DNS over HTTPS (DoH)

DoH (RFC 8484) encapsula consultas DNS dentro de peticiones HTTPS dirigidas a un resolutor compatible, normalmente por el puerto 443. Como el tráfico parece tráfico web normal, es difícil bloquearlo de forma selectiva y queda cifrado de extremo a extremo entre cliente y resolutor. Esto impide que atacantes en ruta, portales cautivos o ISPs observen o alteren las resoluciones DNS. DoH no autentica los datos en sí (eso es trabajo de DNSSEC), pero preserva la confidencialidad de las consultas. Algunas empresas se resisten a DoH porque elude el filtrado DNS local; las contramedidas incluyen imponer un resolutor gestionado, bloquear puntos finales DoH conocidos o desplegar políticas mediante DDR.