DNS over HTTPS Loopt Regelrecht Langs Je Controles

Er is een manier waarop alles op je netwerk een naam kan opzoeken zonder dat je DNS-server de vraag ooit hoort. Geen instelling gewijzigd op de machine, geen beheerdersrechten, niets dat je in een log zou vinden. De opzoeking vertrekt als een gewoon HTTPS-verzoek op poort 443, gaat naar een resolver ergens op het internet, en komt terug met een antwoord dat je eigen resolver geweigerd zou hebben.

De blokkeerlijst gaat nooit af. Het dreigingsoverzicht krijgt het verzoek nooit. De logregel waar je naar op zoek zou zijn gegaan, is nooit geschreven.

Het heet DNS over HTTPS, kortweg DoH, en het is met een goede reden gebouwd. Gewone DNS reist in leesbare tekst over poort 53, dus het koffiehuis, de luchthaven en je internetprovider kunnen elke naam lezen die je opzoekt en de antwoorden veranderen als ze daar zin in hebben. DoH wikkelt de opzoeking in dezelfde versleuteling als de rest van het web en verstopt hem in de menigte. Als privacymaatregel voor iemand op een vijandig netwerk doet het precies wat het zegt.

Het probleem is dat wat het verslaat en wat jij nodig hebt, hetzelfde ding zijn.

Je resolver is niet zomaar een opzoekdienst. Het is een controlepunt: waar een bekend-slecht domein met niets beantwoord wordt, waar een verzoek aan een commandoserver in een log opduikt, waar Protective DNS het malwaredomein weigert voordat de verbinding tot stand komt. DoH haalt de opzoeking van je resolver af en geeft hem aan een resolver die jij nooit koos, en elke controle die je aan die resolver had gehangen, gaat mee.

Dit is geen betoog tegen het versleutelen van DNS. Versleutelde DNS is juist, en het laatste deel van deze post is hoe je het draait. Het is een betoog over wie de resolver mag kiezen, want die keuze is het hele spel, en DoH is ontworpen om hem van jou af te nemen en aan de browser te geven, aan de app en, als je niet oplet, aan de aanvaller.

Wat DoH Eigenlijk Is

Haal het merk eraf en DoH is een gewoon webverzoek dat toevallig een DNS-vraag draagt.

Gewone DNS is een klein binair bericht dat over UDP of TCP naar poort 53 wordt gestuurd. DoH stopt datzelfde bericht, of een JSON-versie ervan, in een HTTPS-verzoek aan een webserver die het protocol spreekt; het antwoord is een HTTPS-respons¹. Dat is het hele idee.

RFC 8484 standaardiseerde het in oktober 2018, en de bedoeling is nooit verborgen geweest. Het doel, zegt de eigen inleiding, is “allowing web applications to access DNS information via existing browser APIs”¹.

Bestaande browser-API’s. Een webpagina. Niemand vond dat jaren later als een lastig neveneffect. Het staat in de eerste alinea van de standaard, opgeschreven als het doel.

Hier is een opzoeking op de DoH-manier, vanaf een opdrachtregel, tegen een publieke resolver, die om example.com vraagt:

$ curl -s -H 'accept: application/dns-json' \
    'https://cloudflare-dns.com/dns-query?name=example.com&type=A'
{"Status":0,"TC":false,"RD":true,"RA":true,"AD":true,"CD":false,
 "Question":[{"name":"example.com","type":1}],
 "Answer":[{"name":"example.com","type":1,"TTL":146,
            "data":"23.192.228.80"}]}

Geen speciale client. Geen poort behalve 443. Eén HTTPS-verzoek, dezelfde vorm als het ophalen van een webpagina, en een naam die opgelost wordt door een machine aan de andere kant van de wereld die nog nooit van je netwerk of je regels gehoord heeft. Google draait hetzelfde eindpunt, Quad9 ook, en tientallen anderen.

Kijk nu naar wat je firewall ziet. Een TLS-verbinding met een webserver op 443, die hij niet vanbinnen kan lezen omdat dat het punt van TLS is, en niet kan onderscheiden van de honderden andere die elke seconde opengaan naar content delivery networks en analytics en advertenties. De DNS-vraag is weg. Hij verliet het gebouw verkleed als webverkeer en niemand aan de deur kon zijn gezicht zien.

Er zijn drie manieren waarop een client een DNS-opzoeking kan verplaatsen, en het loont om ze naast elkaar te leggen, want het verschil is de hele post.

Gewone DNS is leesbaar en blokkeerbaar, en dat is precies waarom hij makkelijk te besturen en makkelijk te bespioneren was. DoT versleutelt de opzoeking maar houdt zijn eigen poort, dus je kunt hem nog aan de grens weigeren. DoH is degene zonder handvat: versleuteld zoals DoT, maar hij deelt de ene poort die je nooit kunt sluiten, dus de enige hendel die overblijft is welke resolver de client koos, en dat is de hendel waar deze post over gaat.

