2026年7月24日

DNS over HTTPS（DoH）の設定方法｜ブラウザ・Windows・Linuxでの有効化と確認

DNS・メールサーバー

DNS over HTTPS（DoH）は、DNS の問い合わせを HTTPS で暗号化して送る仕組みです。ブラウザなら設定画面で「セキュア DNS」を有効にし、使う DNS サービスを選ぶだけで使い始められます。この記事では、DoH で守れるものと守れないもの、Firefox・Chrome・Windows 11・Linux での設定手順、実際に DoH で問い合わせているかの確認方法、社内ネットワークなどで起きやすい問題を解説します。

DoHで守れるもの・守れないもの

通常の DNS 問い合わせは、UDP の53番ポートを暗号化なしで流れます。同じネットワークにいる人や経路の途中の機器から、どのサイトの名前を調べたかが見え、応答を書き換えられる余地もあります。DoH（RFC 8484）は、この問い合わせを HTTPS（通常は443番ポート）の通信に乗せることで、利用者と DNS サービスの間を暗号化します。

一方で、次の点は DoH では変わりません。

DNS サービスの運営者には問い合わせ内容が見える：暗号化されるのは途中の経路だけです。どの事業者に問い合わせを任せるかが重要になり、各サービスのプライバシーポリシーを読んで選ぶ必要があります
接続先のサイトはほかの情報からも分かる：接続先の IP アドレスや、TLS 接続の最初に送られるホスト名（SNI）は、別の仕組み（Encrypted Client Hello など）がなければ見えます
DNS の答えそのものが正しいかの保証ではない：DoH は「DNS サービスとの通信」を守るもので、権威 DNS の情報が改ざんされていないかを検証するのは DNSSEC の役割です

似た仕組みに DNS over TLS（DoT、853番ポート）があります。役割はほぼ同じで、DoT は専用ポートを使うためネットワーク管理者から識別しやすく、DoH は通常の HTTPS と区別しにくい、という違いがあります。

DoHに対応した主なDNSサービス

代表的な公開 DNS サービスの DoH の接続先（テンプレート URL）は次のとおりです（2026年10月現在）。

Cloudflare（1.1.1.1）：https://cloudflare-dns.com/dns-query
Google Public DNS（8.8.8.8）：https://dns.google/dns-query
Quad9（9.9.9.9）：https://dns.quad9.net/dns-query

マルウェア配布サイトのブロックや、保護者向けのフィルタリングを行う別の接続先を用意しているサービスもあります。URL や提供内容は変わることがあるため、各サービスの公式ページで確認してから設定してください。

ブラウザで設定する

ブラウザの設定は、そのブラウザの通信だけに効きます。ほかのアプリや OS 全体には影響しません。設定画面の項目名はバージョンによって変わるので、見つからないときは設定画面の検索欄で「DNS」と入力すると探しやすくなります。

Firefox

設定の「プライバシーとセキュリティ」に DNS over HTTPS の項目があり、保護の強さを段階で選べます。標準の段階では、ネットワーク側が DoH を無効にするよう求めている場合や、DoH で名前解決に失敗した場合に通常の DNS へ戻ります。最も強い段階を選ぶと、DoH が使えないときに通常の DNS へ戻らなくなるため、より安全な一方で、社内の名前が引けないなどの問題が起きやすくなります。DNS サービスは一覧から選ぶか、URL を直接入力して指定します。

Chrome・Edge

Chrome は設定の「プライバシーとセキュリティ」→「セキュリティ」に「セキュア DNS を使用する」があります。既定では、OS に設定されている DNS サービスが DoH に対応していれば自動で切り替える動作です。特定のサービスを使いたい場合は、一覧から選ぶか、カスタムとして URL を入力します。Edge も同様の項目を持っています。会社や学校で管理されている端末では、管理者のポリシーによってこの設定が変更できないことがあります。

