DNS over HTTPS vs DNS Biasa: Apa Bedanya dan Mana yang Lebih Aman?

Kalau sebelumnya kamu sudah memahami cara kerja DNS, pertanyaan berikutnya biasanya muncul: apakah query DNS yang kita kirim ke resolver bisa dilihat oleh jaringan?

Pada DNS tradisional, query umumnya dikirim tanpa enkripsi. Artinya pihak yang berada di jalur jaringan seperti operator WiFi, ISP, atau perangkat jaringan tertentu bisa lebih mudah melihat domain apa yang sedang dicari.

DNS over HTTPS atau DoH mencoba memperbaiki sisi ini dengan mengirim query DNS melalui koneksi HTTPS yang terenkripsi. Jadi permintaan DNS tidak lagi terlihat seperti traffic DNS biasa yang berjalan terbuka.

Namun DoH bukan sekadar “DNS lebih aman”. Ada juga efek ke troubleshooting, filtering jaringan, corporate DNS, parental control, split DNS, proxy, dan browser yang perlu dipahami.

Kalau belum membaca dasar DNS, mulai dulu dari artikel Cara Kerja DNS: Dari Nama Domain Sampai Menjadi IP Address.

Apa Itu DNS Biasa?

DNS biasa atau traditional DNS umumnya menggunakan mekanisme DNS klasik untuk mengirim query dan menerima response.

Secara sederhana:

Query DNS tradisional sangat umum berjalan melalui port 53 menggunakan UDP atau TCP.

Masalah utamanya dari sisi privasi adalah query tersebut biasanya tidak dienkripsi secara native.

Jadi ketika client bertanya:

pihak di jalur jaringan berpotensi melihat domain yang sedang dicari.

Apa Itu DNS over HTTPS?

DNS over HTTPS atau DoH adalah protokol untuk mengirim query dan response DNS melalui HTTPS.

RFC 8484 mendefinisikan bahwa setiap pasangan DNS query dan response dipetakan ke HTTP exchange.

Alurnya kurang lebih:

Karena memakai HTTPS, query DNS mendapatkan perlindungan confidentiality dan integrity dari TLS.

Referensi teknisnya tersedia di RFC 8484 — DNS Queries over HTTPS.

Perbedaan DNS Biasa dan DoH

Kenapa DNS Biasa Dianggap Kurang Privat?

DNS tradisional umumnya mengirim query tanpa enkripsi.

Misalnya kamu membuka:

walaupun halaman websitenya sendiri menggunakan HTTPS, lookup DNS bisa terjadi sebelum koneksi HTTPS dibuat.

Jadi ada dua proses berbeda:

HTTPS melindungi traffic web, tetapi tidak otomatis mengenkripsi DNS tradisional.

Apa yang Dilindungi DoH?

DoH melindungi query DNS saat berjalan antara client dan DoH resolver.

Artinya pihak di jaringan lokal lebih sulit membaca domain yang ditanyakan hanya dengan melihat paket DNS tradisional.

MDN menjelaskan bahwa DoH membawa query DNS dalam HTTPS request dan membantu mencegah pihak di jalur jaringan membaca atau memodifikasi nama domain yang dicari.

Lihat dokumentasi MDN — DNS over HTTPS.

DoH Tidak Membuat Browsing Menjadi Sepenuhnya Anonim

Ini penting.

Mengenkripsi DNS bukan berarti seluruh aktivitas internet menjadi tidak terlihat.

Masih ada berbagai sinyal lain seperti:

• alamat IP tujuan,
• traffic pattern,
• akun login,
• cookie,
• browser fingerprint,
• session,
• metadata koneksi lain.

DoH hanya fokus pada perlindungan DNS query antara client dan resolver.

Apakah DoH Menyembunyikan IP dari Website?

Tidak.

DNS over HTTPS hanya mengubah cara query DNS dikirim.