Wie De Resolver Mag Kiezen

De reden dat dit ertoe doet, is dat een moderne machine vijf verschillende dingen heeft die elk kunnen beslissen waar DNS heen gaat, en jij bestuurt er standaard precies één van.

Het besturingssysteem vraagt de resolver die je netwerk uitdeelde via DHCP of router advertisements. Die is van jou, en het is het model dat alles ouder dan ongeveer 2019 aannam: één resolver, uitgedeeld door het netwerk, en dat is waarom DNS-controles op netwerkniveau dertig jaar lang werkten.

De browser brak dat. Firefox en Chrome leveren allebei de machinerie om hun eigen DoH te doen, naar een resolver die hun leverancier koos, over je hoofd heen, en ze trekken zich alleen terug wanneer ze een beheerd netwerk opmerken. En een applicatie kan zijn eigen DoH-client en een hardgecodeerde resolver in zijn code meedragen, bepaald bij het bouwen; hij leest je DHCP niet en vraagt niets. Genoeg legitieme software doet dit al.

Een script op een webpagina is degene die je zou moeten stoppen, want er hoeft helemaal niets geïnstalleerd te worden. Die curl-opdracht hierboven is één HTTPS-verzoek, en een browser maakt de hele dag HTTPS-verzoeken. Een paar regels JavaScript op elke pagina die een gebruiker opent, kunnen opzoekingen naar een publiek DoH-eindpunt sturen, want de grote aanbieders staan cross-origin-verzoeken bewust toe zodat webapps ze kunnen gebruiken, het verklaarde doel in RFC 8484. De pagina die je nu leest, zou op dit moment namen kunnen oplossen via een resolver in een ander land en jij zou één HTTPS-verbinding meer zien.

En malware kiest zijn eigen resolver om de voor de hand liggende reden: het wil niet dat je ziet waar het naartoe belt. Het draagt de resolver in zijn code mee, vaak bereikt via een adres zodat er geen aanvangsopzoeking te vangen is, en heeft van niets van dit alles jouw toestemming nodig.

Lees die kolom nog eens. De onderste drie hebben geen beheerdersrechten nodig, geen gewijzigde instelling, en niets dat in het besturingssysteem zichtbaar wordt. De controle die je jarenlang bouwde, één resolver, één blokkeerlijst, één log, nam aan dat de bovenste rij de enige rij was. Dat is ze al jaren niet meer.

Dezelfde Truc Waar De Browserleveranciers Bang Voor Waren

Het geval van de webpagina is niet theoretisch en niet nieuw. Het is hoe protocol helpers misbruikt worden: een webpagina zendt bytes, iets stroomafwaarts handelt ernaar, en het kan niet zien dat ze van de pagina van een aanvaller kwamen in plaats van van een echte client, want op de draad zijn ze identiek. Bij DoH is het stroomafwaartse stuk een publieke resolver, die antwoordt zonder enige manier om te weten dat het vragende JavaScript van een phishingpagina kwam, en je resolver, degene met de blokkeerlijst en het log, was nooit in het pad om er iets van te vinden. Geen gat door je controles geslagen, maar een weg eromheen gebouwd, geplaveid met dezelfde versleuteling die je iedereen aanraadt te gebruiken.

Het Is Al Het Kanaal Van De Malwaremaker

Je hoeft je niet voor te stellen hoe dit gebruikt wordt. Het is al jaren gedocumenteerd, door met naam genoemde onderzoekers, op echte samples, en de richting is er maar één: van een criminele bot in 2019 naar een staatsinlichtingenmiddel het jaar daarop, en elk jaar drukker sindsdien, met verse backdoors die in 2026 nog steeds opduiken.

Godlua, het eerste breed gemelde geval, was een Linux- en Windows-backdoor waarvan de analyse vastlegt dat het “uses DNS over HTTPS to get the C2 name to ensure secure communication between the bots, the Web Server and the C2”². Op een netwerk dat poort 53 in de gaten houdt, is het oplossen van je commandoserver een cadeau aan de verdediger. Over DoH is er nowt te zien.

De uitspraak van Proofpoint over PsiXBot is het citeren waard, een dreigingsinlichtingenleverancier die het stille deel hardop zegt. Het gebruik van DoH voor commando en controle, schreven ze, “should be a warning shot for the cybersecurity community as there are no simple solutions to help identify an infected host or the process of receiving instructions”³. Geen simpele oplossingen, van de mensen wier werk het is ze te vinden.

Toen tilde OilRig het een niveau hoger. De beschrijving van Kaspersky is precies de verandering waar deze post over gaat: “instead of plain text requests to port 53, they would use port 443 in encrypted packets”, met een hulpmiddel dat “allows DoH queries to Google and Cloudflare services”⁴. Een nationale inlichtingenoperatie die de publieke DoH-aanbieders als pijplijn gebruikt om gestolen data naar buiten te dragen langs wat de DNS ook maar in de gaten hield.

