Не знаех, че моят доставчик вижда всеки сайт, който посещавам, докато не проверих тази настройка

Миналата седмица се обадих на моя интернет доставчик (ISP) заради нестабилна оптична връзка. По средата на разговора операторът небрежно изчете производителя на моя рутер, версията на неговия фърмуер и имената на двете ми Wi-Fi мрежи. Не бях му казвал нищо от това. Седях там за секунда, опитвайки се да разбера как знае тези детайли, и тогава ме удари неудобният последващ въпрос: ако виждат това, какво още виждат? Докъде всъщност стига погледът им в моята мрежа?

Това ме заинтригува и след малко проучване се оказа, че подробностите за рутера са най-малко интересната част. Оказа се, че всеки сайт, който посещавам, преминава през DNS резолвера (resolver) на моя доставчик в чист текст. Всяко търсене, всеки домейн е маркиран с моя IP адрес и клеймо за време (timestamp). Бях приемал, че HTTPS ме защитава. Не е така. А решението се оказа една настройка, която никога не си бях правил труда да проверя на нито един от компютрите си.

Вашият доставчик вижда всеки домейн по подразбиране

DNS слоят е слабото звено във вашата връзка

Всеки път, когато отворя уебсайт или стартирам приложение, моят телефон или компютър трябва да преведе име на домейн като youtube.com в IP адрес. Този превод е DNS търсене и по подразбиране то отива директно в резолвера на моя интернет доставчик в некриптиран вид. Те виждат времето, моят публичен IP адрес и точния хост (hostname). Направете това няколко хиляди пъти на ден на всяко устройство в къщата и ще получите изключително детайлна картина.

Интересно е колко много разкрива този дневник (log), без дори да докосва нито една страница от съдържанието. Празнините и пиковете в DNS трафика очертават кога се събуждам, кога спя и кога излизам от къщи. Домейните подсказват моята банка, стрийминг услугите ми, здравните сайтове, които съм проверявал, и всяко смарт устройство в мрежата ми, което се свързва с „базата“. Това не е просто история на браузъра, а всяко приложение на всяко устройство, уловено централно. Повечето хора никога не докосват стандартния DNS, който техният рутер им предоставя автоматично.

HTTPS криптира страницата, а не търсенето

Защо катинарът в браузъра не е пълната история

Повечето хора смятат, че иконата на катинар в браузъра е краят на разговора за поверителност. Ако даден сайт се зарежда през HTTPS, съдържанието е криптирано, така че доставчикът не може да прочете страницата, на която сте, или формуляра, който попълвате. Тази част все още е вярна. Това, което също е вярно обаче, е че DNS търсенето се случва преди криптираната връзка изобщо да започне.

Така че, докато моят доставчик не може да види кой конкретен видеоклип съм гледал или коя статия съм прочел, той може абсолютно ясно да види, че съм се свързал с YouTube, конкретен новинарски сайт или ресурс за психично здраве. Името на хоста също така често „изтича“ по време на TLS ръкостискането (handshake) чрез поле, наречено SNI (Server Name Indication), освен ако и браузърът ми, и сайтът не поддържат по-нова функция, наречена Encrypted ClientHello (ECH). Към 2026 г. поддръжката за ECH расте, но все още не е универсална.

Крайният резултат е, че HTTPS сам по себе си ми дава поверителност на съдържанието, но не и поверителност на метаданните. Моят интернет доставчик не се нуждае от четене на страницата, за да изгради профил на моята рутина и интереси, защото домейните вече разкриват достатъчно.

Криптиран и филтриращ резолвер решава и двата проблема

Сменете резолвера и доставчикът „остава на тъмно“

Решението е да спра да използвам DNS на моя доставчик изцяло и да насоча заявките си през криптиран резолвер, който също така филтрира излишния трафик. След като заявките се криптират с DNS-over-TLS (DoT) или DNS-over-HTTPS (DoH), моят доставчик вижда непрозрачен поток от данни към резолвера вместо четлив списък с домейни. Допълнителното филтриране блокира рекламни сървъри, тракери и известни злонамерени домейни, преди устройствата ми изобщо да се свържат с тях.

Най-лесният път е настройка за всяко устройство поотделно:

• На Android: Превключих моя Private DNS на dns.nextdns.io под Settings > Network & internet > Private DNS. Това ми позволи да избирам точно какво да се блокира чрез онлайн табло за управление.
• На Windows: Насочих моя адаптер към Quad9 (9.9.9.9), след като го сравних с DNS на моя доставчик и видях, че е по-бърз и по-безопасен.

Ако искате покритие за целия дом, по-чистият вариант е да промените DNS на ниво рутер, така че всяко устройство – включително смарт телевизори и IoT техника – да го наследи автоматично. За целта можете да изберете опция като NextDNS, която дава гранулярен контрол и родителско филтриране, което повечето безплатни резолвери не предлагат.

DNS филтрирането има реални граници

Какво не може да блокира и къде се проваля

Не искам да преувеличавам възможностите. DNS филтрирането е огромен ъпгрейд, но все още има своите ограничения:

1. Реклами от същия домейн: YouTube, Twitch, Netflix, Hulu и TikTok сервират своите реклами от същия домейн като съдържанието. Един филтър не може да блокира рекламата, без да счупи цялата услуга. Рекламните блокери в браузъра (като uBlock Origin) все още са важни за този тип трафик.
2. Твърдо кодиран DNS: Някои устройства просто игнорират каквото и да сте задали. Например Chromecast, устройства с Android TV и някои смарт телевизори имат твърдо кодирани Google или Cloudflare DNS адреси и тихо заобикалят настройките на рутера. Единственото надеждно решение е блокирането на тези IP адреси на ниво защитна стена (firewall), което не е лесно при масовите потребителски рутери.
3. Това не е VPN: Криптираният DNS не е VPN. Дори при скрити заявки, моят доставчик все още вижда дестинационните IP адреси, към които устройствата ми се свързват, и в повечето случаи – SNI хоста в ръкостискането. За пълна поверителност на метаданните бих имал нужда от VPN или Tor върху DNS защитата.

Вашият доставчик не трябва да знае навиците ви на сърфиране

Сегашната ми настройка е NextDNS на рутера за цялата къща, плюс Quad9 на устройствата, които пътуват с мен. Тази комбинация осигурява филтриране на всяка джаджа у дома и фокус върху поверителността, когато съм на мобилни данни, без да се налага почти никаква поддръжка. Това е най-близкото нещо до настройка „инсталирай и забрави“ за повишаване на поверителността, което съм намирал.