ECH (Encrypted Client Hello)
Rozszerzenie TLS 1.3 szyfrujące pole SNI (nazwę hosta) w ClientHello. Zwykłe ClientHello jest jawne, więc dostawca internetu i urządzenia pośredniczące widzą odwiedzane domeny. ECH szyfruje je przez HPKE — widoczny jest tylko adres IP, nie domena.
Cloudflare wdrożył je w 2023 roku. Firefox 118+ (wrzesień 2023) włącza ECH domyślnie, gdy konfiguracja jest dostępna w DNS. Zysk dla prywatności: ECH razem z DoH oznacza, że dostawca nie widzi nic o faktycznym celu poza adresem IP. W wielu przypadkach pokonuje to cenzurę opartą na SNI (Chiny i Rosja historycznie blokowały domeny właśnie tak). Wymaga wdrożenia po stronie serwerów (Cloudflare to automatycznie większość internetu) i przeglądarek (Firefox, Chrome). Kontrruch: państwa mogą blokować uzgodnienia TLS z ECH — wyścig zbrojeń z DPI.