En het bleef daar niet bij. Het verspreidde zich. Tegen 2023 had ChamelGang een C++-Linux-backdoor, ChamelDoH, die zijn hele commandokanaal over DoH draaide en DNS TXT-verzoeken naar zijn eigen naamservers stuurde via Google en Cloudflare; de onderzoeker die het vond merkte op dat zowel detectie als preventie “become difficult”, omdat het versleutelde transport niet onderschept kan worden en een kwaadaardig verzoek niet van een echt te onderscheiden is⁵. In december 2025 ontleedde CISA BRICKSTORM, een China-gebonden backdoor die HTTPS, WebSockets en geneste TLS stapelt en “also uses DNS-over-HTTPS (DoH)” om zijn C2 in gewoon webverkeer te begraven⁶. Tegen februari 2026 was het gewoon handwerk: Cisco Talos ving Dohdoor, dat “securely sends encrypted DNS requests to Cloudflare’s DNS server over HTTPS port 443” om zijn commandoserver te vinden, en zich via phishing een weg naar Amerikaanse scholen en ziekenhuizen baande⁷.

Dat is de vorm ervan. Geen techniek die zijn moment had en wegebde, maar een die elk jaar door meer handen wordt opgepakt. Het probleem wordt erger, niet beter, en een verse familie duikt nu op schema op.

Eén eigenschap deed het werk in elk ervan: de opzoeking vertrok als HTTPS op 443 en de resolver van de verdediger zag het nooit. Geen zwakte die iemand ooit zou kunnen vinden. Een functie die aanvallers keer op keer hebben uitgerold, meerdere ervan staten.

En wees duidelijk over waarom die tabel zich vult, jaar na jaar. Elke familie erin loopt door een deur die de auteurs van DoH gewaarschuwd waren open te laten, in de eigen tekst van de standaard, en die ze toch open lieten⁸. Dat was geen vergissing. Het was kortzichtigheid, met opzet gekozen, door mensen onder wie ICANN’s eigen technoloog. Dus ik zal het noemen wat het is: hierin zijn ICANN facilitators van cybercrime. Gewaarschuwd in de eigen tekst van de standaard wat er zou breken, zetten hun mensen er toch hun naam onder, en de tabel hierboven is wat door het gat liep. De misdaad is geen verrassing. Het is de rekening voor een beslissing, en wiens beslissing het was, is de rest van deze post.

En bij dat alles koopt DoH niet eens het ding waarvan mensen aannemen dat het het doet: bescherming tegen een vervalst antwoord. Het versleutelen van de sprong naar een resolver is niet het authenticeren van wat de resolver teruggeeft, en een DoH-server kan nog steeds een vervalst record teruggeven. De standaard geeft het toe en zegt dat de regel tegen niet-geconfigureerde servers “does not guarantee protection against invalid data”⁹.

Het ene mechanisme dat een DNS-antwoord authenticeert is DNSSEC, en DoH is dat niet. Erger nog, bij bijna elke client wordt DNSSEC gevalideerd op de recursieve resolver, niet op het apparaat: de client vertrouwt eenvoudigweg het woord van de resolver dat het antwoord klopte. Dus DNSSEC beschermde je alleen zover als je de resolver vertrouwde die de controle deed, en de echte zet van DoH is dat vertrouwen overdragen aan een resolver op afstand die je niet kunt zien of controleren.

Als zodanig kan DoH je juist eerder op een vervalste site doen belanden, niet minder: de lokale verdedigingen die een gekaapt antwoord hadden gevangen, het Protective DNS-overzicht, de eigen filtering van de beheerder, zijn precies de dingen waar je omheen ging, en alles wat overblijft is het woord van één operator op afstand, op vertrouwen aangenomen.

En niets hiervan is een nieuw idee waar DoH per ongeluk over struikelde. Het filteren van kwaadaardige domeinen op de resolver is precies wat OpenDNS al bijna twintig jaar doet, waarbij het phishing en malware blokkeert voor miljoenen gebruikers voordat het antwoord hen ooit bereikt, en dat is het model dat Cisco in 2015 kocht¹⁰. Twee decennia beveiliging op resolverniveau die mensen beschermde die nooit iets configureerden, en DoH ondermijnde het hele model in één klap: wijs de app naar zijn eigen resolver, en OpenDNS, of wat je netwerk ook koos, staat niet meer in het pad.

Waarom Het Oude Antwoord Ophield Te Werken

Zolang DNS op poort 53 leefde, was het netwerkantwoord simpel. Dwing elke client om je resolver te gebruiken, en blokkeer uitgaande poort 53 overal elders aan de grens. Een machine die naar een externe DNS-server reikte, werd geweigerd, dus moest hij via de jouwe, dus golden je controles voor alles. Grof, en het werkte.

DoH doodt dat in één zet door 443 te gebruiken. Je kunt uitgaande 443 niet blokkeren. Het is het web. Dus de poort die je zou sluiten om DNS door je resolver te dwingen, is de ene poort die je nooit kunt sluiten, en de versleuteling die je ISP het spioneren belet, belet jou ook een DoH-opzoeking van een pagina-ophaling te onderscheiden.

