Test Encrypted ClientHello

Co se z testu dozvíte

Encrypted ClientHello neboli ECH chrání vnitřní zprávu ClientHello při navazování TLS, včetně názvu serveru. Neskrývá všechny údaje o spojení. Test odděluje dostupnost konfigurace v DNS od jejího skutečného přijetí. Zveřejněný záznam není důkaz, že ho prohlížeč získal, použil nebo že jej server přijal.

Jak test spustit

1. Prověřte hostitele otevřené stránky nebo zadejte jiný název pro vyhledání konfigurace v DNS.
2. Spusťte kontrolu a čtěte zveřejnění v DNS a evidenci aktuálního spojení jako dva samostatné výsledky.
3. Ověřte hostitele a úsek spojení, který signál popisuje, než ho považujete za potvrzení přijetí ECH.

Jak měření funguje

Server čte DNS záznamy HTTPS a jejich konfigurace ECH. Rozlišuje přítomnost, platnou strukturu a konfigurace rozpoznané parserem. Ani rozpoznaná struktura nezaručuje použitelnost při skutečném spojení.

Evidence spojení pochází z výslovného signálu uzlu zpracovávajícího TLS, schváleného edge serveru nebo dohledatelné stopy pro daný origin, pokud jsou dostupné. Dotazy DNS kontaktují dostupného poskytovatele DNS-over-HTTPS a mohou použít dočasnou cache.

Jak číst výsledky

Přijetí ECH doloženo

Vhodný serverový nebo schválený edge signál popisuje úsek směrem k prohlížeči. Zkontrolujte jeho původ a rozsah; neplatí automaticky pro jiný název.

Konfigurace zveřejněna

DNS obsahuje ECH. Přítomnost a struktura jsou informace o zveřejnění, nikoli o použití na aktuální cestě prohlížeče.

Zveřejnění chybí nebo použití není známo

Úspěšná DNS odpověď bez ECH ukazuje pozorovanou absenci zveřejnění. Selhané DNS je neznámé; bez vhodného signálu není známo použití, nikoli prokázáno vypnutí.

Porovnání před a po změně

1. Uložte origin, stav DNS konfigurace a signál spojení směrem k prohlížeči.
2. Změňte jednu relevantní volbu prohlížeče či DNS a vytvořte nové spojení ke stejnému originu.
3. Porovnejte přijetí zvlášť od zveřejnění. Jiný dotazovaný název nemůže převzít evidenci spojení této stránky.

Omezení testu

• TLS 1.3, GREASE a samotná konfigurace v DNS neprokazují přijetí ECH.
• Backend může vidět jiný TLS úsek než prohlížeč; použitelný signál musí mít správně doložený rozsah.

Co případně změnit

Je dostupné pouze zveřejnění

Ověřte dokumentovanou podporu prohlížeče a cíle. Použití ponechte neznámé, dokud chybí vhodná evidence přijetí.

Vyhledání DNS selhalo

Opakujte dotaz se stejným názvem u dostupného zdroje. Přenosovou chybu nezaměňujte za nepřítomnost ECH.

Časté otázky

Zdroje a technické podklady

• RFC 9849 · ECH