Bezpieczny DNS szyfruje zapytania, ale tryb automatyczny może wrócić do zwykłego

W Chrome na komputerze otwórz Ustawienia → Prywatność i bezpieczeństwo → Bezpieczeństwo → Użyj bezpiecznego serwera DNS. Instrukcja Google dla Chrome wskazuje tę ścieżkę i wyjaśnia, że domyślny tryb automatyczny może ponowić nieudane wyszukiwanie strony bez szyfrowania. Jeśli chcesz uniknąć takiego domyślnego powrotu, wybierz dostawcę niestandardowego.

W Firefoksie otwórz Ustawienia → Prywatność i bezpieczeństwo → DNS poprzez HTTPS → Ustawienia zaawansowane. Opis ustawień Mozilli rozróżnia ochronę domyślną, która przy problemach wraca do resolvera systemowego, oraz maksymalną, która wyświetla ostrzeżenie, gdy bezpieczny resolver nie odpowiada. Samo wybranie poziomu ochrony nie mówi jeszcze, czy DoH jest aktywny na używanym połączeniu.

Co właściwie szyfruje DNS poprzez HTTPS

Przed połączeniem ze stroną przeglądarka zwykle musi ustalić adres IP przypisany do jej nazwy. DNS poprzez HTTPS, czyli DoH, przesyła zapytanie do resolvera w szyfrowanym połączeniu HTTPS. Zmienia to sposób wyszukiwania adresu przez przeglądarkę; ustawienie w Chrome lub Firefoksie nie konfiguruje automatycznie DNS dla wszystkich innych aplikacji na komputerze.

Różnica między poziomami ochrony staje się istotna, gdy resolver nie działa albo sieć wymaga własnego DNS. Automatyczny powrót do zwykłego resolvera może pozwolić otworzyć stronę, lecz zapytanie wykonane tą drogą nie korzysta z DoH. Tryb wymagający bezpiecznego resolvera może w takiej sytuacji przerwać otwieranie strony i pokazać błąd lub ostrzeżenie. Warto więc wybierać ustawienie według oczekiwanego zachowania przy awarii, a nie tylko według nazwy opcji.

Jak ustawić bezpieczny DNS w Chrome

1. Otwórz menu z trzema kropkami w prawym górnym rogu okna i wybierz Ustawienia.
2. Po lewej wybierz Prywatność i bezpieczeństwo, a następnie Bezpieczeństwo.
3. W sekcji Zaawansowane znajdź i włącz Użyj bezpiecznego serwera DNS.
4. Wybierz obecnego dostawcę usług albo dostawcę niestandardowego z menu.

Chrome domyślnie włącza bezpieczny DNS w trybie automatycznym. Gdy ma problem ze znalezieniem strony, może jednak spróbować wyszukiwania nieszyfrowanego. Dla osoby, która chce zachować dostęp do stron podczas kłopotów z resolverem, to wygodne zachowanie; dla osoby wymagającej szyfrowania każdego takiego zapytania jest to istotne ograniczenie.

Po wskazaniu dostawcy niestandardowego Chrome domyślnie nie korzysta z nieszyfrowanego trybu awaryjnego. Jeżeli wybrany resolver będzie niedostępny, przeglądarka może zamiast strony wyświetlić błąd wyszukiwania adresu. Google wskazuje też ograniczenie dostępności samej funkcji: w Chrome nie można jej używać na urządzeniu zarządzanym ani przy włączonej kontroli rodzicielskiej. Zmiana dostawcy w menu nie usuwa tego ograniczenia.

Jak wybrać poziom ochrony w Firefoksie

1. Otwórz menu Firefoksa i wybierz Ustawienia.
2. Przejdź do Prywatność i bezpieczeństwo, po czym przewiń do sekcji DNS poprzez HTTPS.
3. Kliknij Ustawienia zaawansowane i wybierz poziom ochrony. Przy poziomie wymagającym wyboru dostawcy wskaż go w dostępnych ustawieniach.
4. Sprawdź status DoH widoczny w tej sekcji: Aktywne, Nieaktywne albo Wyłączone.

