DNS over HTTPSとは何か

DoHで保護しやすくなる情報

• DoHリゾルバーまでのDNS問い合わせ
• 経路上の第三者によるDNS問い合わせの読み取り
• 経路上でDNS応答を書き換えられるリスクの一部

DoHを使っても、DoHリゾルバーは問い合わせを受信します。

リゾルバーの保存期間、利用目的、第三者提供、削除方法は、事業者の公式プライバシー方針で確認してください。

DoHで保護されない情報

• HTTPSで保護されていないウェブ通信の内容
• DoHリゾルバーから先の通信全体
• 端末のマルウェア、入力内容、画面、Cookie
• 偽サイトへのアクセスや、偽サイトへの情報入力
• 実際の接続先IPアドレスや、他の経路から推測される情報
• 組織やネットワーク管理者が別の仕組みで取得する情報

DoHはDNS問い合わせの保護を担います。

通信内容はHTTPS、端末はOSやセキュリティ機能、アカウントは認証と復旧手段で別に保護します。

Chromeで設定する場合

次は、セキュアDNSの項目が表示されるパソコン版Chromeの個人環境での確認です。Google Chromeヘルプ（パソコン）を基準にします。

管理対象の端末や、保護者による使用制限が有効な環境では、この機能を使えないとGoogleは案内しています。項目がない、変更できない場合は制限を外さず管理者へ確認します。

1. 右上のその他アイコンから「設定」→「プライバシーとセキュリティ」→「セキュリティ」を開きます。
2. 「詳細設定」の「セキュア DNS を使用する」を確認し、変更前のオンとオフ、選択されているプロバイダを控えます。
3. 設定を変更する場合は、オンとオフに加え、現在のサービスプロバイダを使うか、一覧からカスタムのプロバイダを選ぶか確認します。使う相手の方針はDNSリゾルバーの選び方で確認してください。

ChromebookはChromeOSの設定へ移る案内があります。このパソコン向けの画面を、AndroidやiPhoneの共通手順にはしません。

自動モードとカスタム指定の違い

• 自動モード：Googleの案内では既定でオンです。名前の検索に問題があると、非暗号化DNSへ切り替わります。オンの表示だけで、すべての問い合わせが暗号化されたとは判断しません。
• カスタム指定：Googleの案内では、問題があるときに非暗号化モードを既定として使いません。プロバイダの設定や接続条件に問題があると、サイトを開けない場合があります。

Chromeのこの設定だけで、ほかのアプリやOS全体のDNS設定が同じになるとは判断できません。保護できる情報と保護できない情報、VPNとの違いも確認します。

Edgeで設定する場合

Edgeには、セキュアDNSを有効にし、ウェブサイトのネットワークアドレスを問い合わせる方法を指定する設定があります。

Microsoftの公式案内では、Edgeの設定からプライバシー、検索、サービス、セキュリティの順に開いてセキュアDNSを設定します。

表示名と場所は更新されるため、利用中のEdgeの公式ヘルプを確認してください。

Firefoxで設定する場合

Firefoxには、プライバシーとセキュリティにDNS over HTTPSの設定があります。

保護モード、リゾルバー、企業ネットワークでの例外などが表示される場合は、設定の意味を確認してから変更します。

Mozillaの公式ヘルプで、利用中のバージョンに対応した手順を確認してください。

WindowsでDoHを設定する場合

Windows 11の手動DNS設定では、DNS over HTTPSをオフ、オン（自動テンプレート）、オン（手動テンプレート）から選べます。

フォールバックを許可すると、DoHで送れない場合に平文DNSへ切り替わるため、暗号化されない問い合わせを送らない設定と区別してください。

Windowsのエディションや更新状況で画面が変わるため、利用中の公式設定画面で確認します。

AndroidのプライベートDNSを確認する場合

Androidの「プライベートDNS」は、Androidが提供するDNS over TLS（DoT）の機能です。

DoTはDNS問い合わせをTLSで保護する方式であり、HTTPSで運ぶDoHとは通信方式が異なります。

Googleの公式案内では、Pixelの設定から「ネットワークとインターネット」「プライベートDNS」を開き、「オフ」「自動」「プライベートDNSプロバイダのホスト名」を選びます。

プライベートDNSが保護するのはDNSに関するやり取りだけで、ウェブ通信全体を保護するVPNではありません。

Androidのバージョンやメーカーで設定名が異なるため、端末の公式ヘルプも確認してください。

Safari、macOS、iOSで設定する場合

Safariの設定画面だけで、すべての環境に同じDoH設定を行えるとは限りません。

macOSやiOSでは、OSの設定、構成プロファイル、管理機能、専用アプリなど、採用する方法によって対象範囲が変わります。

構成プロファイルを入れる場合は、配布元、署名、対象範囲、削除方法を確認します。

Appleの管理対象端末では、DNS設定ペイロードを使ってDoHまたはDoTを指定できます。

Appleの企業向けネットワーク案内にも、iOS、iPadOS、macOSなどがDoH用のAppleホストへ接続する説明があります。

仕事用端末や学校の管理端末では、管理者の許可なくプロファイルやDNS設定を追加しません。

Appleの公式サポートと、利用中のDNSサービスが提供する公式手順を照合してください。

Chromeで接続できないときは、変更前の設定へ戻す

「サーバーの IP アドレスが見つかりませんでした」などのエラーが出ても、DoHだけが原因とは限りません。Googleは、プロバイダの設定確認やセキュアDNSをオフにする方法を案内しています。

1. 個人で変更したChromeでは、上の「セキュリティ」→「詳細設定」から「セキュア DNS を使用する」を開き直します。
2. 控えた変更前のオンとオフ、プロバイダへ戻します。カスタム指定をやめることと、セキュアDNSそのものをオフにすることは分けて確認します。
3. 変更前の値が分からなければ、プロバイダの公式案内や管理者へ確認します。自分で管理する端末で一時的にオフにして切り分ける場合も、ChromeのセキュアDNSによる暗号化を使わない設定になる点を確認してください。

社内サイトや家庭のフィルタリングが関係する場合は、管理者や利用するサービスの方針を確認します。組織の指定先を別のプロバイダへ置き換えたり、制限を外したりして解決を試みません。

戻した後は、表示とサイトの動作を分けて確認する

1. 設定画面を開き直し、オンとオフ、選択先が変更前と同じか確認します。
2. 普段使う公式サイトと、必要な社内サイトなどを開き直し、同じエラーが続くか確認します。ログイン情報を入れ直す前に、正しいURLを開いていることも確認してください。
3. 改善しない場合は、エラーの表示、発生時刻、変更と復旧の内容を控え、ネットワーク管理者やプロバイダへ相談します。DNS設定やOS全体の初期化を続けて試さないでください。

確認できた範囲：設定表示を元へ戻し、必要なサイトが開くかを確認しています。サイトが開いたことだけで、DNS問い合わせの暗号化や通信全体の匿名化を検証できたとはいえません。