Le query DNS classiche viaggiano in chiaro: chiunque sul percorso (Wi-Fi pubblico, ISP) vede ogni dominio che risolvi – una cronologia di navigazione gratuita. DoT (porta 853) e DoH (dentro HTTPS sulla 443) cifrano il tragitto fino al resolver; DoH in più si mimetizza nel traffico web normale, il che lo rende difficile da bloccare – caratteristica apprezzata dagli utenti e maledetta dagli amministratori di rete.
Da sapere: la privacy non si crea, si sposta – l'ISP non vede più le query, il resolver scelto (Cloudflare, Google, Quad9…) sì: la scelta del resolver è la vera decisione. E in una rete con Pi-hole o blocklist DNS, il DoH dei singoli dispositivi scavalca i filtri: va intercettato o disabilitato, facendo passare tutti dal resolver di casa – che può a sua volta parlare DoH verso l'esterno. Completa il quadro dell'autenticità: DNSSEC.