---
title: "DoT (DNS over TLS)"
description: "DoT (DNS over TLS) to protokół szyfrujący zapytania DNS w kanale TLS na porcie 853. Poznaj zasadę działania, różnice względem DoH i zastosowania."
url: "https://nodea.pl/pl/slownik-pojec/dot"
lang: "pl"
updated: "2026-07-13"
---

# DoT (DNS over TLS)

> DoT (DNS over TLS) to protokół, który szyfruje zapytania i odpowiedzi DNS wewnątrz połączenia TLS, chroniąc je przed podsłuchem i manipulacją.

**DoT (DNS over TLS)** to protokół, który szyfruje zapytania i odpowiedzi systemu [DNS](https://nodea.pl/pl/slownik-pojec/dns) wewnątrz bezpiecznego połączenia [TLS](https://nodea.pl/pl/slownik-pojec/tls). Klasyczny DNS przesyła dane otwartym tekstem, więc każdy pośrednik — dostawca internetu, administrator sieci Wi-Fi czy atakujący — może podejrzeć, jakie domeny odwiedzasz, a nawet je zmodyfikować. DoT rozwiązuje ten problem, opakowując cały ruch DNS w szyfrowany kanał na dedykowanym porcie 853.

## Jak działa DoT

Gdy urządzenie ma skonfigurowany resolver obsługujący DoT, nawiązuje z nim połączenie TLS — tak samo jak przeglądarka z witryną HTTPS. Serwer przedstawia certyfikat, który klient weryfikuje, a następnie w zaszyfrowanym tunelu przesyłane są wszystkie zapytania i odpowiedzi. Ponieważ DoT korzysta z osobnego portu 853, ruch ten jest łatwo rozpoznawalny w sieci, co pozwala administratorom świadomie nim zarządzać lub go blokować. To główna różnica względem [DoH](https://nodea.pl/pl/slownik-pojec/doh), które ukrywa DNS w zwykłym ruchu HTTPS na porcie 443. Aby ograniczyć narzut na nawiązywanie połączeń, DoT zwykle utrzymuje otwartą sesję TLS i przesyła przez nią wiele zapytań, zamiast otwierać nowy tunel dla każdego z osobna.

## Zastosowanie w praktyce

DoT chroni prywatność użytkowników w publicznych sieciach, utrudnia ataki typu [man-in-the-middle](https://nodea.pl/pl/slownik-pojec/man-in-the-middle) i uniemożliwia dostawcom internetu profilowanie na podstawie odwiedzanych domen. Obsługują go m.in. systemy Android (jako tryb Prywatny DNS), popularne resolvery publiczne oraz oprogramowanie serwerowe, takie jak stubby czy unbound. W środowiskach firmowych DoT bywa preferowany właśnie ze względu na rozpoznawalny port — dział IT może monitorować i filtrować zapytania zgodnie z polityką bezpieczeństwa, a jednocześnie mieć pewność, że treść zapytań jest zaszyfrowana. Wdrożenie po stronie serwera wymaga ważnego certyfikatu TLS, dokładnie tak samo jak w przypadku witryn HTTPS. Warto pamiętać, że szyfrowanie transportu nie gwarantuje autentyczności odpowiedzi — do tego służy [DNSSEC](https://nodea.pl/pl/slownik-pojec/dnssec), który sprawdza podpisy kryptograficzne rekordów i najlepiej łączyć go z DoT, aby uzyskać zarówno poufność, jak i integralność danych DNS.

### Czym różni się DoT od DoH?

Oba szyfrują ruch DNS, ale DoT używa dedykowanego portu 853 i wyróżnia się jako osobny ruch, co ułatwia administratorom sieci zarządzanie nim. DoH tuneluje DNS przez HTTPS na porcie 443, dzięki czemu wtapia się w zwykły ruch webowy i trudniej go zablokować.

### Czy DoT zastępuje DNSSEC?

Nie. DoT szyfruje transport zapytania między klientem a serwerem DNS, a DNSSEC uwierzytelnia autentyczność samych odpowiedzi. Oba mechanizmy są komplementarne i najlepiej stosować je razem.

## Powiązane

- [DoH](https://nodea.pl/pl/slownik-pojec/doh)
- [DNS](https://nodea.pl/pl/slownik-pojec/dns)
- [TLS](https://nodea.pl/pl/slownik-pojec/tls)
- [DNSSEC](https://nodea.pl/pl/slownik-pojec/dnssec)
- [Man in the middle](https://nodea.pl/pl/slownik-pojec/man-in-the-middle)

---

Wersje językowe: [en](https://nodea.io/en/glossary/dns-over-tls.md)  
Spis treści witryny: [llms.txt](https://nodea.pl/pl/llms.txt)