DNS-over-HTTPS, DNS mesajlarını HTTPS üzerinden taşır. Seçilen DoH uç noktasıyla aktarım ilişkisini korur ancak bu uç noktayı posta alıcısı tarafından kullanılan çözümleyici yapmaz. Tarayıcının mevcut yanıtı ile alıcının kimlik doğrulama araması, çözümleyici yolları, önbellekleri ve politikaları farklı olduğundan yasal olarak farklılık gösterebilir.
Aktarımı DNS güveninden ayırma
Referanslar: RFC 8484 §8.1, RFC 4033 §3.
RFC 8484 DNS kablo formatını kullanarak uygulama/dns mesajı alışverişlerini tanımlar. HTTPS başarı durumu tek başına katıştırılmış DNS yanıtının istenen kayıtları içerdiği anlamına gelmez. DNS yanıt kodunu, bayrakları ve kayıt kümelerinin yanı sıra HTTP durumunu da okuyun.
DoH hizmetine TLS kendi güven modeli altında HTTPS uç noktasının kimliğini doğrular. Bunun yerine geçmez DNSSEC yetkili DNS verilerinin doğrulanması. Bir DoH hizmeti başka bir politikayı doğrulayabilir, filtreleyebilir veya uygulayabilir; HTTPS şemasından çıkarmak yerine belgelenmiş davranışını oluşturun.
İki önbellek katmanını hesaba katın
Referanslar: RFC 8484 §5.1, RFC 8484 §6.
DoH, DNS önbelleklerine ek olarak HTTP önbelleklerini de içerebilir. RFC 8484 DNS verilerine göre HTTP yeniliğini kısıtlar ve istemcilerin kalan DNS ömrünü hesaplarken HTTP Yaşı değerini hesaba katmasını gerektirir. Bu katmanları göz ardı eden bir teşhis, farklı yaşlardaki yanıtları sanki eş zamanlı yeni aramalarmış gibi karşılaştırabilir.
Bir sağlayıcının JSON DNS API'si otomatik olarak RFC 8484 kablo biçimli arayüz değildir. Uç noktayı, istek yöntemini, medya türünü, DNS sorusunu ve yanıt başlıklarını kaydedin. Gerçek DNS mesajının yerine web sayfası durum etiketi koymayın.
Yakalanan yanıt karşılaştırmasını yeniden oluşturma
Referanslar: RFC 8484 §4.2.1, RFC 8484 §5.1.
Aynı sahip ve TXT türü için iki geçerli DNS yanıtı açıklamasına sahip bir çevrimdışı fikstür oluşturun. DoH fikstürü, DNS TTL 300, HTTP Yaşı 120 ve uyumlu HTTP tazelik meta verilerine sahip P politikasını içerir. Basitleştirilmiş, başka gecikme olmayan modelde, 180 saniyeden fazla DNS TTL'si kalmaz. Bir değişiklikten sonra elde edilen bir alıcı-çözücü fikstürü Q politikasını içerir.
Beklenen analiz, gözlemlerin çözümleyici ve yaş açısından farklılık gösterdiğini ancak her iki aktarımın da doğası gereği yanlış olduğunu söylüyor. HTTP 200'e sahip ancak yerleşik bir DNS SERVFAIL içeren ikinci bir fikstür ekleyin; Beklenen sınıflandırma, başarılı politika alımı değil, DNS hatasıdır. Orijinal tamamlayıcı model yalnızca bu sınıflandırmaları kontrol eder. Korunan tarihsel izole HTTPS değişimi, aşağıda test edilen kablolu kod çözme ayrı ayrı.
Canlı çoğaltma için RFC 8484 özellikli bir istemci kullanın, sürümünü kaydedin ve ham DNS ve HTTP meta verilerini yetkili bir uç noktadan kaydedin. Aynı sahibi ve türü, erişilebilir olduğu yerde amaçlanan posta çözümleyiciyle ve her bir yetkiliyle karşılaştırın. Üretim DoH'si ve alıcı yolu testleri beklemede; aşağıdaki yalıtılmış HTTPS deneyi ayrıdır.
Gizlilik taleplerini sınırlı tutun
Referanslar: RFC 8484 §8.2.
DoH operatörü sorguyu alır ve ilgili istemci bağlantı bilgilerini gözlemleyebilir. HTTPS, sorguyu o operatörden gizlemez veya sonraki her DNS değişiminin şifreleneceğini garanti etmez. Hassas dahili adları, yetkili bir amaç ve veri paylaşım kapsamı olmadan harici bir çözümleyiciye taşımayın.
DoH sonuçlarını tek bir gözlem olarak kullanın. Farklılıkları ada, türe, yetki durumuna, önbellek yaşına, doğrulamaya ve politikaya göre teşhis edin. Talep için gereken mesaj ve alıcı kanıtlarıyla kimlik doğrulama araştırmalarını bitirin; Yeşil tarayıcı tarafı DNS sonucu, posta teslimi garantisi değildir.
Saklanan tarihi laboratuvar kanıtları
Tutulan yakalamanın tarihi 7 Kasım 2026'dır. Aşağıda, EmailAuth.ai yeni bir yürütülmesi veya testi değil, sınırlı geçmiş gözlem açıklanmaktadır.
Gerçek bir HTTPS POST, bir DNS kablo formatı sorusunu, yalnızca söz konusu test istemcisinin güvendiği geçici bir sertifikaya sahip izole bir geridöngü uç noktasına taşıdı. Uç nokta, uygulama/dns mesajını döndürdü ve kullanıma hazır ileticinin eskisi p=none cevap; ayrı bir iletici akımı döndürdü p=reject veri. İkinci bir HTTPS POST, istemcinin kodunu doğru şekilde çözdüğü, yerleşik DNS SERVFAIL içeren HTTP 200'ü döndürdü. HTTP başlıkları, DNS baytları ve süreleri korunur. Bu uç noktada Önbellek Kontrolü kullanıldı: mağaza yok; daha önceki Age aritmetiği, gözlemlenen bir HTTP önbellek deneyi değil, ayrı bir model olarak kalır. Yakalama etiketleri HTTPS_/dns-query'dir; HTTPS_/dns hatası; çözümleyici2_fresh_new. Tutulan koşucu ve ham yakalamalar bu inceleme paketine tarihsel kanıt olarak dahil edilmiştir. İncelendiler, bu inceleme için tekrar çalıştırılmadılar. Üretim DNS , DNSSEC ve SMTP sonuçları henüz test edilmemiştir.