DNS-over-HTTPS, o DoH, è un modo per inviare query e risposte DNS all'interno del traffico HTTPS. Invece di usare il DNS in chiaro sulla porta 53, il resolver incapsula il messaggio DNS in una normale richiesta web. Questo protegge il contenuto DNS dagli osservatori passivi della rete e rende più difficile alterarlo durante il transito.
DoH è importante perché modifica sia i controlli di privacy sia quelli di sicurezza. Può ridurre la visibilità locale del DNS per i difensori, ma crea anche un nuovo confine di parsing: il server deve gestire correttamente HTTP, TLS e il payload DNS. Gli aggressori possono prendere di mira quel confine con richieste malformate per causare un denial of service o, nei casi peggiori, bug di sicurezza della memoria. Le difese includono l'applicazione di patch ai resolver, la limitazione di chi può raggiungere gli endpoint DoH, il monitoraggio di pattern anomali nelle richieste e il trattamento di DoH come un servizio distinto che richiede propri controlli di accesso e registrazione.