Setelah client mendapatkan IP tujuan, koneksi ke website tetap dibuat melalui jalur internet yang digunakan perangkat.

Jadi:

Kalau ingin mengubah IP yang terlihat oleh website melalui proxy, baca artikel IP Proxy.

DNS over HTTPS Menggunakan Port Berapa?

DoH berjalan melalui HTTPS, sehingga biasanya menggunakan port 443.

Ini membuat traffic DoH terlihat seperti HTTPS biasa dari sisi port.

Hubungan port lebih lengkap bisa dibaca pada artikel Port 80, 443, 8080, 3128 & 1080.

Kenapa DoH Lebih Sulit Dibedakan dari Traffic Web?

Karena DoH menggunakan HTTPS.

Pada DNS tradisional, jaringan bisa melihat traffic menuju port 53 dan mengenalinya sebagai DNS.

Dengan DoH:

traffic tersebut bercampur secara lebih natural dengan traffic HTTPS lainnya.

Apa Itu Secure DNS di Browser?

Browser seperti Firefox dan Chrome menggunakan istilah seperti DNS over HTTPS atau Secure DNS.

Secara umum maksudnya adalah browser mencoba melakukan DNS lookup melalui koneksi terenkripsi.

Namun perilaku detailnya bisa berbeda berdasarkan:

• browser,
• mode perlindungan,
• resolver yang dipilih,
• VPN,
• enterprise policy,
• parental control,
• kondisi jaringan.

Bagaimana Firefox Menangani DNS over HTTPS?

Firefox menyediakan beberapa tingkat perlindungan DoH.

Mozilla saat ini menjelaskan mode seperti:

Dokumentasi Mozilla terbaru bisa dilihat di Firefox DNS over HTTPS.

Firefox Bisa Fallback ke DNS Biasa?

Ya, tergantung mode yang digunakan.

Mozilla menjelaskan bahwa Default Protection dapat kembali ke resolver default jika DoH mengalami masalah.

Firefox juga dapat menonaktifkan DoH dalam kondisi tertentu, misalnya ketika:

• VPN aktif,
• parental control aktif,
• enterprise policy diterapkan,
• network memberi sinyal agar secure DNS tidak digunakan.

Artinya mengaktifkan DoH bukan selalu berarti 100% query DNS hanya berjalan melalui DoH pada semua kondisi.

Bagaimana Chrome Menangani Secure DNS?

Chrome juga mempunyai fitur Secure DNS.

Google menjelaskan bahwa Secure DNS secara default aktif dalam mode otomatis.

Dalam mode tersebut, Chrome mencoba melakukan lookup secara aman. Kalau secure DNS mengalami masalah, Chrome dapat melakukan lookup menggunakan mode yang tidak terenkripsi.

Dokumentasi resminya dapat dilihat di Google Chrome Help — Secure DNS.

Kenapa Browser Melakukan Fallback?

Tujuannya biasanya agar browsing tetap berjalan.

Bayangkan DoH resolver sedang tidak dapat dijangkau.

Browser punya dua pilihan:

Mode browser yang lebih strict bisa memilih menampilkan error daripada fallback secara diam-diam.

DNS Biasa vs DoH dari Sisi Privasi

Jadi DoH memindahkan titik kepercayaan.

ISP mungkin tidak mudah membaca query DNS tradisional lagi, tetapi provider DoH tetap menerima query yang kamu kirim.

Siapa yang Bisa Melihat Query DoH?

Resolver DoH tetap harus menerima query agar bisa menjawabnya.

Jadi dari sisi privasi, pertanyaannya berubah dari:

menjadi:

Karena itu penting membaca privacy policy dan kebijakan data resolver.

DoH Bisa Mengganggu Filtering Jaringan?

Bisa.

Banyak jaringan perusahaan, sekolah, atau rumah menggunakan DNS untuk:

• filtering domain,
• blocking malware,
• parental control,
• internal hostname,
• split DNS,
• logging.

