VPN czy DNS-over-HTTPS: co lepiej chroni prywatność w 2026?

Czego tak naprawdę chcesz chronić w 2026?

Przed wyborem między VPN a DNS-over-HTTPS dobrze jest doprecyzować, co konkretnie ma być chronione: tożsamość, treść komunikacji, historię odwiedzanych stron, a może po prostu spokój od śledzących reklam? Inne narzędzie sprawdzi się, gdy celem jest oglądanie zagranicznego Netflixa, a inne, gdy chodzi o komunikację w kraju z mocną cenzurą.

Anonimowość, prywatność i bezpieczeństwo – trzy różne cele

Te trzy pojęcia często są wrzucane do jednego worka, a w praktyce oznaczają co innego:

• Prywatność – jak mało inni wiedzą o tym, co robisz online (jakie strony odwiedzasz, o której godzinie, z jakiego urządzenia).
• Anonimowość – jak trudno powiązać twoją aktywność z konkretną osobą (imieniem, nazwiskiem, kontem u operatora).
• Bezpieczeństwo – jak dobrze chronisz się przed atakami (kradzież kont, malware, przechwycenie danych logowania).

VPN i DNS-over-HTTPS (DoH) najmocniej wpływają na prywatność, trochę na anonimowość, a tylko pośrednio na bezpieczeństwo. Nie zastąpią antywirusa, aktualizacji systemu czy zdrowego rozsądku przy otwieraniu załączników.

Najczęstsi „podglądacze” twojej aktywności

Z perspektywy 2026 roku internet jest domyślnie dużo mocniej szyfrowany niż w 2020, ale liczba podmiotów próbujących cię profilować znacząco wzrosła. Uproszczając, o twoim ruchu mogą coś wiedzieć:

• Operator internetu (ISP, komórkowy, dostawca światłowodu) – zna twój adres, dane meldunkowe i przypisane IP.
• Administrator sieci lokalnej – np. w akademiku, biurze, kawiarni; widzi ruch na routerze lub kontrolerze Wi-Fi.
• Reklamodawcy i platformy – Google, Meta, systemy reklamowe, sieci afiliacyjne; śledzą cię przez ciasteczka, fingerprinting przeglądarki i logowanie.
• Państwo / służby – mogą żądać logów od operatorów, dostawców VPN, dużych serwisów.
• Cyberprzestępcy – próbują przechwycić sesję, hasła, podszyć się pod sieć Wi-Fi, zainfekować urządzenie.

VPN oraz DNS-over-HTTPS ograniczają to, co widzą pierwsze dwie grupy. Na reklamodawców i śledzenie przeglądarkowe wpływają znacznie słabiej – tu potrzebne są inne techniki (blokery trackerów, tryby prywatne, oddzielne przeglądarki).

Jak zmienił się krajobraz prywatności od 2020 do 2026

Od kilku lat HTTPS stał się praktycznie standardem. Nawet małe blogi i sklepy korzystają z darmowych certyfikatów. To oznacza, że treść większości stron (formularze, loginy, posty) jest zaszyfrowana między tobą a serwerem.

Jednocześnie eksplodowało profilowanie behawioralne. Coraz więcej firm łączy dane z wielu źródeł – przeglądarki, aplikacji, kart płatniczych, urządzeń IoT – aby zbudować pełny obraz użytkownika. VPN czy DoH tego nie zatrzymają, ale mogą utrudnić powiązanie aktywności z konkretnym adresem IP lub miejscem.

Po stronie infrastruktury pojawiły się nowe mechanizmy prywatności: DNS-over-HTTPS, DNS-over-TLS, ESNI/Encrypted Client Hello. Systemy operacyjne (Windows, Android, iOS) coraz częściej domyślnie szyfrują zapytania DNS, a przeglądarki same podpowiadają użycie DoH. Z drugiej strony więcej krajów wprowadziło regulacje zobowiązujące operatorów do przechowywania logów czy blokowania wybranych serwisów.

Scenariusze z życia: kto czego potrzebuje

Różne osoby mają różne potrzeby prywatności – inny zestaw narzędzi przyda się w każdym przypadku.

Student w akademiku: korzysta z uczelnianej sieci, loguje się do banku, ogląda seriale, gra online. Boji się, że admin sieci widzi jego aktywność. Tu VPN skutecznie ukryje cały ruch przed administracją, a DoH może być minimum ochrony, jeśli VPN jest blokowany.