De twee dingen die je zou gebruiken om de controle terug te winnen, de poort sluiten en het verkeer lezen, zijn allebei bij ontwerp weg. Precies die twee verslaan, in de handen van een vijandig netwerk, is waar DoH voor gebouwd is.

En het verkeer lezen is niet de ontsnapping die het lijkt, want er is maar één manier om het te doen: alles openbreken en inspecteren. Om de DNS binnen een 443-verbinding te zien, moet je elke HTTPS-verbinding op het netwerk man-in-the-middle-en, je eigen root-certificaat op elk apparaat zetten, en de hele boel ontsleutelen en opnieuw versleutelen. Dat is waar een groeiend aantal beheerders nu toe hun toevlucht neemt, om het zicht terug te grijpen dat één firewallregel hun vroeger voor nowt gaf.

En het is een veel slechtere ruil: je hebt TLS voor alles verzwakt, een ontsleuteldoos in het pad van elke aanmelding en elke banksessie gezet, en één doelwit gebouwd dat alles compromitteert, een houding waar US-CERT ronduit voor waarschuwde¹¹. De evenredige controle was gebroken, dus de onevenredige is wat overblijft.

En dat is de klem. Het mechanisme dat een journalist op luchthaven-wifi tegen een vijandig netwerk afschermt, is hetzelfde dat malware op jouw netwerk tegen jou afschermt, en het protocol kan de twee niet uit elkaar houden. Een resolver die omzeild wordt, weet niet of het een censor is of een beveiligingsteam. Het weet alleen dat het buitengesloten is.

Het Juiste Antwoord Was Altijd DNS Over TLS

Hier is het deel dat het spel verraadt. Het versleutelen van DNS had niets hiervan nodig. Het was al twee jaar voor DoH gedaan, op een manier die degene die het netwerk draait in staat liet zijn werk te doen.

DNS over TLS, RFC 7858, is van mei 2016. De samenvatting zegt in de eerste regel waar het voor is: om “provide privacy for DNS”, versleuteling die “eliminates opportunities for eavesdropping and on-path tampering with DNS queries in the network”¹². Dat is de hele privacyzaak, geregeld: het koffiehuis en de ISP buitengesloten, precies zoals bij DoH, want de opzoeking is van eind tot eind versleuteld.

En het is mede geschreven door Paul Hoffman, die daarna ook de DoH-standaard mede schreef¹. Geen twee rivaliserende kampen dus. Dezelfde mensen, die privacy al hadden opgelost, die het nog eens oplossen op een andere manier.

Wie Hoffman is doet ertoe, want het zegt waar dit vandaan kwam. Hij is geen buitenstaander in DNS: zijn naam staat op meer dan tachtig RFC’s, waaronder de DNS-terminologiestandaard, en hij doet het werk als technoloog bij ICANN¹³. Dus de standaard die DNS op 443 verstopte, is van binnen ICANN mede geschreven, het Amerikaanse orgaan dat bepaalt wat er in de root komt.

En ICANN is niet de belangeloze beheerder die het woord suggereert. Ik heb zijn staat van dienst apart uiteengezet: gebouwd in Californië, verantwoording afleggend aan Californië, en bereid zijn positie over de naamruimte voor eigen doelen te gebruiken. Dit was geen privacycampagne vanaf de rand. Het was het establishment dat de root vasthoudt, dat een privacyzaak die het in 2016 al had geregeld nog eens regelt, op een manier die de netwerkbeheerder eruit haalde.

Vraag dus wat de tweede manier toevoegde, want privacy was het niet.

Het enige vakje dat veranderde, is het laatste. DoT draait op zijn eigen poort, 853, dus de beheerder kan zien dat het DNS is en beslissen wat ermee gebeurt: hem naar de gesanctioneerde resolver toelaten, hem elders weigeren. DoH zet dezelfde versleutelde opzoeking op 443 en mengt hem in het web, waar de beheerder hem er niet uit kan pikken.

Dezelfde privacy, dezelfde versleuteling. Het enige verschil tussen de twee standaarden is of degene die het netwerk draait zijn eigen DNS nog kan zien. Dat is geen privacyfunctie. Privacy werd geleverd in 2016. Het is een omzeilfunctie, en het is het enige dat DoH toevoegt.

En ze wisten het. Dit is gedocumenteerd, niet afgeleid. De eigen Operational Considerations van RFC 8484 zeggen het onomwonden: “Filtering or inspection systems that rely on unsecured transport of DNS will not function in a DNS over HTTPS environment due to the confidentiality and integrity protection provided by TLS”⁸.

Die systemen zijn de beveiligingshulpmiddelen die al gebruikers beschermen: malware- en commandoserverblokkering, Protective DNS-overzichten, kinderveiligheidsfilters, bedrijfsinspectie. De standaard noemt ze, in zijn eigen tekst, als de dingen die ophouden te werken. Het breken van gereedschap dat mensen al verdedigde, was een keuze, met open ogen gemaakt en standaard aangezet uitgerold. Het effect kennen en het toch kiezen is een beslissing waarover ze verantwoording kan worden gevraagd.

