DNS a šifrované DNS (DoH, DoT) – co DNS dělá, co prozradí a jak ho zabezpečit v Windows i routeru

DNS (Domain Name System) je „telefonní seznam internetu“. Když do prohlížeče zadáte adresu webu (například jmeno-webu.cz), počítač neví, kde se tento web fyzicky nachází; musí se zeptat DNS serveru, který název převede na IP adresu. Tento krok se děje při každé návštěvě webu, spuštění aplikace či odeslání e-mailu, v pozadí a bez vašeho vědomí. Právě proto je DNS pro soukromí i bezpečnost zajímavé: kdo vidí vaše DNS dotazy, ví, které weby navštěvujete, a kdo je dokáže podvrhnout, může vás přesměrovat na falešnou stránku. Tradiční DNS dotazy se přitom posílají nešifrovaně.

V tomto článku vysvětlujeme, jak DNS funguje, co o vás DNS dotazy prozradí, jak fungují šifrované varianty DoH a DoT, jak je zapnout v prohlížeči, ve Windows 11 či v routeru, jak využít DNS filtry proti škodlivým stránkám, jaké jsou rizika a podvody (DNS hijacking, falešné servery) a jak postupovat doma i ve firmě. Informace vycházejí z technických návodů a evropské iniciativy, například z české příručky DNS4EU: Doporučení k nastavení, z webu DNS4EU, z návodu Pureinfotech: DNS over HTTPS ve Windows 11 a z informací CZ.NIC a CSIRT.CZ. Technická nastavení se liší podle systému a verze, proto je ověřte v aktuální dokumentaci.

Další návody najdete v kategorii Síť, Wi-Fi a připojení, například Zabezpečení domácí Wi-Fi sítě a routeru, IP adresa a Rizika veřejné Wi-Fi.

Aktualizováno: listopad 2026.

Jak DNS funguje

Postup při návštěvě webu:

1. Zadáte název webu.
2. Počítač se zeptá DNS resolveru (obvykle poskytovatele internetu, router či vámi zvolené služby), jakou IP adresu má název.
3. Resolver (případně přes další servery) zjistí odpověď a vrátí ji.
4. Prohlížeč se připojí k IP adrese a načte web.

Odpovědi se ukládají do mezipaměti, aby se příště nemusely zjišťovat znovu. Většina domácností používá DNS poskytovatele internetu (automaticky přes router), ale lze zvolit i jiný resolver (veřejný, firemní či filtrující). Protože DNS provozují různí poskytovatelé, liší se rychlostí, soukromím, filtrováním a spolehlivostí.

Orientační postup zabezpečení DNS – vlastní infografika

Co prozradí DNS dotazy

Nešifrované DNS dotazy mohou vidět či zaznamenávat: poskytovatel internetu, správce Wi-Fi (kavárna, firma, škola), poskytovatel DNS a v nešifrované síti kdokoli, kdo provoz zachytí. Z dotazů lze zjistit seznam navštívených webů, časy a frekvenci; i když obsah stránek chrání HTTPS, názvy webů prozradí DNS (a někdy i další části spojení). Poskytovatelé je mohou využít pro statistiky, reklamu, blokování či uchovávání dat podle zákona. Zaměstnavatel může DNS dotazy využít k monitoringu a filtrování. Pro soukromí je proto užitečné zvolit resolver, kterému důvěřujete, a dotazy zašifrovat; viz VPN, která DNS dotazy také směruje přes svůj tunel.

Šifrované DNS: DoH a DoT

Dvě hlavní technologie šifrují dotazy mezi zařízením a resolverem:

• DNS over HTTPS (DoH): dotazy se posílají přes HTTPS (port 443), takže se ztrácejí v běžném šifrovaném provozu. Podporují jej moderní prohlížeče i Windows 11.
• DNS over TLS (DoT): dotazy jsou šifrovány protokolem TLS na zvláštním portu (853); snadno jej lze rozpoznat a řídit (hodí se pro sítě), ale podpora v systémech je omezenější.

Šifrování brání odposlechu a podvržení na cestě mezi vámi a resolverem. Neskryje však vaše dotazy před samotným resolverem (ten vidí, na co se ptáte), ani nezašifruje celý provoz (cílová IP adresa zůstává viditelná). Proto je důležitá volba důvěryhodného poskytovatele. Šifrované DNS také může obejít místní filtry (například školní či firemní), což je pro správce sítí často nežádoucí; ve firemním prostředí se řiďte pravidly.

Jak šifrované DNS zapnout

Postup se liší podle platformy:

• Prohlížeč: moderní prohlížeče mají v nastavení soukromí a zabezpečení volbu „Použít zabezpečené DNS“, kde zvolíte poskytovatele nebo vlastní adresu. Platí jen pro prohlížeč.
• Windows 11: podle návodů má systém vestavěnou podporu DoH, která platí pro celý systém. V Nastavení – Síť a internet vyberete síť (Wi-Fi či Ethernet), upravíte přiřazení serveru DNS na ruční, zadáte adresu resolveru a zvolíte šifrování DoH; šablona adresy musí mít správný tvar (u některých služeb s lomítkem na konci). Po nastavení by se u DNS měla zobrazit informace o šifrování. Nativní DoT je ve Windows omezený a vyžaduje pokročilé nastavení.
• macOS, iOS a Android: lze využít profil či nastavení soukromého DNS od poskytovatele; Android nabízí „Soukromé DNS“ (DoT).
• Router: pokud router podporuje šifrované DNS, nastavíte jej centrálně pro celou síť; ověřte v dokumentaci výrobce.
• Aplikace poskytovatele: některé služby nabízejí vlastní aplikaci, která šifrované DNS nastaví.

