DNS-over-HTTPS는 HTTPS를 통해 DNS 메시지를 전달합니다. 선택한 DoH 엔드포인트와의 전송 관계를 보호하지만 해당 엔드포인트를 메일 수신자가 사용하는 확인자로 만들지는 않습니다. 브라우저의 현재 응답과 수신자의 인증 조회는 확인자 경로, 캐시 및 정책이 다르기 때문에 합법적으로 다를 수 있습니다.
DNS 신뢰와 전송 구별
참고자료: RFC 8484 §8.1, RFC 4033 §3.
RFC 8484 DNS 와이어 형식을 사용하여 애플리케이션/DNS 메시지 교환을 정의합니다. HTTPS 성공 상태 자체가 포함된 DNS 응답에 요청된 레코드가 포함되어 있음을 의미하지는 않습니다. DNS 응답 코드, 플래그, 레코드 세트는 물론 HTTP 상태도 읽어보세요.
DoH 서비스에 대한 TLS 신뢰 모델에 따라 HTTPS 엔드포인트를 인증합니다. 이는 대체품이 아닙니다. DNSSEC 신뢰할 수 있는 DNS 데이터의 검증. DoH 서비스는 다른 정책을 검증, 필터링 또는 적용할 수 있습니다. HTTPS 체계에서 추론하는 대신 문서화된 동작을 설정합니다.
두 개의 캐싱 계층을 고려합니다.
참고자료: RFC 8484 §5.1, RFC 8484 §6.
DoH에는 DNS 캐시 외에 HTTP 캐시도 포함될 수 있습니다. RFC 8484 DNS 데이터를 기준으로 HTTP 신선도를 제한하고 클라이언트가 남은 DNS 수명을 계산할 때 HTTP 연령 값을 고려하도록 요구합니다. 이러한 레이어를 무시하는 진단은 마치 동시에 새로운 조회인 것처럼 다양한 연령대의 응답을 비교할 수 있습니다.
공급자의 JSON DNS API는 자동으로 RFC 8484 유선 형식 인터페이스가 아닙니다. 엔드포인트, 요청 방법, 미디어 유형, DNS 질문 및 응답 헤더를 기록합니다. 실제 DNS 메시지를 웹페이지 상태 레이블로 대체하지 마십시오.
캡처된 응답 비교 재현
참고자료: RFC 8484 §4.2.1, RFC 8484 §5.1.
동일한 소유자 및 TXT 유형에 대한 두 개의 유효한 DNS 응답 설명을 사용하여 오프라인 설비를 구성합니다. DoH 고정 장치에는 DNS TTL 300, HTTP Age 120 및 호환 가능한 HTTP 신선도 메타데이터가 포함된 정책 P가 포함되어 있습니다. 단순화된 지연 없음 모델에서는 DNS TTL이 180초 이상 남지 않습니다. 변경 후 얻은 리시버-리졸버 고정 장치에는 정책 Q가 포함되어 있습니다.
예상 분석에 따르면 관찰 결과는 리졸버와 수명이 서로 다르지만 두 전송 중 하나가 본질적으로 잘못된 것은 아닙니다. HTTP 200을 사용하지만 내장된 DNS SERVFAIL 사용하는 두 번째 픽스처를 추가합니다. 예상되는 분류는 성공적인 정책 검색이 아니라 DNS 실패입니다. 원래 동반 모델은 이러한 분류만 확인합니다. 아래에 보관된 과거 격리된 HTTPS 교환은 와이어 디코딩을 별도로 테스트했습니다.
실시간 재생을 위해서는 RFC 8484 지원 클라이언트를 사용하고 해당 버전을 기록하고 인증된 엔드포인트의 원시 DNS 및 HTTP 메타데이터를 저장하세요. 동일한 소유자 및 유형을 액세스 가능한 메일 확인자 및 각 기관과 비교합니다. 프로덕션 DoH 및 수신기 경로 테스트는 아직 보류 중입니다. 아래의 격리된 HTTPS 실험은 별개입니다.
개인 정보 보호 주장을 제한하세요
참고자료: RFC 8484 §8.2.
DoH 운영자는 쿼리를 수신하고 관련 클라이언트 연결 정보를 관찰할 수 있습니다. HTTPS는 해당 운영자의 쿼리를 숨기거나 모든 후속 DNS 교환이 암호화되도록 보장하지 않습니다. 승인된 목적 및 데이터 공유 범위 없이 중요한 내부 이름을 외부 확인자로 이동하지 마십시오.
DoH 결과를 하나의 관찰로 사용합니다. 이름, 유형, 권한 상태, 캐시 기간, 유효성 검사 및 정책을 기준으로 차이점을 진단합니다. 클레임에 필요한 메시지 및 수신자 증거를 사용하여 인증 조사를 완료합니다. 녹색 브라우저 측 DNS 결과는 메일 배달을 보장하지 않습니다.
보관된 역사적 실험실 증거
보관된 캡처 날짜는 2026년 11월 7일입니다. 다음은 EmailAuth.ai 의 새로운 실행이나 테스트가 아닌 제한된 기록 관찰에 대해 설명합니다.
실제 HTTPS POST는 해당 테스트 클라이언트에서만 신뢰할 수 있는 임시 인증서를 사용하여 격리된 루프백 엔드포인트에 DNS 유선 형식 질문을 전달했습니다. 엔드포인트가 application/dns-message를 반환했고 프라이밍된 전달자의 이전 메시지가 반환되었습니다. p=none 응답; 별도의 전달자가 현재를 반환했습니다. p=reject 데이터. 두 번째 HTTPS POST에서는 클라이언트가 올바르게 디코딩한 DNS SERVFAIL 이 포함된 HTTP 200을 반환했습니다. HTTP 헤더, DNS 바이트 및 시간이 유지됩니다. 이 엔드포인트는 Cache-Control: no-store를 사용했습니다. 이전의 Age 산술은 관찰된 HTTP 캐시 실험이 아닌 별도의 모델로 남아 있습니다. 캡처 레이블은 HTTPS_/dns-query입니다. HTTPS_/dns-오류; Resolver2_fresh_new. 보관된 런너 및 원시 캡처는 역사적 증거로 이 검토 패키지에 포함됩니다. 이 검토를 위해 다시 실행되지 않고 검사되었습니다. 프로덕션 DNS , DNSSEC 및 SMTP 결과는 테스트되지 않은 상태로 유지됩니다.