipun sejak 2018 perusahaan seperti Google dan Mozilla Foundation telah menguji dan mengintegrasikannya. Selain peningkatan privasi, pengujian menunjukkan bahwa DoH dapat mengurangi latensi dan mempercepat kueri, karena tidak selalu perlu untuk menyelesaikan seluruh domain, tetapi hanya bagian minimum yang dibutuhkan.

Keunggulan DoH: privasi lebih tinggi, manipulasi lebih sedikit, dan kinerja lebih baik.

Keuntungan yang paling jelas adalah keamanan. Karena dikirim dalam bentuk terenkripsi, permintaan DNS jauh lebih sulit untuk dimata-matai atau dimodifikasi . Hal ini mempersulit serangan man-in-the-middle, mengurangi risiko pada jaringan Wi-Fi publik, dan mencegah operator lokal untuk melihat dengan jelas domain mana yang Anda minta. Karena lalu lintas DoH menggunakan port 443, ia menyatu dengan koneksi HTTPS lainnya dan sulit dibedakan dari kunjungan web biasa.

Ada juga alasan terkait performa. DoH dapat mengurangi latensi dan mempercepat komunikasi DNS berkat perubahan cara nama diselesaikan dan penggunaan cache yang lebih baik. Misalnya, metode GET dari beberapa API dirancang untuk di-cache secara lebih efisien. Dalam praktiknya, ini dapat menghasilkan penjelajahan yang sedikit lebih cepat, meskipun bukan solusi ajaib dan peningkatannya tidak selalu terlihat. Selain itu, karena diimplementasikan di browser, pengguna tidak perlu menunggu penyedia layanan internet mereka untuk mengaktifkannya.

Kelemahan dan perdebatan: ketika enkripsi mempersulit kehidupan

Tidak semua orang memandang enkripsi berbasis domain (DoH) secara positif. Enkripsi yang sama yang melindungi pengguna juga membuat pemantauan jaringan menjadi lebih sulit . Banyak program kontrol orang tua bergantung pada pemeriksaan kueri DNS untuk menentukan situs web mana yang coba diakses anak-anak; dengan DoH, tugas ini menjadi jauh lebih rumit dan bahkan mungkin tidak mungkin dilakukan. Situasi serupa terjadi pada administrator jaringan perusahaan, yang kehilangan visibilitas ke domain yang dikueri dan tidak dapat menerapkan aturan tertentu dengan mudah.

Penyedia layanan internet juga kehilangan kemampuan untuk memantau akses dan memblokir domain tertentu atas permintaan suatu institusi. Hal ini menimbulkan perdebatan yang sah: sebagian melihatnya sebagai kemenangan bagi privasi, sementara yang lain menganggapnya sebagai masalah kontrol dan manajemen . Dalam kasus DoT, mereka juga dikritik karena menggunakan port mereka sendiri yang mudah dikenali, yang memungkinkan identifikasi permintaan DNS bahkan tanpa mengetahui secara pasti apa yang diminta. DoH menghindari sinyal yang jelas ini dengan menyamarkan diri dalam lalu lintas HTTPS, tetapi sebagai gantinya, administrator jaringan memiliki lebih sedikit alat untuk mengelola komunikasi mereka.

Cara mengaktifkan DoH di Chrome, Edge, dan Firefox

Mengaktifkan Sistem Nama Domain (DNS) di browser modern biasanya mudah, terutama jika berbasis Chromium atau Firefox. Opsi ini ada, meskipun dalam beberapa kasus tersembunyi di menu pengaturan lanjutan . Sebelum mengubah apa pun, penting untuk memahami bahwa browser hanya melindungi permintaannya sendiri: aplikasi lain di perangkat mungkin terus menggunakan sistem DNS yang berbeda jika tidak dikonfigurasi juga di tingkat sistem.

