DNS over HTTPS 是什麼？加密DNS怎麼開（Chrome、Android、iPhone）

你每次輸入網址，裝置都會先問一台 DNS 伺服器「這個網域對應哪個 IP 位址」。傳統的 DNS 查詢沒有加密，查詢內容在路上很容易被看見。DNS over HTTPS，簡稱 DoH，就是把這段查詢包進加密的 HTTPS 連線裡。本文說明它的原理、能保護什麼、不能保護什麼，以及在常見裝置上怎麼開。

快速摘要

• 傳統 DNS 的查詢是明文，途經的網路設備都有機會看見你查了哪些網域。
• DoH 把查詢放進 HTTPS 中傳送，讓路上的人比較難看到查詢內容。
• DoH 不會隱藏 IP 位址，也不會讓網站無法辨識你。
• Chrome 可以只為瀏覽器開啟安全 DNS；Android 使用「私人 DNS」；iPhone 通常需要安裝描述檔。
• 選擇服務商時，仍要閱讀對方的隱私說明，因為查詢最後還是交給它處理。

傳統 DNS 查詢為什麼會被看見

DNS 查詢原本設計時並沒有加密機制。你的裝置把網域名稱送給 DNS 伺服器，回應的 IP 位址也是明文傳回。這表示在查詢的路線上，例如你的 Wi-Fi 業者、電信業者或網路閘道，都有機會看到你查了哪些網域。

這也是為什麼電信業者即使沒有看到網頁內容，仍然可能知道你去過哪些網站。想進一步了解這件事，可以閱讀 ISP是什麼？電信業者看得到你上哪些網站嗎。

DoH 與 DoT 的差別

目前最常見的加密 DNS 有兩種：

• DNS over HTTPS（DoH）：查詢透過 HTTPS 連線傳送，從外部看起來和一般網頁連線相似，因此比較不容易被辨識。
• DNS over TLS（DoT）：查詢透過 TLS 加密通道傳送，使用獨立的連接埠。Android 的「私人 DNS」就是這種做法。

兩者的目標相同，都是讓查詢內容不被路上的人直接讀取。實際能用哪一種，取決於你的服務商、系統與瀏覽器支援的範圍。

DoH 能保護什麼，不能保護什麼

加密 DNS 能處理的是「查詢」這一步。它能做到的事情包括：

• 降低路上的設備直接看到你查詢網域內容的機會。
• 避免查詢被竄改或偽造，降低被導向錯誤頁面的風險（視服務與設定而定）。

它做不到的事情也很重要：

• 網站仍然能看到你的 IP 位址，因為連線本身從你的裝置發出。
• 瀏覽器的 Cookie、登入狀態與帳號資料，不會因為 DNS 加密而消失。
• 連線時，部分網站的網域仍可能在 TLS 的交握資訊中出現，這取決於瀏覽器與網站是否支援較新的加密機制，本文不展開。
• 你的查詢仍交給某一家服務商處理，所以選擇對象與閱讀其隱私政策仍然必要。

若想了解不同 DNS 服務的差異，可以參考 中華電信DNS設定與公共DNS比較。

Chrome 怎麼開

Chrome 的安全 DNS 只影響瀏覽器本身，不會改變整台電腦的 DNS 設定。

1. 打開 Chrome，點右上角的三個點，選擇「設定」。
2. 點選「隱私權和安全性」，再點選「安全性」。
3. 找到「使用安全 DNS」，開啟後選擇「使用目前的服務供應商」或「自訂」，並挑選要用的服務。

若你的網路環境或某些網站出現異常，可以把這個開關關掉。官方說明可參考 Chrome 說明中心。

Android 怎麼開

多數 Android 9 以後的機型都有「私人 DNS」功能，使用 DNS over TLS。

1. 打開「設定」，點選「網路和網際網路」（部分機型為「連線」）。
2. 點選「私人 DNS」。
3. 選擇「私人 DNS 供應商主機名稱」，輸入服務商提供的主機名稱，例如 dns.google、one.one.one.one，或 dns.quad9.net。
4. 按「儲存」。

主機名稱輸入錯誤時，網路可能無法解析網址。把這個選項改回「自動」或「關閉」，即可恢復原狀。

iPhone 怎麼開

iPhone 的系統設定沒有直接輸入加密 DNS 網址的欄位，比較常見的做法是安裝 DNS 服務商提供的描述檔。描述檔只應從服務商的官方網站或官方 App 取得。

1. 用 Safari 開啟服務商的官方說明頁，下載描述檔，並按「允許」。
2. 打開「設定」，點選「一般」，再點選「VPN 與裝置管理」。
3. 在描述檔列表點選剛下載的項目，按「安裝」，依提示完成。
4. 回到同一頁確認描述檔已安裝。

要停用時，在同一頁選擇該描述檔並移除即可。若只想針對單一 Wi-Fi 指定 DNS，而不是加密查詢，請看 DNS設定教學 中的 iPhone 說明。

其他瀏覽器與系統的做法

• Firefox：在「設定」中選擇「隱私權與安全性」，捲到最下方找到「DNS over HTTPS」區塊。
• Edge：在「設定」中選擇「隱私權、搜尋和服務」，再到「安全性」中找到「使用安全 DNS」。
• Windows：部分版本可以在網路介面的 DNS 設定中啟用加密選項，名稱依版本而異。

各系統與瀏覽器的版本不同，選單文字也會有差異，以你的畫面為準。

開啟後要檢查什麼

• 網站能否正常打開。 逛幾個常用網站，確認沒有異常。
• App 能否連線。 部分 App 可能有自己的網路設定，若無法連線，先暫時關閉加密 DNS 測試。
• 服務商的說明是否清楚。 選擇對象時，確認它的隱私政策與支援的加密方式。
• 不要以為它就等於隱私工具。 加密 DNS 只是整體隱私設定中的一環，Cookie、帳號安全與 IP 位址仍需要另外處理。

如果你想先理解 IP 位址本身會透露什麼，可以讀 IP位址是什麼？。若想進一步隱藏 IP，請看 VPN 能藏什麼、不能藏什麼。

重點整理

• DoH 把 DNS 查詢放進 HTTPS 中，讓查詢內容比較不容易被路上的人看見。
• DoT 與 DoH 目標相同，但使用的通道與連接埠不同。
• 加密 DNS 不會隱藏 IP 位址，也不能取代 VPN。
• Chrome 可以只為瀏覽器開啟安全 DNS，Android 使用私人 DNS，iPhone 通常需要描述檔。
• 選擇服務商時，仍要閱讀其隱私政策，因為查詢最後交給它處理。