En daarom overleeft de privacyframing de tijdlijn niet. Zodra DoT bestaat, kan privacy niet de reden voor DoH zijn, want privacy was al gedaan, door dezelfde auteur, twee jaar eerder. Dus privacy was de rookgordijn.

Trek het weg en kijk naar wat de tweede standaard eigenlijk in gang zette: een wapenwedloop. Het nam een controle die één firewallregel was en veranderde hem in een eeuwige achtervolging, resolvers tegen blokkeerlijsten tegen verse resolvers, de beheerder die standaard verliest, en een handvol Amerikaanse bedrijven die aan het eind de leesbare tekst vasthouden.

Noem dat een neveneffect van een privacyfunctie als je wilt. Op grond van het bewijs, met DoT al geleverd en de standaard zelf toegevend dat het filtering zou breken, is het het doel, en privacy was het woord op de doos geschilderd. En het werd hard onder dat woord geduwd, door de partijen die wonnen.

Degenen die het als privacy verkochten, waren de browserleveranciers, en de begunstigden waren niet alleen de gebruikers.

Mag ik vragen waarom, als het doel privacy was, het antwoord niet de versleutelde-DNS-standaard was die al bestond en de beheerder in de lus hield, maar een tweede die zo gebouwd is dat de beheerder hem niet kon zien? Ik vraag niet wie het tekende. Ik vraag welk deel van “privacy” vereiste dat de ene persoon die verantwoordelijk is voor het netwerk eruit werd gesneden.

Want dat is het echte doelwit, en het is de netwerkbeheerder: de professional die verantwoordelijk is voor de beveiliging en de veiligheid van het netwerk, standaard behandeld als de tegenstander. DoH neemt niet eens de bewaking weg waar de privacypitch over klaagde. Zoals Bert Hubert van PowerDNS uiteenzette, werd DNS “typically provided by the operator of a network”, en het standaard naar een derde partij verplaatsen is “a net-negative for privacy for everyone”, want die derde partij “gets a complete log per device of all DNS queries, in a way that can even be tracked across IP addresses”¹⁴.

De opzoekingen zijn niet verborgen. Ze worden aan een Amerikaanse resolveroperator gegeven in plaats van aan de beheerder, en de beheerder is de enige partij die verwijderd wordt. De leveranciers weten het ook. De logica “detecteer een beheerd netwerk en trek je terug” in het volgende deel bestaat juist omdat de standaard de beheerder overstemt, en ze leverden de uit-schakelaar in plaats van de standaard te veranderen.

Vraag nu wie er wint bij het langs de beheerder leiden van DNS. Het uithangbord is de journalist op vijandige luchthaven-wifi, en die persoon is echt. Dat is ook de advertentie- en trackingindustrie, wier domeinen langs de blokkeerlijst van een netwerk wandelen op het moment dat een app of een browser ze over DoH oplost.

Blokkering op netwerkniveau, de Pi-hole, de bedrijfsblokkeerlijst, de filterende resolver, werkt door de naam van een tracker met niets te beantwoorden. DoH is hoe de naam toch beantwoord wordt. En de grootste operator van een publieke DoH-resolver is Google¹⁵, een advertentiebedrijf dat ook DoH in zijn eigen browser levert¹⁶.

Een privacyfunctie, verkocht door het bedrijf dat de tracking verkoopt, waarvan het ontwerp het gereedschap verslaat dat mensen draaien om het te blokkeren. Maak ervan wat je wilt. Ik heb mijn mening bepaald.

Zelfs de grove versie van dit bezwaar werd geuit. In juli 2019 nomineerde de Britse ISP-brancheorganisatie Mozilla als “Internet Villain” voor DoH dat “bypass UK filtering obligations and parental controls, undermining internet safety standards in the UK” zou¹⁷. Ze kozen een onhandig doelwit en een slechter frame, werden weggehoond, en trokken het in.

Haal de politiek eraf, en de waarneming eronder klopte, en ze geldt of de controle die omzeild wordt nu een kinderveiligheidsfilter is, een bedrijfsblokkeerlijst of een Pi-hole in een logeerkamer. DoH is gebouwd om DNS langs wie het netwerk ook draait te krijgen.

En het is geen kleinigheid, want DoH is nu het moeilijkst van de drie om überhaupt te blokkeren. DoT zit op 853, waar een netwerk hem nog kan weigeren. DoH niet, dus van elke manier waarop DNS een netwerk kan verlaten, is het degene zonder handvat, wat het het grootste enkele risico van allemaal maakt.

Dat reikt tot de wet, niet alleen tot beveiliging. In het VK wordt de blokkering die juridisch gewicht draagt bij de ISP door DNS gedaan: de lijst van de Internet Watch Foundation van beeldmateriaal van kindermisbruik, en de auteursrechtelijke bevelen die het High Court onder section 97A afgeeft, worden afgedwongen via DNS- en IP-filtering op de resolver die een klant krijgt¹⁸.

