Slå på säker DNS – men tro inte att hela surfningen blir privat

På datorn hittar du säker DNS i Chrome under Inställningar → Integritet och säkerhet → Säkerhet → Använd säker DNS. I Firefox öppnar du Inställningar → Sekretess och säkerhet → DNS over HTTPS och väljer skyddsnivå. Funktionen krypterar webbläsarens DNS-frågor på vägen till en resolver, men den gör inte hela besöket på en webbplats privat.

Det räcker därför inte att se ett påslaget reglage. Chrome kan gå över till okrypterad DNS när automatiskt läge får problem, och Firefox kan använda vanliga DNS-servrar beroende på vald skyddsnivå och nätverk. Välj först hur webbläsaren ska hantera ett avbrott; kontrollera sedan att säker DNS faktiskt är aktiv.

Så ställer du in Chrome

Googles anvisningar för Chrome på dator anger att Säker DNS normalt redan är aktiverat i automatiskt läge. Därför är valet av leverantör minst lika relevant som själva reglaget: i automatiskt läge kan en misslyckad säker uppslagning följas av en okrypterad.

1. Öppna menyn med tre punkter uppe till höger och välj Inställningar.
2. Välj Integritet och säkerhet till vänster och därefter Säkerhet.
3. Under Avancerat, slå på Använd säker DNS om det är avstängt.
4. Välj din nuvarande leverantör eller en anpassad leverantör i menyn.

Väljer du en annan leverantör använder Chrome inte okrypterat läge som standard. Om den leverantören inte svarar kan webbläsaren i stället visa ett fel om att serverns IP-adress inte gick att hitta. Den skillnaden är praktisk: automatiskt läge kan låta uppslagningen fortsätta utan kryptering, medan en uttryckligen vald leverantör kan göra ett DNS-fel synligt.

På en hanterad dator eller en enhet med föräldrakontroller kan funktionen vara otillgänglig. Om alternativet saknas är det alltså inte säkert att något är fel med installationen; enhetens regler kan styra DNS-valet.

Så väljer du nivå i Firefox

Mozillas beskrivning av skyddsnivåerna visar både inställningsvägen och vad som händer vid ett fel. Firefox kan visa olika nivåer för DNS over HTTPS, så kontrollera vilket läge som är valt i stället för att utgå från att funktionen alltid är aktiv.

1. Öppna Firefox-menyn och välj Inställningar.
2. Välj Sekretess och säkerhet och rulla ned till DNS over HTTPS.
3. Öppna Avancerade inställningar och välj skyddsnivå. Välj leverantör där alternativet finns.
4. Läs statusen i samma område efter ändringen.

Standardskydd använder säker DNS där det är tillgängligt, men går tillbaka till vanliga resolvrar vid problem. Det kan också avstå från DoH när exempelvis VPN, föräldrakontroller, organisationsregler eller signaler från nätet påverkar anslutningen. Utökat skydd använder den leverantör du väljer och kan växla till en reservlösning om den får problem.

Maximalt skydd håller fast vid säker DNS och visar en varning om den valda resolvern inte kan nås eller inte hittar adressen. Då kan du göra ett undantag för domänen och använda systemets DNS, men undantaget ändrar skyddet för just den uppslagningen. Den nivån passar den som vill märka när den krypterade vägen inte fungerar, även om ett fel då kan stoppa besöket tills du tar ställning.

Kontrollera att uppslagningen går rätt väg

I Firefox visar DNS over HTTPS-statusen om funktionen är aktiv, inaktiv eller avstängd. En inaktiv status kan bero på att leverantören inte svarar eller att nätets villkor stoppar funktionen. Kontrollera gärna igen efter byte mellan hemnät, arbetsnät och offentligt wifi; samma inställning kan ge olika utfall.

Om du vill göra ett enkelt externt test i båda webbläsarna kan du välja Cloudflare som DNS-leverantör och använda Cloudflares anvisning för webbläsare. Öppna därefter kontrollsidan som anges där i den webbläsare du testar och leta efter ”Using DNS over HTTPS (DoH): Yes”. Gör kontrollen separat i Chrome och Firefox om båda är installerade.

Resultatet gäller anslutningen till Cloudflares resolver vid det tillfället. Det säger inget om en annan vald leverantör och garanterar inte att varje senare fråga tar samma väg. Vill du behålla din tidigare leverantör ska du inte tolka ett uteblivet Cloudflare-resultat som bevis för att dess DoH inte fungerar; använd då webbläsarens status och leverantörens egen kontrollmetod.

Vad skyddas och vad kan fortfarande synas?

DNS-frågan ber om adressen till ett domännamn. Med DoH skickas fråga och svar genom en krypterad HTTPS-anslutning till den valda resolvern. Den som bara avlyssnar vägen mellan webbläsaren och resolvern kan då inte läsa eller enkelt ändra just de DNS-meddelandena.

• Skyddas: innehållet i de DNS-frågor och svar som faktiskt skickas med DoH. Skyddet gäller transporten till resolvern, inte all kommunikation som följer efter uppslagningen.
• Syns hos resolvern: den måste kunna läsa domännamnet för att besvara frågan. Den valda tjänsten får därmed insyn i de uppslagningar som skickas dit, och dess integritetspolicy spelar roll.
• Skyddas separat: webbplatsens sidinnehåll och inloggningar beror på anslutningen till webbplatsen, normalt HTTPS. Webbplatsen kan fortfarande se besöket och använda egna metoder för att känna igen en användare.
• Kan fortfarande synas i nätet: anslutningens destination och annan trafik än DNS påverkas inte av att DNS-frågan krypteras. DoH döljer därför inte i sig hela surfmönstret för nätoperatören.
• Omfattas inte automatiskt: DNS-frågor från andra appar eller operativsystemet. Ett val i webbläsaren är ingen enhetsomfattande DNS-inställning.

Varför leverantör och nätverk spelar roll

Valet av resolver avgör vem som får frågorna och kan påverka vilket svar webbläsaren får. Ett arbetsnät kan exempelvis ha interna domännamn som bara dess egen resolver känner till; en extern resolver kan då sakna rätt adress. Hemnät och skolnät kan dessutom använda DNS för filtrering. När webbläsaren går förbi nätets resolver kan den funktionen utebli.

Det är därför klokt att skilja på två problem när en webbplats inte öppnas efter ändringen. Om bara ett internt namn slutar fungera kan valet av extern resolver vara orsaken. Om många vanliga webbplatser slutar fungera i ett strikt skyddsläge kan den valda DoH-tjänsten vara otillgänglig från nätet. I båda fallen ger webbläsarens status och valet av skyddsnivå mer vägledning än ett reglage som bara visar vad du har begärt.

Läs också:

• GitHub eller GitLab: gratis CI-minuter säger inte hela kostnaden
• Ett lyckat agenttest räcker inte – mät utfallet och upprepningen
• Slack eller Teams: befintliga licenser kan avgöra hela kalkylen