DNS-over-HTTPS överför DNS meddelanden över HTTPS. Det skyddar transportrelationen med den valda DoH-slutpunkten, men det gör inte den slutpunkten till den resolver som används av en e-postmottagare. En webbläsares aktuella svar och en mottagares autentiseringssökning kan med rätta skilja sig åt eftersom deras upplösningsvägar, cacheminne och policyer skiljer sig åt.
Skilj transport från DNS förtroende
Referenser: RFC 8484 §8.1, RFC 4033 §3.
RFC 8484 definierar applikations-/dns-meddelandeutbyten med hjälp av DNS trådformatet. En HTTPS-framgångsstatus betyder inte i sig att det inbäddade DNS svaret innehåller de begärda posterna. Läs DNS svarskoden, flaggor och postuppsättningar samt HTTP-status.
TLS till DoH-tjänsten autentiserar HTTPS-slutpunkten under dess förtroendemodell. Det är inte en ersättning för DNSSEC validering av auktoritativa DNS data. En DoH-tjänst kan validera, filtrera eller tillämpa annan policy; etablera dess dokumenterade beteende istället för att härleda det från HTTPS-schemat.
Står för två cachinglager
Referenser: RFC 8484 §5.1, RFC 8484 §6.
DoH kan involvera HTTP-cacher utöver DNS cachar. RFC 8484 begränsar HTTP-uppdateringen i förhållande till DNS data och kräver att klienter tar hänsyn till HTTP-åldervärdet när de beräknar återstående DNS livslängd. En diagnostik som ignorerar dessa lager kan jämföra svar från olika åldrar som om de vore samtidiga nya uppslagningar.
En leverantörs JSON DNS API är inte automatiskt RFC 8484 -trådformatsgränssnittet. Spela in slutpunkt, begäranmetod, mediatyp, DNS fråga och svarsrubriker. Ersätt inte det faktiska DNS meddelandet med en webbsidastatusetikett.
Återskapa en jämförelse med fångat svar
Referenser: RFC 8484 §4.2.1, RFC 8484 §5.1.
Konstruera en offline-fixtur med två giltiga DNS-svarsbeskrivningar för samma ägare och TXT -typ. DoH-fixturen innehåller policy P med DNS TTL 300, HTTP Age 120 och kompatibel HTTP-uppdateringsmetadata. I den förenklade no-other-delay-modellen återstår inte mer än 180 sekunder av DNS TTL. En mottagare-resolver fixtur som erhålls efter en ändring innehåller policy Q.
Förväntad analys säger att observationerna skiljer sig i resolver och ålder, inte att någon av transporterna i sig är fel. Lägg till en andra fixtur med HTTP 200 men en inbäddad DNS SERVFAIL ; förväntad klassificering är DNS fel, inte lyckad policyhämtning. Den ursprungliga medföljande modellen kontrollerar endast dessa klassificeringar. Den bevarade historiska isolerade HTTPS-utbytet nedan testade trådavkodning separat.
För live-reproduktion, använd en RFC 8484 -kompatibel klient, registrera dess version och spara rå DNS och HTTP-metadata från en auktoriserad slutpunkt. Jämför samma ägare och typ mot den avsedda e-postlösaren där den är tillgänglig och mot varje myndighet. Produktions-DoH- och mottagarvägtester kvarstår. det isolerade HTTPS-experimentet nedan är separat.
Håll integritetsanspråk begränsade
Referenser: RFC 8484 §8.2.
DoH-operatören tar emot frågan och kan observera relevant information om klientanslutningen. HTTPS döljer inte frågan från den operatören eller garanterar att varje efterföljande DNS utbyte är krypterad. Flytta inte känsliga interna namn till en extern resolver utan ett auktoriserat syfte och datadelningsomfång.
Använd DoH-resultat som en observation. Diagnostisera skillnader efter namn, typ, auktoritetsstatus, cacheålder, validering och policy. Avsluta autentiseringsundersökningar med meddelandet och mottagarbevis som behövs för anspråket; ett grönt DNS -resultat på webbläsaren är inte en garanti för e-postleverans.
Behållit historiskt labbbevis
Den behållna fångsten är daterad 7 november 2026. Följande beskriver den avgränsade historiska observationen, inte en ny avrättning eller ett test av EmailAuth.ai .
En riktig HTTPS POST förde en fråga i DNS -trådformat till en isolerad loopback-slutpunkt med ett temporärt certifikat som endast den testklienten litar på. Slutpunkten returnerade applikation/dns-meddelande och den förberedda speditören är äldre p=none svar; en separat speditör returnerade ström p=reject data. En andra HTTPS POST returnerade HTTP 200 med inbäddad DNS SERVFAIL , som klienten avkodade korrekt. HTTP-rubriker, DNS byte och tider behålls. Denna slutpunkt använde Cache-Control: no-store; den tidigare Age-arithmetiken förblir en separat modell, inte ett observerat HTTP-cache-experiment. Infångningsetiketterna är HTTPS_/dns-query; HTTPS_/dns-error; resolver2_fresh_new. Den bibehållna löparen och den råa fångsten ingår i detta granskningspaket som historiska bevis. De inspekterades, inte kördes igen för denna recension. Produktionsresultat för DNS , DNSSEC och SMTP förblir oprövade.