Leid de DNS-helft daaromheen over DoH en de blokkering geldt niet voor die client. Een rechtbank kan een site laten blokkeren, een netwerk kan opgedragen worden het af te dwingen, en een browser die over DoH oplost, vindt het adres toch, over een kanaal dat het netwerk niet kan zien en niet kan sluiten. Het afdwingen van een cyberwet of een gerechtelijk bevel op netwerkniveau, waar het altijd gedaan is, wordt bijna onmogelijk.

En hier belandt de rekening bij iedereen, niet alleen bij het netwerk. Breek de evenredige controle, de chirurgische die een genoemd domein bij de resolver blokkeerde onder een gerechtelijk bevel, en de staat geeft niet op. Hij grijpt naar een botter instrument. De Britse Online Safety Act is dat instrument: brede plichten voor platforms, verplichte leeftijdscontroles, en Ofcom erachter met de boetes, een regime dat elke gebruiker en elke dienst in het land raakt¹⁹.

Ik verdedig de wet niet. Ik wijs op waar de druk ervoor vandaan kwam. Wanneer het smalle gereedschap dat de wet op het netwerk afdwong ophoudt te werken, krijg je niet minder handhaving, je krijgt grovere, bredere, indringender handhaving gericht op iedereen, want de gerichte versie houdt niet meer stand. Dat is de prijs van het breken van een basiscontrole, en de mensen die het braken zijn niet degenen die betalen.

En het kan ICANN niets schelen, want vanuit Californië is het niet hun probleem. Wanneer een blokkade faalt of een platform zijn plichten schendt, is het niet ICANN dat voor de rechter komt, maar de beheerder, het platform, het bedrijf, die zich tegenover Ofcom en de boetes moeten verantwoorden. De gevolgen komen terecht bij iedereen stroomafwaarts van een besluit waarvoor de instantie die het nam zich nooit hoeft te verantwoorden.

Zet de gevolgen op een rij en ze hebben allemaal dezelfde vorm: een ding dat het netwerk vroeger bij de resolver afdwong, en niet langer kan.

DoT was het eerlijke antwoord. Het versleutelt je DNS en laat de beheerder in staat zijn werk te doen. DoH hield de versleuteling en voegde er één ding bovenop toe: de beheerder kan het niet meer zien. Al het andere eraan is stroomafwaarts van die ene keuze.

Gemaakt In De VS, Overal Elders Uitgevochten

Niets hiervan houdt op bij het Kanaal, en het lezen als een Brits probleem verkleint het tot een fractie van zijn omvang. Dezelfde vorm loopt dwars door heel Europa en tot in Australië. Een juridisch instrument erin aan de ene kant, een DNS-blokkade op het netwerk aan de andere.

Australië laat zijn Federale Rechtbank de ISP’s opdragen de toegang tot buitenlandse inbreukmakende sites onmogelijk te maken onder section 115A van de Copyright Act²⁰. Portugal slaat de rechter volledig over: een administratief memorandum waaronder rechthebbenden een instantie genaamd MAPINET op de hoogte brengen, en de ISP’s binnen vijftien werkdagen via DNS blokkeren²¹. Verschillende wetten, één dragende aanname, en het is de aanname die DoH onder al die wetten vandaan schopt. Dat de client resolveert via de resolver die hem is aangereikt.

Kijk dus wat een staat doet wanneer die aanname faalt. Hij leunt niet langer op de ISP en begint de publieke resolvers zelf op te dragen het verkeerde antwoord terug te geven. Dat is geen voorspelling. Het is een stapel vonnissen, en die wordt hoger.

Lees dat als één ding, niet vijf. Een handvol Amerikaanse bedrijven herschreef DNS voor de hele planeet op eigen gezag, brak de proportionele controle die elk van deze landen had opgebouwd, en liet de rechtbanken uitzoeken wat ze met de brokstukken aan moesten. De antwoorden die die bedrijven geven, om de paar maanden voor een andere rechter gesleept, vertellen je precies hoe zwaar de rest van de wereld voor hen weegt. Eén gaat in beroep en roept censuur. Eén laat de opzoeking mislukken en vertelt de gebruiker niets. En OpenDNS, de resolver die twintig jaar lang stilletjes malware filterde en die deze post al als het na te volgen model heeft opgevoerd, betoogt helemaal niet. Hij zet zichzelf uit voor Frankrijk en voor Portugal in plaats van ze onder die voorwaarden te bedienen²⁶.

Blijf even bij dat laatste stil. Het is het goede voorbeeld in dit hele stuk dat de kamer uit loopt. De dienst die mensen beschermde die nooit iets instelden, vindt nu een heel land makkelijker te verlaten dan te bedienen, en de reden gaat rechtstreeks terug op een ontwerpbeslissing genomen in Californië door mensen die nooit hoefden na te denken over een Franse rechtbank of een Portugese.

Dat is het patroon, en ik zal het benoemen. Dit is wat Amerikaanse platformengineering doet met overal wat niet de Verenigde Staten is. Het bouwt voor de eigen markt, levert het resultaat aan de wereld als de standaard, en behandelt de wet van elk ander land, elke toezichthouder, elke gemeenschap die stroomafwaarts van de verandering achterblijft, als andermans rommel om op te ruimen.