Pracownik zdalny: łączy się z firmowym VPN, korzysta z prywatnych kont (mail, social media). Główny cel: bezpieczeństwo służbowych danych i oddzielenie tego, co widzi pracodawca, od prywatnej aktywności. W praktyce używa dwóch „światów”: firmowego VPN do zadań służbowych i prywatnego VPN/DoH do zwykłego surfowania.

Aktywista lub dziennikarz w kraju z cenzurą: potrzebuje obejść blokady, utrudnić identyfikację, zabezpieczyć kanały komunikacji. Tu sam DoH jest za słaby – VPN (czasem w połączeniu z Tor) staje się koniecznością.

Zwykły użytkownik social mediów: przegląda Facebooka, TikToka, YouTube, kilka portali, bankowość. Chce mniej śledzenia przez operatora i w publicznych Wi-Fi. W takim scenariuszu VPN + rozsądna konfiguracja przeglądarki daje wyraźną poprawę prywatności, a DoH jest prostym uzupełnieniem.

VPN i DNS-over-HTTPS jako odpowiedź na różne fragmenty problemu

VPN i DNS-over-HTTPS często są stawiane obok siebie, jakby miały tę samą funkcję. W rzeczywistości:

• VPN tworzy zaszyfrowany tunel dla całego ruchu z twojego urządzenia lub systemu, a na zewnątrz występuje adresem IP serwera VPN.
• DNS-over-HTTPS szyfruje tylko zapytania DNS i kieruje je do wybranego dostawcy DNS, zamiast do domyślnego (np. operatora).

Dlatego pytanie „VPN czy DNS-over-HTTPS: co lepiej chroni prywatność w 2026?” ma jedną uczciwą odpowiedź: to nie są zamienniki. VPN ma potencjał chronić o wiele więcej, ale DoH bardzo dobrze „załata” jeden newralgiczny wyciek informacji – historię domen widoczną dla sieci i operatora.

Krótka mapa techniczna: co „widzi” kto, gdy surfujesz

Aby zrozumieć, gdzie pomaga VPN, a gdzie DNS-over-HTTPS, opłaca się prześledzić trasę, jaką pokonuje twoje połączenie oraz jakie „ślady” zostawia po drodze.

Ścieżka pakietu: od urządzenia do serwisu docelowego

Za każdym razem, gdy wpisujesz adres strony, dzieje się kilka kroków:

1. Twoje urządzenie (telefon, laptop) wysyła zapytanie przez kartę sieciową/Wi-Fi.
2. Pakiet trafia do routera (np. domowego), który zna twoje lokalne IP i adres operatora (WAN).
3. Od routera pakiet leci do operatora – to jego adres IP jest „widoczny” w internecie.
4. Po drodze pakiet przechodzi przez kilka–kilkanaście routerów pośrednich należących do różnych firm.
5. Na końcu dociera do serwera docelowego, np. serwisu społecznościowego, sklepu lub banku.

Każdy z tych punktów po drodze może mieć techniczną możliwość podejrzenia różnych elementów twojego ruchu – w zależności od tego, czy coś jest szyfrowane, czy nie.

Co widać bez żadnego szyfrowania

Jeśli założyć najgorszy scenariusz – brak HTTPS, brak VPN, klasyczny DNS – różne podmioty widzą:

• Operator i administrator sieci: pełne adresy stron (URL), treść stron, formularze, loginy, hasła – wszystko w otwartym tekście.
• Serwery pośrednie: podobnie – mogą analizować lub modyfikować ruch.
• Serwis docelowy: widzi twój zewnętrzny adres IP, identyfikatory przeglądarki, ciasteczka, dane logowania.

W 2026 roku taki „nagrawy” ruch HTTP to rzadkość, ale wciąż zdarza się w starszych urządzeniach IoT, kamerach, panelach administracyjnych czy niektórych usługach wewnętrznych.

Rola HTTPS: co jest zaszyfrowane, a co zostaje na wierzchu

HTTPS szyfruje komunikację między twoją przeglądarką a serwerem WWW. Dzięki temu:

• Operator i admin sieci nie widzą treści (konkretnych podstron, danych formularzy, haseł).
• Widzą jednak adres IP serwera, z którym się łączysz, godzinę, ilość przesłanych danych.
• W wielu przypadkach widzą też nazwę domeny (np. przez SNI – informację wymaganą do ustalenia certyfikatu dla odpowiedniej domeny) o ile nie jest zaszyfrowana mechanizmem Encrypted Client Hello, który w 2026 nadal nie jest wszędzie domyślny.