Před změnou si poznamenejte původní nastavení, abyste se mohli vrátit. Pokud po změně něco přestane fungovat (firemní VPN, interní weby), vraťte automatické nastavení.

DNS filtry: ochrana před škodlivými weby

Některé DNS služby nabízejí filtrování: při dotazu na známou škodlivou či phishingovou doménu vrátí chybu či blokační stránku, takže se k webu nepřipojíte. Používají se proti malwaru, phishingu, botnetům a v rodinných variantách i proti nevhodnému obsahu. Evropská iniciativa DNS4EU poskytuje veřejné resolvery s ochranou před škodlivými stránkami a vydala příručku v češtině pro nastavení (včetně Windows 11). Podobné služby nabízejí i komerční poskytovatelé a bezpečnostní firmy. DNS filtr je vrstvou ochrany, ne náhradou antiviru: nechrání před škodlivými soubory, které stáhnete z důvěryhodné domény, ani před phishingem na nových stránkách, které ještě nejsou v seznamu. Doporučujeme zvolit službu s transparentními zásadami, sledovat její dostupnost a pamatovat, že resolver vidí vaše dotazy. U filtrování pro děti viz Rodičovská kontrola na routeru.

Kontrolní seznam – vlastní infografika

Útoky na DNS

S DNS souvisejí rizika:

• DNS hijacking (únos DNS): útočník změní nastavení DNS v routeru či počítači na vlastní server a přesměrovává vás na falešné stránky (například banky), a to i když zadáte správnou adresu. Často následuje po napadení routeru (výchozí heslo, zranitelnost) nebo po malwaru.
• DNS spoofing / cache poisoning: podvržení odpovědí, aby název ukazoval na jinou adresu.
• Falešná Wi-Fi s podvrženým DNS; viz Falešné Wi-Fi.
• Phishingové domény napodobující legitimní názvy (překlepy, jiné koncovky).
• DNS tunelování: skrytý přenos dat přes DNS (u pokročilých útoků).
• Podvodné „DNS“ aplikace a nastavení, která mění DNS za účelem sledování či reklamy.
• DDoS zesilovací útoky zneužívající chybně nastavené DNS servery; viz DDoS.

Příznaky hijackingu: neobvyklá přesměrování, varování o certifikátu na známých webech, nečekané reklamy a změněné DNS servery v nastavení routeru či zařízení. Pokud je podezření, zkontrolujte router a systém.

Kontrola routeru a zařízení

Zkontrolujte:

1. V rozhraní routeru (přihlášení pomocí vašeho hesla) sekci internet / DNS: jsou tam servery od vašeho poskytovatele či vámi zvolené, nebo neznámé adresy?
2. Na počítači a telefonu nastavení sítě: nejsou DNS servery ručně změněny na neznámé?
3. Heslo správce routeru: změňte výchozí; viz Zabezpečení domácí Wi-Fi sítě a routeru.
4. Aktualizace firmwaru; viz Aktualizace firmwaru routeru.
5. Vzdálenou správu a UPnP: vypněte, pokud je nepotřebujete; viz UPnP a otevřené porty.
6. Antivirus počítače: malware může změnit DNS.

Pokud nalezete podezřelé servery, obnovte nastavení na automatické či důvěryhodné, změňte hesla a zvažte obnovu továrního nastavení routeru; viz Botnet.

Firmy a správci sítí

Ve firemním prostředí je DNS důležitou kontrolní a monitorovací vrstvou: umožňuje blokovat škodlivé domény, detekovat podezřelé dotazy a aplikovat politiku. Šifrované DNS na úrovni prohlížečů může obcházet firemní filtry, proto se řeší centrálními pravidly. Doporučení: vlastní či důvěryhodný resolver, logování a monitoring, DNSSEC (podpisy domén) tam, kde je podporován, omezení odchozího DNS provozu jen na schválené servery, ochrana proti zesilovacím útokům a školení zaměstnanců. Pro domény vlastněné firmou chraňte účet u registrátora (ověření ve dvou krocích, zámky domény), protože únos domény umožní kontrolu nad webem i e-mailem. Informace o českých doménách poskytuje CZ.NIC.

Časté otázky v praxi

Zpomalí šifrované DNS internet?: obvykle minimálně. Je veřejný DNS bezpečnější než DNS poskytovatele?: záleží na poskytovateli; liší se soukromím a filtrováním. Chrání DoH před phishingem?: samo ne; filtry ano částečně. Mohu používat DoH i na mobilu?: ano, přes nastavení či aplikaci. Co když se stránky nenačítají po změně?: vraťte původní nastavení.

DNS v kostce

Základní údaje – vlastní infografika

Výhody a nevýhody

Souhrn pro běžného uživatele – vlastní infografika

Související články

Další návody najdete v kategorii Síť, Wi-Fi a připojení: Zabezpečení domácí Wi-Fi sítě a routeru, IP adresa, Rodičovská kontrola na routeru a Falešné Wi-Fi.

Shrnutí

DNS převádí názvy webů na adresy a prozrazuje, které weby navštěvujete. Šifrované DNS (DoH, DoT) chrání dotazy před odposlechem v síti, DNS filtry blokují škodlivé domény a kontrola routeru zabrání podvržení DNS. Vyberte důvěryhodný resolver a doplňte VPN a antivirus. Aktuální příručku najdete na DNS4EU.

Často kladené otázky k DNS