Windows 11で設定する

Windows 11 では、OS の DNS 設定として DoH を使えます。こちらはブラウザ以外のアプリにも効きます。

「設定」→「ネットワークとインターネット」から、使っている接続（Wi-Fi またはイーサネット）を開く
「DNS サーバーの割り当て」の編集を選び、手動に切り替える
IPv4（必要なら IPv6）の DNS サーバーに、DoH 対応サービスの IP アドレス（例：1.1.1.1）を入力する
DNS over HTTPS の項目をオンにし、テンプレートを自動にするか、上記の URL を入力する

Windows は代表的なサービスの IP アドレスと DoH の URL の組み合わせをあらかじめ知っており、自動で使えることがあります。一覧にないサービスは、管理者権限のコマンドで登録します。

netsh dns add encryption server=1.1.1.1 dohtemplate=https://cloudflare-dns.com/dns-query
netsh dns show encryption

画面の表記や手順は Windows の更新で変わることがあります。設定後に名前解決ができなくなった場合は、DNS サーバーの割り当てを自動（DHCP）に戻せば元の状態に戻ります。

Linuxサーバーで使う場合

Linux では、多くのディストリビューションで使われている systemd-resolved が DoT に対応していますが、DoH には対応していません（2026年10月現在）。サーバー用途で経路を暗号化したいだけなら、DoT を使う方が手軽です。

# /etc/systemd/resolved.conf.d/dot.conf
[Resolve]
DNS=1.1.1.1#cloudflare-dns.com 9.9.9.9#dns.quad9.net
DNSOverTLS=yes

sudo systemctl restart systemd-resolved で反映し、resolvectl status で設定を確認します。DNSOverTLS=yes は DoT が使えないと名前解決に失敗するため、まずは opportunistic で試し、問題がなければ yes にする進め方もあります。

DoH を使いたい場合は、dnscrypt-proxy のような、ローカルで通常の DNS を受けて DoH に変換するソフトウェアを入れ、OS の DNS の向き先をそのソフトウェアにします。ただし、データセンター内の DNS を使う方が速く安定していることも多く、WordPress を動かすサーバーで DoH が必要になる場面は多くありません。導入する場合はステージング環境で試し、更新やプラグインのダウンロードなど外部への通信が問題なく動くかを確認してください。

DoHで問い合わせているか確認する

curl は DoH の接続先を指定して名前解決できます。

# DoH で名前解決してからアクセスする
curl --doh-url https://dns.google/dns-query -I https://example.com/

# JSON 形式で答えを見る（Google Public DNS の例）
curl -s "https://dns.google/resolve?name=example.com&type=A"

ブラウザの設定が効いているかは、Cloudflare を使っている場合は https://1.1.1.1/help を開くと、DoH を使っているかどうかが表示されます。Firefox では about:networking#dns を開くと、名前解決の一覧に DoH（TRR）を使ったかどうかの列があります。

よくある問題

社内のサーバー名やイントラネットが開けない：社内専用の名前は社内の DNS にしか登録されていません。ブラウザや OS が外部の DoH サービスを直接使うと、こうした名前が引けなくなります。社内では社内 DNS を使い、DoH は管理者の方針に合わせて設定します。

公衆 Wi-Fi のログイン画面が出ない：ホテルや駅の Wi-Fi は、DNS を使ってログイン画面に誘導することがあります。いったん DoH を無効にするか、通常の DNS へ戻る設定にしてからログインします。

フィルタリングが効かない：家庭や学校の DNS フィルタリングは、DoH を使うと迂回されることがあります。Firefox は、ネットワーク側が特定のドメイン（use-application-dns.net）で合図を出すと、自動の DoH を無効にする仕組みを持っています。

まとめ

DoH は DNS の問い合わせを HTTPS で暗号化し、経路上での盗み見や改ざんを防ぐ
DNS サービスの運営者には問い合わせ内容が見えるため、信頼できる事業者を選ぶ
ブラウザの設定はそのブラウザだけに、Windows 11 の設定は OS 全体に効く
Linux サーバーでは systemd-resolved の DoT の方が手軽で、DoH は変換ソフトウェアが要る
社内 DNS・公衆 Wi-Fi・フィルタリングとの相性を確認し、問題があれば通常の DNS に戻せるようにしておく