Do pełnego nawigowania przeglądarka potrzebuje najpierw zamienić nazwę domeny (np. example.com) na adres IP. Tu wchodzi w grę DNS.

DNS jako książka telefoniczna internetu

DNS (Domain Name System) działa jak globalna książka telefoniczna: tłumaczy ludzkie adresy (nazwy domen) na numery IP. Gdy wpisujesz adres strony, twoje urządzenie wysyła zapytanie DNS do serwera DNS, zwykle wskazanego przez operatora lub router.

Bez DNS surfowanie byłoby koszmarem, bo musiałbyś zapamiętywać ciągi liczb zamiast nazw. Jednocześnie każdy, kto widzi twoje zapytania DNS, dostaje precyzyjną historię domen, które odwiedzasz – nawet jeśli sama zawartość jest już zabezpieczona HTTPS.

Klasyczny DNS działa głównie na niezaszyfrowanym protokole UDP/TCP (port 53). Oznacza to, że:

• Operator, właściciel sieci Wi-Fi, a czasem nawet inne osoby w tej samej sieci mogą podsłuchać lub podmienić odpowiedzi DNS.
• Zapytania mogą zdradzać nie tylko strony WWW, ale też używane aplikacje, bo wiele z nich korzysta z własnych domen.

VPN i DoH jako dwa różne „filtry” na ścieżce pakietu

Można to zobrazować jak dwie pary okularów nakładane w różnych miejscach łańcucha połączenia:

• VPN tworzony jest między twoim urządzeniem a serwerem VPN. Dla operatora i właściciela sieci cały ruch wygląda jak jeden, zaszyfrowany strumień do jednego adresu – serwera VPN.
• DNS-over-HTTPS dotyczy tylko zapytania DNS. Są one zamykane w tunelu HTTPS i wysyłane do wybranego dostawcy DNS (np. Cloudflare, Google). To oznacza, że sieć lokalna i operator nie widzą, jakich domen szukasz – widzą jedynie ruch do serwera DoH.

W praktyce można używać obu narzędzi jednocześnie: VPN chroni całość ruchu przed operatorem, a DoH pilnuje, aby nawet w obrębie VPN-u zapytania DNS nie „wyciekały” poza tunel lub do niechcianego dostawcy.

Jak działa VPN – prosto, bez żargonu

VPN to obecnie najbardziej rozpoznawalne narzędzie do ochrony prywatności. W 2026 roku większość użytkowników zna hasło VPN, ale niewielu dokładnie rozumie, co jest szyfrowane, a co nadal można o nich wyczytać.

Tunel do zaufanego pośrednika

Najłatwiej wyobrazić sobie VPN jako prywatny tunel w środku publicznej autostrady internetowej. Normalnie twoje pakiety jadą „na otwartej przestrzeni” między urządzeniem a serwerami stron. Z VPN:

• Na początku łączysz się szyfrowanym kanałem z serwerem VPN.
• Wszystkie dane (zapytania DNS, ruch HTTP/HTTPS, ruch z aplikacji) trafiają najpierw do tego serwera wewnątrz „tunelu”.
• Dopiero potem serwer VPN wysyła je w twoim imieniu dalej do internetu.

Reszta internetu widzi więc głównie adres IP serwera VPN, a nie twój własny. Operator i administrator sieci widzą jedynie, że korzystasz z VPN (IP serwera VPN, czas połączenia, ilość przesłanych danych), ale nie widzą, co konkretnie robisz w środku.

Zakres szyfrowania w VPN: co zyskujesz technicznie

VPN szyfruje cały ruch sieciowy wychodzący z urządzenia lub z wybranej aplikacji (zależnie od konfiguracji). To oznacza, że:

• Zapytania DNS, które przechodzą przez VPN, są niewidoczne dla operatora – widzi on wyłącznie szyfrowany strumień do serwera VPN.
• Wszystkie połączenia z serwisami (nawet jeśli te nie stosują HTTPS) są zaszyfrowane przynajmniej do serwera VPN.
• Operator nie wie, czy wchodzisz na stronę X czy Y, nie widzi też poszczególnych hostów w aplikacjach (np. adresów API).

Po drugiej stronie tunelu – na serwerze VPN – ruch zostaje odszyfrowany i dalej leci już normalnie do internetu. Tam to strona docelowa i pośrednie serwery ISP serwera VPN widzą ruch, zwykle dodatkowo zabezpieczony HTTPS.