Kalau browser memakai resolver DoH eksternal, query bisa melewati resolver lokal yang biasanya melakukan filtering tersebut.

Mozilla sendiri mencatat bahwa DoH dapat berdampak pada sistem seperti parental control atau enterprise DNS, sehingga Firefox punya mekanisme untuk menonaktifkan DoH pada kondisi tertentu.

Apa Itu Split DNS?

Split DNS adalah kondisi ketika domain yang sama bisa mendapatkan jawaban berbeda tergantung jaringan.

Contohnya dari dalam kantor:

sedangkan dari internet:

Kalau browser memaksa menggunakan DoH publik, resolver publik mungkin tidak mengetahui jawaban internal.

Akibatnya service internal bisa tidak bisa dibuka.

Kenapa DoH Bisa Bermasalah di Jaringan Kantor?

Beberapa perusahaan mempunyai DNS internal untuk:

• hostname internal,
• service discovery,
• security filtering,
• internal domain,
• policy compliance.

Kalau DoH melewati resolver internal, fitur tersebut bisa tidak bekerja.

Karena itu DoH tidak selalu harus dipaksakan pada semua environment.

Apa Hubungan DNS over HTTPS dengan Proxy?

DoH dan proxy bekerja pada fungsi yang berbeda.

Namun jalurnya bisa saling berinteraksi.

Misalnya browser menggunakan proxy sekaligus DoH.

Apakah DoH Ikut Lewat Proxy?

Jawabannya tergantung aplikasi dan konfigurasi.

Karena DoH menggunakan HTTPS, koneksi menuju DoH resolver bisa saja mengikuti HTTP/HTTPS proxy yang digunakan aplikasi.

Tetapi jangan langsung menganggap semua browser dan semua mode bekerja identik.

Aplikasi bisa:

• menggunakan proxy untuk DoH,
• menggunakan koneksi langsung ke resolver,
• fallback ke system DNS,
• menggunakan policy tertentu.

Karena itu testing perlu dilakukan dari aplikasi yang benar-benar digunakan.

Contoh DoH + Proxy

Secara konseptual:

Kalau koneksi DoH mengikuti proxy, resolver DoH akan melihat koneksi dari sisi proxy.

Namun jika browser melakukan koneksi DoH di luar proxy:

jalur DNS bisa berbeda dengan jalur website utama.

DoH dan DNS Leak Apakah Sama?

Tidak.

DoH adalah protokol untuk mengirim DNS melalui HTTPS.

DNS leak adalah kondisi ketika DNS resolution berjalan melalui jalur yang tidak diharapkan.

DoH justru bisa menjadi penyebab hasil testing terasa membingungkan karena query DNS tidak lagi terlihat di port 53.

Misalnya kamu melakukan packet capture:

dan tidak melihat query apa pun.

Bukan berarti tidak ada DNS. Browser bisa saja menggunakan DoH melalui HTTPS port 443.

Apakah DoH Mencegah DNS Leak?

Tidak selalu dalam definisi “semua DNS harus lewat proxy”.

DoH mengenkripsi query menuju resolver yang dipilih.

Tetapi kalau tujuanmu adalah agar DNS resolution keluar dari lokasi proxy, DoH hanya membantu jika koneksi ke DoH resolver juga mengikuti jalur proxy yang diinginkan.

Jadi:

DNS over HTTPS vs SOCKS5 Remote DNS

Keduanya dapat mengurangi ketergantungan pada DNS tradisional lokal, tetapi mekanismenya berbeda.

Kalau kamu memakai SOCKS5, baca juga artikel SOCKS5 Proxy.

Bagaimana cURL Menggunakan DoH?

cURL mempunyai dukungan DoH pada versi yang menyediakan fitur tersebut melalui opsi:

Contoh konsep:

Dengan konfigurasi tersebut, cURL menggunakan endpoint DoH untuk melakukan resolusi hostname.

