DoT
DNS over TLS: DNS su TCP cifrato con TLS, porta 853. RFC 7858 (2016), più vecchio del DoH. Più facile da controllare per le aziende (la porta 853 è dedicata). Predefinito da Android 9 («DNS privato»).
Diverso dal DoH: il DoT usa una porta propria, quindi è facile da bloccare con un firewall, se lo si desidera. Il DoH condivide la 443 con il traffico web, ed è impossibile da bloccare senza rompere la navigazione. Prestazioni: il DoT è leggermente più veloce in caso di cache miss (meno overhead HTTP). Concorrenti: DNSCrypt (mai diventato standard IETF) e DoQ (DNS over QUIC, RFC 9250, alternativa moderna). DNS privato di Android: indicando dns.cloudflare.com si usa il DoT per impostazione predefinita; iOS richiede un profilo di configurazione per il DoT a livello di sistema. Mac/Windows: il progetto DNS Privacy e Stubby sono soluzioni in userland.