Co VPN realnie ukrywa w 2026, a czego nie rusza

VPN potrafi dużo, ale nie jest peleryną niewidką. Dobrze jest rozdzielić to na dwie kategorie: to, co znika z oczu pośredników, i to, co pozostaje widoczne dla innych.

Przed operatorem internetowym oraz właścicielem sieci Wi‑Fi VPN ukrywa:

• konkretne strony i aplikacje, z którymi się łączysz (widać tylko, że rozmawiasz z serwerem VPN);
• zapytania DNS, o ile twoje urządzenie nie „ucieka” z DNS poza tunel (tzw. DNS leak);
• typ ruchu (czy to streaming, gry, poczta) – pozostają tylko objętość danych i czas połączenia.

Nie ma natomiast wpływu na to, co widzi strona lub usługa, z której korzystasz. Dla nich sytuacja wygląda mniej więcej tak:

• zamiast twojego IP widzą IP serwera VPN (często współdzielone z innymi użytkownikami);
• widzą Twoje ciasteczka, identyfikatory logowania, e-mail – wszystko, co sam przekażesz w treści połączenia;
• mogą śledzić twoje działania w obrębie swojego serwisu, niezależnie od VPN.

Jeśli więc logujesz się na to samo konto Google, Facebooka czy banku, VPN nie zanonimizuje cię przed tymi firmami. Zadziała głównie jako tarcza przed siecią po drodze i jako „maskowanie” lokalizacji.

VPN a lokalizacja i geoblokady

Jedną z najbardziej widowiskowych funkcji VPN jest zmiana widocznej lokalizacji. Z perspektywy stron, z którymi się łączysz:

• wyglądasz tak, jakbyś łączył się z kraju lub miasta, w którym stoi serwer VPN;
• część usług serwuje ci lokalne wersje cen, języka lub oferty dla tego regionu;
• geoblokady oparte na IP (np. treści tylko na terytorium danego kraju) są często obchodzone jednym kliknięciem.

Z punktu widzenia prywatności ma to dwie konsekwencje. Po pierwsze, Twój rzeczywisty adres IP zostaje „schowany” za warstwą serwera VPN, co utrudnia łączenie aktywności z konkretną siecią domową. Po drugie, pojawiasz się statystycznie obok setek lub tysięcy innych użytkowników tego samego serwera, co zmniejsza możliwość jednoznacznej identyfikacji po samym IP.

Ryzyko i zaufanie: czy VPN „widzi wszystko”?

Przekierowanie całego ruchu do jednego pośrednika oznacza, że pojawia się nowe pytanie: czy dostawca VPN nie staje się nowym operatorem, któremu musisz zaufać?

Technicznie serwer VPN ma możliwość:

• zobaczyć adresy IP i domeny, z którymi się łączysz (zwłaszcza jeśli serwisy nie używają HTTPS lub używasz DNS dostarczanego przez VPN);
• analizować metadane ruchu (kiedy i jak dużo danych wysyłasz);
• przypisać aktywność do Twojego konta u dostawcy VPN (adres e‑mail, metoda płatności).

Porządny dostawca VPN minimalizuje te ryzyka, np. przez:

• brak logów lub silne ograniczenie ich zakresu (np. tylko dane techniczne do utrzymania usługi);
• infrastrukturę bezdyskową (logi trzymane w RAM, kasowane przy restarcie serwera);
• jurysdykcję poza agresywnymi programami masowej inwigilacji i klarowną politykę prywatności.

W 2026 pojawia się dodatkowy wątek: część routerów i usług internetowych ma wbudowane własne „VPN‑y” od operatora lub producenta sprzętu. Dla prywatności to sytuacja mieszana: zyskujesz szyfrowany tunel, ale często do podmiotu, który i tak ma o tobie mnóstwo danych, więc bilans zaufania bywa wątpliwy.

Jak działa DNS-over-HTTPS – mniej spektakularne, ale ważne

DNS-over-HTTPS (DoH) działa znacznie „wężej” niż VPN, ale uderza w samo serce problemu: kto widzi listę domen, które odwiedzasz. Pomysł jest zaskakująco prosty – zapytanie DNS, które normalnie leci w otwartym tekście na port 53, zostaje zapakowane w zaszyfrowane połączenie HTTPS do wybranego dostawcy DNS.