Gunakan DoH endpoint yang memang valid dan dipercaya.

DoH Bukan Pengganti HTTPS Website

DNS over HTTPS hanya mengenkripsi DNS.

Koneksi website tetap perlu menggunakan HTTPS sendiri.

Keduanya melindungi bagian koneksi yang berbeda.

DoH vs DNS over TLS

Selain DoH, ada juga DNS over TLS atau DoT.

Keduanya bertujuan mengenkripsi DNS, tetapi transport-nya berbeda.

Firefox memilih DoH karena cocok dengan networking stack browser berbasis HTTP.

Apakah DoH Lebih Cepat?

Tidak ada jawaban yang selalu sama.

Kecepatan DNS dipengaruhi banyak faktor:

• jarak resolver,
• latency jaringan,
• cache hit,
• connection reuse,
• load resolver,
• HTTP/TLS overhead.

Mozilla sendiri mencatat bahwa DoH bisa lebih lambat pada kondisi tertentu, tetapi dalam testing mereka dampaknya sering kecil dan bahkan bisa lebih cepat dalam beberapa situasi.

Apakah DoH Selalu Lebih Aman?

DoH meningkatkan privasi dan integrity untuk DNS transport, tetapi keamanan jaringan tetap harus dilihat secara menyeluruh.

Contohnya di jaringan perusahaan, memaksa DoH eksternal bisa melewati:

• malware filtering DNS,
• internal DNS,
• parental control,
• corporate policy.

Dalam konteks tersebut, resolver secure milik organisasi justru bisa lebih sesuai.

Kapan DoH Cocok Digunakan?

DoH cukup berguna ketika:

• ingin mengenkripsi DNS query di WiFi publik,
• tidak ingin query DNS terbaca sebagai plaintext oleh jaringan lokal,
• browser mendukung secure DNS dengan resolver terpercaya,
• tidak bergantung pada split DNS atau internal resolver.

Kapan DoH Bisa Menjadi Masalah?

DoH bisa mengganggu kalau jaringan bergantung pada DNS lokal untuk:

• domain internal,
• filtering keamanan,
• parental control,
• split horizon DNS,
• enterprise policy.

Dalam kondisi seperti itu, gunakan konfigurasi browser yang sesuai kebijakan jaringan.

Cara Mengecek Apakah Firefox Menggunakan DoH

Pada Firefox terbaru:

1. Buka Settings.
2. Pilih Privacy & Security.
3. Scroll ke DNS over HTTPS.
4. Buka Advanced Settings.
5. Lihat status dan protection level.

Mozilla menampilkan status seperti Active, Not Active, atau Off.

Cara Mengecek Secure DNS di Chrome

Pada Chrome desktop:

1. Buka Settings.
2. Pilih Privacy and security.
3. Buka Security.
4. Cari bagian Secure DNS.

Dari sana pengguna dapat melihat apakah fitur secure DNS digunakan secara otomatis atau memakai provider tertentu.

Kenapa Secure DNS Sudah Aktif tapi Masih Ada DNS Biasa?

Beberapa kemungkinan:

• browser melakukan fallback,
• aplikasi lain masih memakai system DNS,
• VPN atau enterprise policy mengubah perilaku,
• DoH provider sedang gagal,
• browser memakai mode default yang mengizinkan fallback.

Jadi tidak cukup hanya melihat satu toggle.

DoH Hanya Berlaku untuk Browser?

Tergantung implementasi.

DoH bisa diterapkan oleh:

• browser,
• operating system,
• DNS client,
• router,
• aplikasi tertentu.

Kalau Firefox memakai DoH sendiri, aplikasi lain pada komputer belum tentu menggunakan resolver yang sama.

DNS Sistem dan Browser Bisa Berbeda

Contohnya:

Akibatnya:

bisa menggunakan resolver berbeda dari Firefox.