Ochrona domyślna włącza DoH automatycznie w dostępnych regionach po aktywowaniu tej funkcji. Pozwala też korzystać z odpowiedniego lokalnego dostawcy, gdy jest dostępny. Przy problemach wraca do domyślnych resolverów systemowych, a w określonych warunkach sieciowych wyłącza DoH. Nie należy zatem wyciągać wniosku o bieżącym szyfrowaniu wyłącznie z zaznaczenia opcji „Domyślna ochrona”.

Zwiększona ochrona stale korzysta z DoH u wybranego dostawcy, ale przy problemie z nim może przełączyć się na opcję zapasową. Opis tego poziomu nie określa jej jako bezwarunkowo szyfrowanej. Maksymalna ochrona wymaga bezpiecznego DNS i pokazuje ostrzeżenie, gdy nie może połączyć się z resolverem lub resolver nie znajduje adresu domeny. Ochrona własna pozwala wybrać dostawcę i włączyć opcję ostrzegania o niedostępności bezpiecznego DNS.

Awaria, kontrola rodzicielska i urządzenie zarządzane

Te same ustawienia mogą zachować się inaczej zależnie od przyczyny problemu. Najważniejsze różnice wyglądają następująco:

• Awaria resolvera: Chrome w trybie automatycznym może ponowić wyszukiwanie bez szyfrowania; po wyborze dostawcy niestandardowego domyślnie tego nie robi. Firefox z ochroną domyślną wraca do resolvera systemowego. Ochrona zwiększona i własna przewidują opcję zapasową, natomiast maksymalna pokazuje ostrzeżenie.
• Kontrola rodzicielska: w Chrome funkcja bezpiecznego DNS jest wtedy niedostępna. Firefox przy ochronie domyślnej wyłącza DoH po wykryciu aktywnej kontroli. Ręczne wybranie innego poziomu może zmienić działanie filtrowania opartego na DNS sieci, więc na urządzeniu dziecka trzeba uwzględnić sposób działania tej kontroli.
• Urządzenie zarządzane: Chrome nie udostępnia na nim swojej funkcji bezpiecznego DNS. W Firefoksie aktywne zasady firmowe należą do warunków, które wyłączają DoH przy ochronie domyślnej. W takim środowisku wybrana nazwa poziomu nie zastępuje sprawdzenia statusu funkcji.

Ostrzeżenie przy maksymalnej ochronie Firefoksa daje jeszcze świadomy wybór: można dodać wyjątek dla konkretnej domeny i użyć dla niej resolvera systemowego. To decyzja dotycząca wskazanej strony. Przy ochronie własnej podobna możliwość pojawia się po włączeniu ostrzegania o niedostępności bezpiecznego DNS.

Jak sprawdzić działanie DoH

W Firefoksie zacznij od statusu w sekcji DNS poprzez HTTPS. „Aktywne” oznacza, że przeglądarka wykonuje bezpieczne zapytania; „Nieaktywne” może wynikać z błędu połączenia z dostawcą albo warunków sieciowych, takich jak VPN, kontrola rodzicielska czy zasady firmowe. „Wyłączone” oznacza wyłączenie funkcji. Status jest bardziej użyteczny niż samo zaznaczenie poziomu ochrony.

Możesz też wykonać próbę z dostawcą Cloudflare: wybierz go w ustawieniach DoH, a następnie w tej samej przeglądarce otwórz 1.1.1.1/help. Instrukcja Cloudflare zaleca sprawdzenie pola „Using DNS over HTTPS (DoH)”; wynik „Yes” wskazuje użycie DoH podczas tej próby. Jeśli korzystasz z innego dostawcy, wynik strony Cloudflare nie jest miarodajnym testem jego konfiguracji.

Pozytywny wynik pokazuje stan w chwili sprawdzenia, a nie zachowanie przeglądarki przy późniejszej awarii resolvera. Dlatego w Chrome trzeba równocześnie wiedzieć, czy wybrano tryb automatyczny, czy dostawcę niestandardowego. W Firefoksie o skutku awarii przesądza poziom ochrony: domyślny dopuszcza powrót do systemowego DNS, a maksymalny wymaga reakcji na ostrzeżenie.

Przeczytaj także:

• Kanał RSS Spotify ujawnia e-mail i nie rozsyła podcastu automatycznie
• DMARC ustawiaj etapami — natychmiastowe „reject” może blokować dobrą pocztę
• Jak testować agenta AI: odpowiedź może być dobra, a zadanie niewykonane