En de eigen regering steunt de bedrijven tot het uiterste. In februari 2025 zette het Witte Huis zijn naam onder een memorandum dat de digitale wetten van andere landen bestempelt als “afpersing in het buitenland” van Amerikaanse bedrijven, met de VK en de EU met naam genoemd en de handelsgezant op tarieven gericht bij wijze van antwoord²⁷. Zes maanden later schreef een Amerikaanse toezichthouder een dozijn Amerikaanse techbedrijven aan met de waarschuwing dat het naleven van de Britse Online Safety Act of de Digital Services Act van de EU zelf de Amerikaanse wet zou kunnen overtreden²⁸. Lees dat twee keer. Het land waarvan de bedrijven de controles braken, vertelt die bedrijven nu dat het voldoen aan het antwoord van een andere democratie op de breuk het vergrijp is.

Dat zegt alles. Een wet aangenomen door een gekozen parlement in Westminster of Brussel wordt, vanuit Washington, opnieuw bestempeld als een aanval op Amerika, en de bedrijven krijgen te horen hem te negeren. Het is niet dat ze de rest van de wereld hebben afgewogen en ertegen kozen. De rest van de wereld stond nooit op de weegschaal.

De Oplossing Is Niet Versleuteling Verbieden

De luie conclusie is dus “blokkeer DoH”, en die is fout, op dezelfde manier als “blokkeer ICMP” fout is op de firewall. Je wilt onversleutelde DNS niet terug. Leesbare opzoekingen op poort 53 zijn een echte blootstelling en ernaar teruggaan om zicht terug te winnen, is het ene gat ruilen voor het andere.

Wat je eigenlijk kwijtraakte, was niet de versleuteling. Het was de keuze van de resolver. Neem die dus terug en laat de versleuteling precies waar hij is.

De vorm is dezelfde die de DNS in een Active Directory-domein oplost: het argument is nooit “zet de functie uit”, het is “beslis wie hem mag besturen”. Hier is wat dat in delen betekent.

Draai zelf versleutelde DNS. Zet een resolver op die DoH en DoT bedient, niet alleen poort 53, zodat een client die versleuteling wil, die van jou krijgt. Je kunt clients niet “geen DoH” zeggen en het menen terwijl je geen eigen versleutelde resolver aanbiedt. Geef ze er een, en houd de blokkeerlijst, het dreigingsoverzicht en het loggen erop zoals voorheen.

Kondig hem aan, zodat clients hem bewust vinden. Discovery of Designated Resolvers (RFC 9462) laat een client een speciale naam bevragen, de eigen versleutelde resolver van zijn netwerk leren, en daartegen automatisch opwaarderen naar DoH of DoT²⁹. Een DDR-bewuste client versleutelt dan zijn DNS en gebruikt de jouwe: de privacy die de gebruiker wilde en de controle die jij nodig had, in één zet.

Beantwoord de eigen uit-schakelaar van de browser. Firefox controleert een kanariedomein, use-application-dns.net, voordat hij DoH standaard aanzet: beantwoord het met NXDOMAIN of SERVFAIL en Firefox trekt zich terug naar de systeemresolver³⁰. Twee eerlijke grenzen, allebei in Mozilla’s eigen woorden. De kanarie “only applies to users who have DoH enabled as the default option. It does not apply for users who have made the choice to turn on DoH by themselves”³⁰. Dus het is een standaard-uit-signaal, geen slot, en het doet niets bij de app en de malware, die de browser nooit iets vroegen.

Stel het browserbeleid in waar je de machine beheert. Op een apparaat dat je bezit, vertrouw niet op de kanarie. Chromes DnsOverHttpsMode neemt off, automatic en secure, en Googles documentatie stelt dat waar het niet ingesteld is, “for managed devices DNS-over-HTTPS queries will not be sent”³¹; Chrome schakelt zijn eigen auto-DoH uit zodra het een bedrijfsbeleid ziet¹⁶. Wijs het naar je resolver, of zet het op off en laat DDR de versleuteling dragen. Firefox heeft de bijpassende knoppen Enabled, ProviderURL en Locked³². Beheerde machine, beheerde beslissing, en de rij die je echt kunt sluiten.

Weiger de alternatieven aan de grens. De regels zijn kort, en ze zeggen allemaal hetzelfde: DNS van welke soort dan ook, naar buiten, alleen vanaf je resolver.

Je vangt niet elk DoH-eindpunt via adres, en dat kun je ook niet, want een nieuwe is gewoon een webserver en er komt geen einde aan webservers. Sta dus even stil bij wat die blokkering nu kost. Om voor DoH te doen wat block 53 outbound gratis deed, haal je een lijst van DoH-serveradressen die iemand anders voor je blijft scannen: de onderhouden blokkeerlijsten bestaan omdat dit de enige manier is die overblijft, en een ervan lost elk bekend publiek DoH-domein elk uur opnieuw op naar zijn actuele IP’s, per geplande taak, en verstuurt de wijzigingen³³. Dat is de ruil die de omzeiling afdwong.