Hal ini penting saat troubleshooting karena hasil dua aplikasi bisa tidak identik.

DoH dan CDN

Beberapa CDN menggunakan informasi DNS untuk membantu menentukan lokasi endpoint yang akan diberikan kepada client.

Kalau DNS resolver berpindah dari resolver lokal ke provider DoH di lokasi berbeda, hasil routing CDN bisa berubah pada beberapa sistem.

Namun banyak resolver modern dan CDN mempunyai mekanisme tambahan untuk mengoptimalkan routing.

DoH dan Geolocation

DNS resolver tidak selalu berada di lokasi yang sama dengan perangkat.

Kalau service menggunakan informasi resolver sebagai salah satu sinyal, hasil tertentu dapat berbeda.

Tetapi geolocation website tetap biasanya lebih bergantung pada IP koneksi aktual, bukan hanya DNS resolver.

Kesalahan Umum tentang DNS over HTTPS

• Menganggap DoH mengubah public IP.
• Menganggap DoH sama dengan VPN.
• Menganggap DoH sama dengan proxy.
• Menganggap DoH membuat pengguna anonim.
• Mengira DoH pasti selalu aktif tanpa fallback.
• Menganggap browser dan sistem operasi selalu memakai resolver yang sama.
• Mengira tidak ada port 53 berarti tidak ada DNS.
• Menganggap DoH selalu cocok untuk jaringan kantor.
• Mengira resolver DoH tidak bisa melihat query DNS.

DNS Biasa atau DoH, Mana yang Sebaiknya Digunakan?

Kalau fokusnya privasi pada jaringan publik, DoH memberikan keuntungan karena query DNS terenkripsi.

Kalau jaringan perusahaan membutuhkan internal DNS, filtering, atau policy tertentu, resolver jaringan yang dikelola organisasi bisa lebih tepat.

FAQ DNS over HTTPS

Apa itu DNS over HTTPS?

DNS over HTTPS adalah protokol yang mengirim query dan response DNS melalui HTTPS sehingga transport DNS dilindungi oleh TLS.

Apa beda DNS biasa dan DoH?

DNS biasa umumnya berjalan tanpa enkripsi pada port 53, sedangkan DoH membawa query DNS melalui HTTPS yang terenkripsi.

Apakah DoH mengubah IP public?

Tidak. DoH hanya mengubah cara DNS query dikirim. Public IP koneksi internet tetap berasal dari jaringan, proxy, atau VPN yang digunakan.

Apakah DoH membuat browsing anonim?

Tidak. DoH hanya melindungi DNS lookup. Website masih dapat melihat IP koneksi dan menggunakan cookie, session, akun, serta fingerprint.

Apakah DoH selalu menggunakan port 443?

DoH menggunakan HTTPS dan secara umum memakai port 443.

Apakah Chrome menggunakan Secure DNS?

Ya. Chrome menyediakan Secure DNS dan secara default dapat menggunakannya dalam mode otomatis, dengan fallback ke lookup tidak terenkripsi jika secure lookup mengalami masalah.

Apakah Firefox menggunakan DoH?

Firefox mendukung DoH dan menyediakan beberapa protection level seperti Default, Increased, Max, Custom, dan Off.

Kenapa DoH bisa fallback ke DNS biasa?

Pada mode tertentu, browser memilih fallback agar website tetap bisa diakses ketika secure DNS resolver tidak tersedia atau jaringan mempunyai policy tertentu.

Apakah DoH ikut lewat proxy?

Bisa, tergantung browser, aplikasi, dan konfigurasi proxy. Jangan menganggap semua implementasi selalu mengirim DoH melalui proxy.

Apakah DoH mencegah DNS leak?

DoH mengenkripsi query DNS, tetapi tidak otomatis memastikan DNS mengikuti jalur proxy. Kalau koneksi ke DoH resolver berjalan langsung, jalur DNS tetap bisa berbeda dari jalur website melalui proxy.