DoT
DNS over TLS — DNS przez szyfrowane TLS połączenie TCP, port 853. RFC 7858 (2016), starszy niż DoH. Łatwiejszy do kontrolowania dla firm (port 853 jest dedykowany). Domyślny od Androida 9 („Prywatny DNS”).
Różni się od DoH: DoT ma osobny port → łatwo go zablokować na zaporze, jeśli trzeba. DoH dzieli port 443 z ruchem webowym → nie da się go zablokować bez psucia przeglądania stron. Wydajność: DoT jest nieco szybszy przy braku w pamięci podręcznej (mniej narzutu HTTP). Konkurenci: DNSCrypt (nie jest standardem IETF), DoQ (DNS over QUIC, RFC 9250, nowoczesna alternatywa). Prywatny DNS w Androidzie: wpisz dns.cloudflare.com → DoT domyślnie; iOS wymaga profilu konfiguracyjnego dla DoT w całym systemie. Mac/Windows: DNSPrivacy Project i Stubby to rozwiązania w przestrzeni użytkownika.