Een controle die één statische regel was, is nu een abonnement op een bewegend doelwit, jagend op webservers die iedereen sneller kan opzetten dan een lijst ze kan benoemen. Protective DNS sluit het andere eind: wijs de upstream van je resolver naar een filterdienst zoals de PDNS van de NCSC, die “was built to hamper the use of DNS for malware distribution and operation”³⁴, en de slechte domeinen worden geweigerd voordat de verbinding tot stand komt, voor elke client die via je resolver komt, wat, zodra deze regels op hun plaats staan, ze allemaal zijn.

Zet die tegen de vijf rijen van eerder, en elk ervan heeft een controle die het sluit. Dat is de test van een oplossing: niet “hebben we DoH geblokkeerd”, maar “voor elk ding dat een resolver kan kiezen, wat belet het de verkeerde te kiezen”.

Niets daarvan schakelt ook maar een bit versleuteling uit. Clients krijgen nog steeds DoH, ze krijgen het alleen van jou, en degenen die het ergens anders vandaan proberen te halen, lopen tegen een muur. De privacy is intact en de controle is terug. Als zodanig is het enige dat iemand kwijtraakte de vrijheid om een resolver te kiezen die je nooit goedkeurde, en die was nooit van hen op een netwerk waar jij verantwoordelijk voor bent.

Mag Ik Vragen Wat Die Resolver Koos

Hier is de vraag om te stellen aan iedereen die je vertelt dat het netwerk prima is zoals het is.

Wanneer een machine op je netwerk een naam oplost, wat besliste welke resolver antwoordde? Als het eerlijke antwoord “wat het OS ook maar kreeg” is, goed, maar alleen als je de andere vier rijen van die tabel gesloten hebt, want anders is het “wat het OS ook maar kreeg, tenzij de browser, een app, een webpagina of iets kwaadaardigers iets anders koos, in welk geval ik geen idee heb en geen registratie”. Dat is geen DNS-opzet. Dat is een hoop, en hoop vangt nowt.

Ik vraag niet wie de resolver draait. Ik vraag wat, op elke machine, hem mag kiezen, en of je de resolver zou kunnen noemen waar gisteren elke opzoeking heen ging. Op een netwerk waar DoH onbeheerd is, kun je dat niet, en het gat is elke app die zijn eigen resolver meedraagt, elke pagina die een gebruiker opent, en elk stuk malware dat hetzelfde onderzoek las dat ik zojuist linkte. Drie met naam genoemde dreigingsactoren bouwden hun kanalen op precies dit gat, en één legt verantwoording af aan een overheid.

Een protocol dat de keuze van de resolver van het netwerk afneemt, zou altijd een cadeau zijn aan wie het netwerk ook probeerde te bewaken, en het tegendeel voorwenden omdat de marketing “privacy” zei, is hoe een controle die ertoe deed standaard uitgezet wordt en niemand de dag logt waarop het gebeurde.

Versleutel je DNS. Draai zelf de resolver. Kondig hem aan, beantwoord de kanarie, stel het beleid in, sluit de grens. Houd de versleuteling en houd de keuze. Je kunt allebei hebben, en als je netwerken draait voor de kost, is allebei hebben het werk.

Privacy Was Het Woord Op De Doos

Dus alle eer waar die verdiend is. Dank aan ICANN, het Amerikaanse orgaan dat de root vasthoudt en dit van binnenuit mede schreef, voor het nog eens draaien van het Amerikaanse tech-draaiboek: neem een probleem dat al was opgelost, wikkel de oplossing in een deugdzaam woord, en centraliseer het resultaat op een handvol Amerikaanse bedrijven die uiteindelijk de leesbare tekst vasthouden.

En het is altijd de VS. Het orgaan dat de root vasthoudt, de resolver waar twee browsers nu standaard naar wijzen, het advertentiebedrijf dat de grootste publieke draait, het land waar de leesbare tekst belandt: Amerikaans, elke keer. Het is een patroon, geen reeks van pech.

Privacy was de rookgordijn. DNS was versleuteld, privé en nog bestuurbaar op poort 853 in 2016, en iedereen die ertoe deed wist het. Wat het establishment daarbovenop leverde, was een protocol gebouwd om de ene persoon die verantwoordelijk is voor het netwerk blind te maken, een eeuwige wapenwedloop van blokkeerlijsten die per uur opnieuw gescand worden, en gerechtelijke bevelen die dood lopen bij de browser.

Of dat onbekwaamheid of hebzucht was, laat ik jou beslissen, al wijst de staat van dienst die ik linkte één kant op. Hoe dan ook won het van het gezond verstand.

En beslissingen als deze zijn waarom de oproepen om de root bij ICANN weg te halen blijven terugkomen, en waarom ze aankomen: zodat de internationale gemeenschap een stem krijgt, in plaats van de instelling van één land die de DNS voor de rest van iedereen beslist en het beheer noemt.

Vroeger deden we dit allemaal met één regel.