Google Chrome

Di Chrome, cara cepatnya adalah dengan mengetik chrome://flags/#dns-over-https di bilah alamat. Itu akan membawa Anda langsung ke Flags Chrome atau fitur eksperimental.Anda akan melihat opsi bernama Pencarian DNS Aman terpilih; klik menu tarik-turun yang bertuliskan Default dan pilih Diaktifkan. Kemudian Anda perlu memulai ulang browser Anda agar perubahan tersebut berlaku.

Microsoft Edge

Pada Edge berbasis Chromium, prosesnya hampir identik. Buka browser Anda dan ketik edge://flags/#dns-over-https di bilah pencarianAnda akan masuk ke Pengaturan Edge dan opsi Pencarian DNS Aman yang sama akan muncul. Ubah Default menjadi Diaktifkan dan mulai ulang browser saat diminta.

Mozilla Firefox

Di Firefox, Anda tidak perlu membuka Flags. Klik tombol menu di pojok kanan atas dan pilih Opsi . Di bagian Umum, gulir ke bawah dan klik Pengaturan Jaringan. Di jendela yang terbuka, centang kotak di samping Aktifkan DNS melalui HTTPS. Anda kemudian dapat memilih dari penyedia seperti Cloudflare dan NextDNS untuk melakukan enkripsi melalui HTTPS.

DNS over TLS (DoT): jalur terenkripsi lainnya

DNS over TLS, atau DoT, adalah cara lain untuk melindungi permintaan DNS. Alih-alih menggunakan HTTPS, ia menggunakan TLS melalui koneksi TCP dan port standar, 853. TLS memiliki fondasi keamanan yang sama dengan HTTPS, sehingga idenya serupa: membuat terowongan terenkripsi di mana hanya dua peserta yang dapat mendekripsi dan memproses informasi. Hal ini mempersulit serangan man-in-the-middle dan mencegah pihak ketiga membaca atau memanipulasi permintaan.

DotT memiliki keunggulan, terutama dibandingkan dengan DNS tradisional yang tidak menawarkan langkah-langkah keamanan. Enkripsi mencegah penjahat siber mencegat permintaan dan juga menghambat tindakan sensor tertentu . Namun, hal ini membutuhkan kompatibilitas dari klien dan server. Beberapa penyedia menawarkan server yang kompatibel, tetapi menggunakannya di desktop atau laptop biasanya memerlukan instalasi perangkat lunak tambahan; pada Android modern, setidaknya sejak Android 9, fitur ini sudah terintegrasi. Solusi untuk Windows dan Linux juga tersedia, meskipun tidak selalu setransparan yang diharapkan.

Di antara kekurangannya, banyak pakar perlindungan data mengkritik DoT karena menggunakan satu port yang mudah dikenali. Meskipun tidak mungkin untuk mengetahui situs web mana yang diakses, dimungkinkan untuk mendeteksi lalu lintas DNS . Bagi sebagian administrator jaringan, ini berguna karena memungkinkan mereka untuk mempertahankan gambaran umum tentang apa yang terjadi; bagi yang lain, ini adalah sinyal yang lebih baik mereka sembunyikan. Lebih lanjut, DoT belum tersebar luas seperti DNS tradisional, dan adopsinya di sisi server masih terbatas. Ada kekhawatiran bahwa beberapa perusahaan akan semakin memusatkan permintaan DNS, berpotensi menciptakan semacam monopoli internasional.

DoH vs. DoT: Dua cara untuk melindungi hal yang sama

Perbedaan utama antara DoH dan DoT terletak pada port dan bagaimana lalu lintas disamarkan. DoT menggunakan portnya sendiri, 853, sedangkan DoH menggunakan 443 dan berbaur dengan koneksi HTTPS normal . Perbedaan yang tampaknya kecil ini telah memicu perdebatan yang cukup besar. Dari perspektif privasi, ketidakmampuan untuk membedakan permintaan DNS dari lalu lintas lain merupakan keuntungan: jika tidak dikenali, permintaan tersebut tidak dapat dimanipulasi dengan mudah. ​​Namun, dari perspektif manajemen jaringan, kendali hilang, dan menjadi lebih sulit untuk menerapkan kebijakan keamanan atau pemfilteran.