Od nagiego DNS do DNS zamkniętego w HTTPS

Bez DoH twoje urządzenie wysyła zapytanie w stylu „jaki adres IP ma example.com?” do serwera DNS. Ten serwer:

• może należeć do operatora lub do właściciela routera (np. w hotelu);
• dostaje czytelny, nieszyfrowany wpis „użytkownik z IP X pyta o domenę Y”;
• może logować, filtrować, a nawet podmieniać odpowiedzi.

DNS-over-HTTPS robi dwie rzeczy naraz:

1. Szyfruje zapytanie DNS – staje się ono „ładunkiem” zamkniętym w protokole HTTPS.
2. Zmienia ścieżkę – zamiast do domyślnego serwera operatora leci do zewnętrznego dostawcy, np. Cloudflare (1.1.1.1), Google (8.8.8.8), Quad9 i innych.

Dla sieci po drodze wygląda to jak zwykłe połączenie HTTPS z konkretnym serwerem, niczym nie różniące się od wizyty na stronie WWW. Nikt po drodze nie widzi, o jaką domenę pytasz, widzi tylko adres IP serwera DoH.

Kto co widzi przy włączonym DNS-over-HTTPS

Z DoH sytuacja rozkłada się następująco:

• Operator i admin sieci Wi‑Fi: widzą połączenie HTTPS do serwera DoH, ale nie widzą konkretnych nazw domen, o które pytasz.
• Dostawca DoH: widzi pełną historię zapytań DNS, wraz z adresem IP, z którego one pochodzą (lub z IP serwera VPN, jeśli korzystasz z obu rozwiązań naraz).
• Serwis docelowy: widzi twój adres IP (lub IP VPN), gdy już nawiążesz z nim połączenie – DoH nie zmienia tej części komunikacji.

DoH nie ukrywa więc przed stroną docelową faktu, że się z nią łączysz. Chroni natomiast przed podglądem po drodze, jakie domeny w ogóle rozważasz. To przydatne zwłaszcza w obcych sieciach: w hotelach, kawiarniach, na uczelni.

Integracja DoH w przeglądarkach i systemach

W 2026 roku większość nowoczesnych przeglądarek ma wbudowaną obsługę DNS-over-HTTPS i często włącza ją automatycznie przy spełnieniu określonych warunków. Przykładowo:

• przeglądarka może zastąpić klasyczny DNS DoH tylko dla zapytań wysyłanych z jej poziomu;
• inne aplikacje w systemie (gry, komunikatory, klient poczty) mogą nadal korzystać z zwykłego DNS skonfigurowanego w systemie lub routerze;
• niektóre systemy (nowsze wersje Windows, Android, wybrane dystrybucje Linuksa) pozwalają ustawić DoH na poziomie całego systemu.

Z punktu widzenia prywatności oznacza to, że samo włączenie DoH w przeglądarce nie rozwiąże wszystkiego. Jeśli komunikator lub gra online używa systemowego DNS, historia twoich domen nadal będzie widoczna dla sieci, choć przeglądarka jest już częściowo „zaszyfrowana”.

Ograniczenia DNS-over-HTTPS: czego nie robi

Łatwo wpaść w pułapkę myślenia, że skoro DNS jest zaszyfrowany, to lista odwiedzanych stron jest w pełni ukryta. Niestety, tak nie jest. Nawet z DoH nadal pozostają:

• adresy IP serwerów docelowych – operator widzi, że łączysz się z konkretnymi IP. Wiele z nich można przypisać do znanych domen (np. przez bazy WHOIS czy pasywny fingerprinting);
• metadane ruchu: godziny połączeń, długość sesji, wielkość przesyłanych danych – to nadal bywa wystarczające do budowy profilu aktywności;
• SNI / Encrypted Client Hello: tam, gdzie szyfrowanie ECH jeszcze nie działa, nazwa domeny może być widoczna w samej sesji TLS, niezależnie od DoH.

DoH nie zapewnia też anonimowości geograficznej. Dostawca DNS może określić przybliżoną lokalizację na podstawie adresu IP, z którego przychodzi zapytanie. W wielu przypadkach jest to dużo dokładniejsze niż dane z plików cookie.

Profil prywatności przy DoH: komu ufasz zamiast operatora

Przy włączonym DoH przenosisz zaufanie z operatora na dostawcę DNS‑a. To on widzi:

• pełną listę domen, które twoje urządzenie rozwiązuje na adresy IP;
• adres IP, z którego pochodzą zapytania (lub IP VPN);
• często także podstawowe informacje o aplikacji lub systemie, bo są one częścią nagłówków HTTPS.