Pada intinya, ada dua visi. IETF, konsorsium yang mengembangkan banyak standar internet, mendukung DoT , sementara Google dan Mozilla Foundation sangat mempromosikan DoH. Ini bukanlah teknologi yang saling bertentangan, tetapi mewakili cara yang berbeda dalam memahami privasi, visibilitas jaringan, dan peran perantara. Pilihan antara satu dan yang lain bergantung pada apa yang perlu dilindungi dan siapa yang perlu mengelola jaringan.

DoH vs. VPN: Melindungi pertanyaan, bukan seluruh perjalanan.

DoH dan VPN sering muncul dalam percakapan yang sama tentang privasi, tetapi keduanya tidak melakukan hal yang sama. DoH melindungi permintaan nama; VPN melindungi jalur yang dilalui data Anda . Cara paling sederhana untuk memahaminya adalah dengan membayangkan DoH menempatkan pertanyaan sensitif dalam amplop tertutup, sementara VPN membuat seluruh perjalanan melalui terowongan pribadi sebelum kembali ke jalan umum. Keduanya dapat meningkatkan privasi, tetapi hanya satu yang dirancang untuk secara komprehensif melindungi lalu lintas ponsel, tablet, dan komputer.

Apa yang dilakukan DNS sebelum sebuah situs dimuat?

Sebelum browser Anda dapat memuat situs web, perangkat Anda perlu mengetahui lokasinya. DNS bekerja seperti buku telepon, menerjemahkan nama situs web menjadi alamat IP . Ini terjadi terus-menerus: saat Anda membuka halaman, meluncurkan aplikasi, memperbarui email, atau memutar video. Sebagian besar waktu, hal ini terjadi secara diam-diam, dan Anda tidak menyadarinya, yang bagus untuk kenyamanan, tetapi juga membuatnya mudah diabaikan sebagai masalah privasi. Permintaan DNS tradisional tidak dienkripsi, sehingga penyedia layanan internet Anda, majikan Anda, sekolah Anda, Wi-Fi kedai kopi, atau jaringan hotel dapat melihat domain mana yang coba dijangkau perangkat Anda. Mereka tidak melihat konten lengkap halaman HTTPS, tetapi mereka mendapatkan gambaran yang cukup jelas tentang aktivitas Anda.

Permintaan DNS tidak mengungkapkan setiap halaman yang Anda lihat atau semua yang Anda ketikkan ke dalam formulir, tetapi daftar domain dapat mengungkap kebiasaan, minat, alat kerja, penelitian kesehatan, atau layanan keuangan . Itulah mengapa DNS terenkripsi menjadi fitur privasi yang berguna. Fitur ini tidak mengungkapkan semuanya, tetapi mengungkapkan lebih banyak daripada yang disadari banyak orang.

Apa yang disembunyikan oleh DoH dan apa yang diungkapkannya?

DoH mengirimkan permintaan DNS melalui HTTPS, protokol terenkripsi yang sama yang digunakan oleh situs web yang aman. Permintaan tersebut meninggalkan perangkat Anda dalam keadaan terenkripsi dan sampai ke resolver yang mendukung standar tersebut . Pada Wi-Fi publik, hal ini dapat mempersulit operator jaringan untuk secara tidak sengaja membaca permintaan Anda. Jika penyedia internet Anda mengelola DNS, beralih ke resolver DoH dapat mencegah mereka melihat permintaan ini dengan cara biasa. Selain itu, jika suatu jaringan memanipulasi hasil resolusi nama, DNS terenkripsi dapat mengurangi beberapa bentuk manipulasi.

Sekarang, DoH menyembunyikan permintaan, bukan seluruh percakapan. Ini mungkin mencegah beberapa pengamat untuk melihat pencarian domain dengan jelas, tetapi tidak mengubah seluruh koneksi internet Anda menjadi terowongan terenkripsi . Setelah perangkat mengetahui alamat IP, sisa koneksi mengikuti jalur normalnya, kecuali jika alat privasi lain mengubah rute tersebut. DoH tidak menyembunyikan alamat IP asli Anda dari situs web, aplikasi, atau layanan yang Anda hubungkan, dan juga tidak membuat Anda tampak berada di kota atau negara yang berbeda. Jika Anda masuk ke akun, layanan tersebut tahu bahwa itu adalah Anda. Jika browser memiliki cookie, sesi tersimpan, pengenal iklan, atau sidik jari yang dapat dikenali, DoH tidak menghapus sinyal tersebut.

Selain itu, DoH juga tidak melindungi setiap aplikasi kecuali jika dikonfigurasi pada tingkat sistem dan aplikasi tersebut menghormati pengaturan tersebut. Satu browser mungkin menggunakan DNS yang aman sementara aplikasi lain pada perangkat yang sama menggunakan jalur DNS yang berbeda . Beberapa aplikasi mengelola jaringannya sendiri dan tidak selalu selaras dengan pengaturan sistem atau browser. Oleh karena itu, DoH dapat menciptakan rasa aman yang palsu: ia meningkatkan privasi permintaan DNS, tetapi tidak melindungi transfer file, lalu lintas pesan, panggilan video, koneksi game, sinkronisasi latar belakang, atau aplikasi streaming seperti halnya VPN.

Apa yang dilindungi oleh VPN dan apa yang tidak dapat disembunyikannya?

VPN melindungi bagian perjalanan Anda yang berbeda. VPN menciptakan terowongan terenkripsi antara perangkat Anda dan server VPN, mengarahkan lalu lintas internet Anda melalui server tersebut . Penyedia layanan internet atau jaringan Wi-Fi lokal Anda melihat koneksi terenkripsi ke server VPN, bukan tampilan jelas dari setiap situs dan layanan yang Anda hubungkan. Selain itu, VPN mengubah alamat IP publik yang dilihat situs web dan aplikasi: alih-alih alamat IP rumah atau operator seluler Anda, tujuan melihat alamat IP server VPN. Ini dapat mengurangi pelacakan berbasis lokasi, membantu Anda melewati beberapa profil ISP, dan membuat penggunaan Wi-Fi publik lebih aman.

VPN yang komprehensif dapat melindungi browser, aplikasi streaming, klien email, alat pencadangan cloud, aplikasi perpesanan, game, dan layanan latar belakang. VPN juga dapat mengarahkan permintaan DNS melalui terowongan terenkripsi jika dikonfigurasi dengan benar , itulah sebabnya ada baiknya untuk menjalankan uji kebocoran DNS. Meskipun demikian, VPN bukanlah sihir. Jika Anda masuk ke jejaring sosial, akun email, layanan streaming, atau toko online, layanan tersebut tetap mengetahui siapa Anda. VPN dapat menyembunyikan alamat IP asli Anda, tetapi tidak menganonimkan informasi login Anda. Hal yang sama berlaku untuk apa pun yang Anda kirim secara langsung: nama Anda, alamat email, detail pembayaran, alamat pengiriman, foto, atau pesan.

Cookie dan sidik jari peramban masih penting. Aplikasi dapat menimbulkan masalah serupa melalui pengidentifikasi iklan, izin, akses lokasi, pemindaian Bluetooth, nama Wi-Fi terdekat, dan alat pemindaian. Malware adalah rintangan berat lainnya karena dapat menangkap data bahkan sebelum mencapai terowongan VPN . Singkatnya, VPN menyembunyikan dan mengenkripsi banyak aktivitas, tetapi tidak menyamarkan setiap jejak digital.

DoH dan VPN dapat digunakan secara bersamaan.

Ya, keduanya dapat digabungkan, tetapi pengaturan ideal bergantung pada bagaimana perangkat, peramban, dan aplikasi VPN menangani DNS. Dalam banyak kasus, solusi paling sederhana adalah membiarkan VPN menangani DNS . Aplikasi yang baik seharusnya mengirimkan permintaan DNS melalui terowongan terenkripsi sehingga ISP Anda tidak menerimanya secara langsung. Dengan cara ini, Anda mendapatkan privasi DNS sebagai bagian dari koneksi VPN tanpa harus menyesuaikan pengaturan peramban Anda secara terpisah.

Masalah muncul ketika browser menggunakan konfigurasi Domain Authority (DoH) sendiri sementara VPN mencoba mengelola DNS di tingkat sistem. Mungkin tidak ada yang rusak, tetapi kebingungan memang terjadi : Anda mungkin berpikir semua permintaan melewati VPN, tetapi kenyataannya, browser mengirimkan beberapa permintaan sendiri ke resolver yang berbeda. Di sinilah uji kebocoran DNS berguna. Jika, setelah terhubung ke VPN, Anda melihat server DNS ISP Anda, ada sesuatu yang tidak berfungsi seperti yang diharapkan; jika Anda melihat server yang terkait dengan VPN, konfigurasi kemungkinan besar berfungsi dengan benar.

Kapan DoH (Depository of Health) sudah cukup dan kapan VPN (VPN) disarankan?

DoH (Device of Health) dapat mencukupi jika perhatian utama Anda adalah privasi dasar dari permintaan DNS di browser Anda. Pada jaringan rumah yang tepercaya, mengaktifkan Secure DNS mengurangi paparan teks biasa tanpa mengharuskan Anda mengubah lokasi atau mengamankan semua aplikasi Anda . Ini juga berguna pada jaringan di mana pemfilteran atau manipulasi DNS menjadi perhatian, karena pengiriman melalui HTTPS membuatnya lebih sulit untuk diperiksa atau dimodifikasi dengan mudah. ​​Ini tidak berarti bahwa ia melewati semua pembatasan atau kebal terhadap sensor, tetapi ini merupakan peningkatan yang signifikan dibandingkan dengan DNS yang tidak terenkripsi. Selain itu, DoH ringan: Anda tidak perlu memilih server VPN atau mengubah perutean Anda secara signifikan, dan Anda biasanya tidak akan melihat dampak yang signifikan pada kecepatan.

VPN paling masuk akal jika Anda menginginkan perlindungan di seluruh perangkat, bukan hanya pencarian DNS. Ini termasuk bandara, hotel, sekolah, ruang kerja bersama, kafe, dan akomodasi sewa . Di jaringan bersama, Anda tidak tahu siapa yang mengontrol router, siapa lagi yang terhubung, atau apakah seseorang mencoba mencegat lalu lintas. VPN juga membantu ketika Anda tidak ingin ISP Anda membuat profil pola penelusuran Anda: meskipun HTTPS melindungi konten halaman, metadata jaringan masih dapat mengungkapkan pola yang berguna. Bepergian adalah contoh lain yang jelas: VPN dapat membuat koneksi Anda lebih konsisten, melindungi Anda di jaringan yang tidak dikenal, dan membuat situs web melihat lokasi server VPN alih-alih koneksi lokal sementara Anda.

Detail teknis API DoH DNS Publik Google

Google Public DNS menawarkan dua API DoH yang berbeda. Satu dirancang untuk RFC 8484 dan menerima permintaan GET dan POST di https://dns.google/dns-query; yang lainnya adalah API JSON yang hanya mendukung permintaan GET di https://dns.google/resolve . Terdapat juga antarmuka web di https://dns.google/ yang menampilkan hasil JSON di browser, tetapi tidak mengimplementasikan API lengkap. Antarmuka ini tidak boleh disamakan dengan URL API atau dengan https://dns.google/query. Layanan ini tidak mendukung URL HTTP yang tidak aman, dan DoH juga didukung oleh layanan DNS64 publik Google, meskipun dalam hal ini, hanya IPv6 yang didukung. Dokumentasi transportasi aman Google mencakup contoh curl dan detail tentang TLS, DoT, dan DoH.

Metode HTTP yang tersedia

Metode GET dapat mengurangi latensi karena melakukan caching lebih efektif. Permintaan GET RFC 8484 harus menyertakan parameter `?dns=` dengan pesan DNS yang dienkode Base64Url , dan ini adalah satu-satunya metode yang didukung oleh JSON API. Metode POST juga hanya tersedia di RFC 8484 dan menggunakan pesan DNS biner dengan `application/dns-message` di badan permintaan dan respons. Metode HEAD saat ini tidak didukung dan mengembalikan kesalahan 400 Bad Request. Metode lain mengembalikan kesalahan 501 Not Implemented.

Kode status dan kesalahan

API mengembalikan beberapa kode HTTP yang perlu diketahui. Kode 200 OK menunjukkan bahwa penguraian HTTP dan komunikasi dengan resolver DNS berhasil ; isi respons dapat berupa respons DNS biner atau JSON tergantung pada endpoint, header Accept, dan parameter GET. Catatan: kesalahan HTTP juga dapat berupa kegagalan DNS, jadi disarankan untuk memeriksa kode respons DNS, misalnya, bidang "Status" pada JSON, untuk kesalahan seperti SERVFAIL, FORMERR, REFUSED, atau NOTIMP.

• 301 Dipindahkan Secara Permanen: Klien harus mencoba kembali permintaan di URL yang ditentukan dalam Lokasi. Jika permintaan asli adalah POST, klien hanya boleh mencoba kembali dengan GET jika URL baru menentukan parameter DNS; jika tidak, klien harus mengulanginya dengan POST. Kode status 302, 307, dan 308 juga dapat muncul, dan klien DoH harus menangani keempatnya. Kode status permanen 301 dan 308 dapat di-cache tanpa batas waktu. Permintaan POST yang menerima kode status 307 atau 308 harus selalu dicoba kembali dengan POST.
• 400 Bad Request: Masalah dalam mengurai parameter GET atau pesan permintaan DNS yang tidak valid. Sebagian besar pesan DNS yang tidak valid menerima kode 200 OK dengan FORMERR, tetapi kesalahan HTTP terjadi untuk pesan yang tidak dapat dibaca tanpa bagian Pertanyaan, dengan kode QR yang menunjukkan respons, atau dengan kombinasi kode yang tidak masuk akal.
• 413 Muatan Terlalu Besar: Isi dari permintaan POST RFC 8484 melebihi ukuran pesan maksimum yaitu 512 byte.
• 414 URI Terlalu Panjang: Header kueri GET terlalu besar atau parameter DNS melebihi 512 byte.
• 415 Jenis Media yang Tidak Didukung: Isi permintaan POST tidak memiliki header tipe konten application/dns-message.
• 429 Terlalu Banyak Permintaan: Terlalu banyak permintaan telah dikirim dalam periode waktu tertentu. Klien harus menunggu hingga waktu yang ditentukan dalam header Retry-After.
• 500 Internal Server Error: Kesalahan internal dalam layanan DoH.
• 501 Tidak Diimplementasikan: Hanya metode GET dan POST yang diimplementasikan; metode lainnya mengembalikan kesalahan ini.
• Gerbang Buruk 502: Layanan DoH tidak dapat berkomunikasi dengan resolver DNS Publik Google. Mencoba alamat yang berbeda mungkin berhasil, tetapi rencana cadangan yang lebih efektif adalah mencoba layanan DoH lain atau beralih ke DNS tradisional menggunakan UDP atau TCP di 8.8.8.8.

Praktik terbaik untuk privasi dan kinerja

Pengembang aplikasi DoH sebaiknya membatasi header HTTP. Header seperti Cookie, User-Agent, dan Accept-Language dapat mengungkapkan informasi tentang implementasi klien dan berkontribusi pada deanonimisasi . Disarankan untuk hanya mengirimkan header yang diperlukan untuk DoH: Host, Content-Type (untuk permintaan POST), dan, jika diperlukan, Accept. Header User-Agent harus disertakan dalam versi pengembangan atau pengujian. Disarankan juga untuk menggunakan opsi padding EDNS untuk mempersingkat kueri ke panjang umum dan mempersulit analisis lalu lintas. Padding HTTP/2 dimungkinkan, tetapi tidak seperti padding EDNS, padding ini tidak menghasilkan padding dalam respons server DoH.

Metode POST dalam RFC 8484 sebaiknya hanya digunakan dalam aplikasi atau mode browser yang sensitif terhadap privasi. Penggunaan POST mengurangi kapasitas cache dan dapat meningkatkan latensi, sehingga umumnya tidak disarankan . Namun, mengurangi ukuran cache mungkin disarankan untuk aplikasi yang ingin mencegah serangan sinkronisasi aplikasi web yang bertujuan untuk mengetahui domain mana yang baru-baru ini dikunjungi pengguna. Pendekatan HTTPS juga memiliki keunggulan praktis: API HTTPS tersedia dan didukung secara luas, menyederhanakan implementasi; layanan HTTPS memberi aplikasi web akses ke semua jenis catatan DNS, menghindari keterbatasan API browser atau sistem operasi yang biasanya terbatas pada pencarian host-ke-alamat; dan klien yang mengimplementasikan HTTPS melalui UDP dengan QUIC dapat menghindari masalah seperti pemblokiran baris-kepala yang terjadi dengan TCP. Jika Anda menemukan bug atau ingin meminta fitur baru, Anda harus melaporkan masalah terkait DoH melalui saluran yang biasa.

Pertanyaan umum tentang DoH dan VPN

Salah satu pertanyaan yang paling sering diajukan adalah apakah masuk akal menggunakan DoH (DNS of Handling) ketika sudah menggunakan VPN. Hal itu mungkin saja, tetapi pendekatan yang paling praktis biasanya adalah membiarkan VPN menangani DNS dan memverifikasi dengan uji kebocoran bahwa permintaan tersebut melewati saluran yang benar. Jika browser mengirimkan permintaannya sendiri ke satu arah dan VPN ke arah lain, Anda mungkin akan mendapatkan kejutan yang tidak menyenangkan.

Pertanyaan umum lainnya adalah apakah DoH mencegah penyedia internet Anda melihat situs web mana yang Anda kunjungi. DoH menyembunyikan permintaan DNS dari banyak pengamat, tetapi tidak menghapus semua metadata atau menyembunyikan alamat IP Anda : ISP Anda masih dapat melihat alamat IP mana yang Anda hubungkan dan informasi jaringan lainnya. Untuk perlindungan yang lebih luas, Anda memerlukan VPN atau kombinasi beberapa lapisan privasi.

Ada baiknya juga mempertanyakan apakah DomainHost (DoH) sudah cukup di Wi-Fi publik. DoH dapat membantu mencegah operator jaringan membaca kueri DNS Anda dengan mudah, tetapi tidak melindungi seluruh koneksi atau lalu lintas semua aplikasi . Di bandara, hotel, dan kafe, menggunakan VPN biasanya lebih komprehensif, terutama jika Anda tidak tahu siapa yang mengontrol router atau jika ada orang lain yang terhubung.

Sistem Nama Domain (DoH) dan VPN bukanlah saingan langsung, melainkan alat dengan kemampuan yang berbeda. DoH mengenkripsi pencarian domain dan mengurangi paparan bagian proses tersebut; VPN mengenkripsi jalur antara perangkat Anda dan server serta mengubah alamat IP yang dilihat oleh tujuan . Keduanya tidak membuat Anda tidak terlihat: akun, cookie, sidik jari browser, izin aplikasi, malware, dan data apa pun yang Anda bagikan secara langsung masih dapat mengidentifikasi Anda. Tetapi itu tidak membuat keduanya tidak berguna. Itu hanya berarti masing-masing memiliki perannya sendiri. DoH melindungi pencarian alamat; VPN melindungi lebih banyak jalur yang dilalui data Anda.