Jeżeli korzystasz z popularnych, darmowych serwerów DoH, dokładasz więc kolejnego gracza, który może profilować ruch. Część dostawców publicznie zobowiązuje się do minimalizowania logów, ale ich model biznesowy bywa różny: od całkowicie non‑profit po ścisłą integrację z ekosystemem reklamowym. To warto oceniać równie krytycznie jak wybór VPN.

VPN vs DNS-over-HTTPS: porównanie ochrony prywatności krok po kroku

Dobrym sposobem na zrozumienie różnic jest przejście przez kilka typowych scenariuszy z życia codziennego. W każdym z nich zmienia się wróg, przed którym chcesz coś ukryć, oraz to, jak dużo konfiguracji jesteś w stanie zaakceptować.

Scenariusz 1: domowy internet od dużego operatora

Załóżmy, że korzystasz z łącza światłowodowego od dużej firmy telekomunikacyjnej, przeglądasz sieć, oglądasz filmy, czasem pracujesz zdalnie.

Bez żadnych dodatków operator może zobaczyć:

• twoje zapytania DNS (pełna lista domen);
• adresy IP serwerów docelowych (nawet jeśli DNS jest gdzie indziej);
• rytm dnia: kiedy intensywnie korzystasz z sieci, kiedy przesyłasz dużo danych.

Jeżeli włączysz tylko DNS-over-HTTPS (w przeglądarce lub systemie):

• operator traci dostęp do pełnej historii domen z DNS, ale nadal widzi, z jakimi adresami IP rozmawia twój router;
• część usług można odgadnąć po IP (np. popularne platformy streamingowe mają rozpoznawalne zakresy adresów);
• operator wciąż widzi ilość danych – da się więc z grubsza rozpoznać, kiedy streamujesz wideo, a kiedy tylko przeglądasz strony.

Jeśli zamiast tego użyjesz tylko VPN (bez osobnego DoH):

• operator widzi tylko szyfrowany strumień do jednego IP – serwera VPN; nie rozróżnia stron i aplikacji;
• DNS zależy od konfiguracji VPN – często wszystkie zapytania lądują u serwera DNS należącego do dostawcy VPN;
• historia domen znika z oczu operatora, ale pojawia się u dostawcy VPN.

Przy konfiguracji VPN + DNS-over-HTTPS sytuacja wygląda tak:

• operator widzi jedynie, że łączysz się z serwerem VPN i nic więcej;
• dostawca VPN widzi ruch, ale zapytania DNS wysyłane przez przeglądarkę mogą być dodatkowo szyfrowane do zewnętrznego dostawcy DoH;
• dostawca DoH widzi listę domen, ale łączy ją z IP serwera VPN, a nie z twoim domowym IP.

W tej konfiguracji historia domen przestaje być łatwo przypisywalna do konkretnej rodziny lub lokalu, co w warunkach domowego internetu jest znaczącym krokiem do przodu.

Scenariusz 2: publiczne Wi‑Fi w kawiarni lub hotelu

W takich sieciach administratorem jest zwykle ktoś, kogo nie znasz, a czasem tanie urządzenia sieciowe z przestarzałym oprogramowaniem. To miejsce, gdzie ataki typu podsłuch, fałszywy punkt dostępu czy podmiana DNS zdarzają się zdecydowanie częściej.

Bez VPN i DoH właściciel sieci (lub ktoś, kto ją przejął) może:

• podglądać twoje zapytania DNS i część metadanych ruchu HTTPS;
• podmienić odpowiedzi DNS i przekierować cię na fałszywe strony (np. pseudo‑panel logowania do banku);
• próbować ataków typu „downgrade” na starszych protokołach.

Z samym DNS-over-HTTPS ograniczasz przede wszystkim możliwość manipulacji DNS‑em:

• nawet jeśli router hotelowy próbuje wstrzyknąć własny serwer DNS, przeglądarka wysyła zapytania zaszyfrowane do wybranego przez ciebie dostawcy;
• trudniej cię przekierować na fałszywą stronę tylko przez zmianę DNS (atak musi być bardziej zaawansowany);
• właściciel sieci nadal widzi, że łączysz się z konkretnymi IP – geografia ruchu jest widoczna.

Z samym VPN wycinasz większość ryzyk na raz: