في كل مرة تفتح فيها موقعًا إلكترونيًا أو تطبيقًا، يسأل جهازك الخادم أولاً عن مكان وجود تلك الخدمة. هذا السؤال يُسمى “استعلام بحث DNS” (DNS lookup)، ولا يراه معظم الناس أبدًا. تكمن أهميته في أن الاستعلام يذكر اسم الموقع الذي توشك على زيارته، وينتقل عبر العديد من الشبكات بدون تشفير، مما يتيح لأي طرف ينقله أو يجيب عليه قراءته.
قد تكون الصفحة محمية بالكامل بواسطة بروتوكول HTTPS، ومع ذلك تتسرب قائمة المواقع التي تزورها عبر نظام DNS. يوضح تحليل مجتمع IETF لخصوصية نظام DNS في وثيقة RFC 9076 ذلك عبر مثال توضيحي: الموقع الإلكتروني لجمعية “مدمنو الخمر المجهولون” عام ومتاح للجميع، ولكن حقيقة زيارتك له لا ينبغي أن تكون كذلك.
بعد قراءة هذه الصفحة، ستعرف من يمكنه رؤية استعلاماتك، وما يقدمه نظام DNS المشفر وما يتركه مكشوفًا، وأين يقع دور تأمين DNSSEC، والإعدادات التي تستحق عشر دقائق من وقتك لتعديلها. نحن لا نغطي اختيار مزود DNS محدد، أو حجب الإعلانات عبر DNS، أو تشغيل المحلل الخاص بك؛ إذ يتطلب كل موضوع من هذه المواضيع صفحة خاصة به.
ما هو نظام DNS بعبارات بسيطة
تتعرف أجهزة الكمبيوتر على بعضها البعض عبر أرقام تُسمى عناوين IP. بينما يستخدم البشر أسماء مثل example.org. نظام DNS هو خدمة البحث التي تحول الاسم إلى رقم. يقوم برنامج على جهازك تُسمى “المحلل الأولي” (stub resolver) بتسليم كل سؤال إلى “المحلل المتكرر” (recursive resolver)، وهو خادم يقوم بالعمل الميداني للعثور على الإجابة (RFC 9076).
إليك حالة عملية: انضممت إلى شبكة Wi-Fi في المطار وفتحت البوابة الطبية لعيادتك. لم يختر هاتفك محللًا؛ بل أخبرته الشبكة بالمحلل الذي يجب استخدامه عند اتصالك، وهو الترتيب المعتاد، وتذكر وثيقة RFC 9076 أن الغالبية العظمى من الناس لا يغيرون هذا الترتيب أبدًا. وبذلك يملك محلل المطار، أو محلل مزود خدمة الإنترنت الخاص به، سجلًا يفيد بأن هاتفك طلب عنوان العيادة في الساعة 9:14 صباحًا.
كيف تعمل عملية البحث عبر DNS
لنأخذ عملية بحث عن www.example.com عندما لا يكون هناك أي شيء محفوظ في الذاكرة المؤقتة على طول المسار:
- يطلب المحلل الأولي الخاص بجهازك البيانات من المحلل المتكرر.
- يطلب المحلل المتكرر البيانات من خادم الاسم الجذر (root name server). لا يعرف خادم الجذر الإجابة، ولكنه يوجه إلى الخوادم المسؤولة عن نطاق
.com. - يطلب المحلل البيانات من خادم
.com، والذي يوجه بدوره إلى الخوادم التي تتعامل معexample.com. - يطلب المحلل البيانات من تلك الخوادم. وتُسمى هذه الخوادم “خوادم الأسماء المعتمدة” (authoritative name servers) لأنها تحتفظ بالسجلات الحقيقية، وتعيد عنوان IP المطلوبة.
- يمرر المحلل المتكرر الإجابة إلى جهازك ويحتفظ بنسخة منها لفترة محدودة.
تلك النسخة المحفوظة هي السبب في أن معظم عمليات البحث تتخطى الخطوات من 2 إلى 4. وهي أيضًا السبب في أن الخوادم المختلفة ترى كميات مختلفة من البيانات. وعادةً لا يحتفظ المحلل الأولي بذاكرة مؤقتة، لذا يرى المحلل المتكرر جميع عمليات البحث تقريبًا، بينما لا ترى الخوادم المعتمدة سوى الاستعلامات التي لم يتمكن المحلل من الإجابة عليها من الذاكرة (RFC 9076). ومما لم يستخدم المحلل تقنية يُطلق عليها تقليل QNAME (QNAME minimization)، فإن كل خادم صعودًا في السلسلة يتلقى سؤالك الأصلي كاملاً، وليس فقط الجزء الذي يحتاجه.
كما أن تصفح صفحة واحدة يولد العديد من عمليات البحث؛ إذ يمكن لصفحة ويب واحدة أن تطلق استعلامات بحث لعشرات أسماء النطاقات بسبب الصور والنصوص البرمجية والإعلانات المضمنة، وتستعلم المتصفحات أحيانًا عن الأسماء مسبقًا في حال نقرت عليها (RFC 9076). القائمة التي يبنيها المحلل الخاص بك أطول وأكثر كشفًا لخصوصيتك من قائمة المواقع التي قصدت زيارتها بالفعل.
من يمكنه رؤية استعلامات البحث الخاصة بك
يعتمد ذلك على موقع المحلل الخاص بك وما إذا كانت حركة المرور مشفرة أم لا.
| الطرف | ما يمكنه رؤيته | متى |
|---|---|---|
| أي شخص بينك وبين المحلل الخاص بك، مثل مشغل شبكة Wi-Fi أو مزود خدمة الإنترنت | كل نطاق تبحث عنه، ويمكنهم تعديل الإجابات | عندما تكون عمليات البحث غير مشفرة |
| مشغل المحلل الخاص بك (مزود الخدمة، صاحب العمل، أو خدمة DNS عامة) | كل استعلام بحث ترصله أجهزتك، مرتبطًا بعنوان IP الخاص بك | دائمًا، سواء كانت مشفرة أم لا |
| خوادم الأسماء المعتمدة | فقط الاستعلامات التي لم يتمكن المحلل من الإجابة عليها من الذاكرة المؤقتة، وعادة مع عنوان المحلل بدلاً من عنوانك | يمكن لعنوانك أن يتسرب إذا قام المحلل بتمرير جزء منه باستخدام ميزة EDNS client subnet |
تأتي أسطر الجدول من وثيقة RFC 9076، والتي تغطي أيضًا جزء “تعديل الإجابات”: يمكن للمهاجم الذي يسيطر على الشبكة استبدال ردوده الخاصة بأي بحث غير مشفر.
ما يفعله مشغل المحلل بالبيانات هو مسألة سياسة، وتختلف السياسات من جهة لأخرى. تذكر وثيقة RFC 9076 أن سياسات الخصوصية للمحللات التي تقدمها الشبكات قد تكون متاحة أو غير متاحة، بينما تنشر الخدمات العامة الكبيرة مثل Google Public DNS وCloudflare وQuad9 سياساتها. كما تحجب بعض المحللات نطاقات معينة عن قصد، وعادة ما تكون مواقع البرمجيات الخبيثة المعروفة. يكون هذا مفيدًا عندما تكون هذه رغبتك، ومربكًا عندما لا تكون كذلك.
ما يصلحه نظام DNS المشفر، وما يتركه مكشوفًا
تقوم ثلاثة معايير بتغليف استعلام البحث بالتشفير بين جهازك والمحلل الخاص بك:
| الاسم | المنفذ (Port) | المعيار | ملاحظات |
|---|---|---|---|
| DNS over TLS (DoT) | 853 | RFC 7858، 2016 | يسهل على الشبكة التعرف عليه من منفذه. استخدمه إعداد Private DNS في أندرويد عند تقديمه عام 2018. |
| DNS over HTTPS (DoH) | 443 | RFC 8484، 2018 | ينتقل عبر المنفذ نفسه لحركة مرور الويب العادية، مما يجعل التمييز بينه أو حجبه أصعب. يستخدمه Firefox. |
| DNS over QUIC (DoQ) | 853 (UDP) | RFC 9250، 2022 | تنص مواصفاته على أن خصائص الخصوصية تشبه DoT. |
تؤدي المعايير الثلاثة الوظيفة الأساسية نفسها؛ إذ لم يعد بإمكان الأشخاص الموجودين بينك وبين المحلل قراءة استعلاماتك أو التلاعب بها. وفي المطار، يمكن لمشغل شبكة Wi-Fi رؤية أن هاتفك يتحدث إلى محلل، ولكن ليس أنه طلب عنوان العيادة الطبية.
القيود مهمة بقدر أهمية الفائدة:
- المحلل لا يزال يرى كل شيء: توضح وثيقة RFC 9076 بصراحة أن وسائل النقل المشفرة لا تقلل مما يتعلمه المحلل، ويمكن حتى أن تمنحه المزيد لربط البيانات. أنت لم تزل المراقب، بل اخترت الجهة التي تثق بها.
- تحليل حركة المرور لا يزال يعمل بدرجة ما: يمكن مطابقة أحجام وتوقيت الاستعلامات المشفرة مع ما يرسله المحلل إلى خوادم أعلى. يقلل الحشو (Padding) من هذا الخطر، لكن RFC 7858 تذكر أن الحشو البسيط بمفرده قد لا يكون كافيًا.
- الإعدادات الضعيفة يمكن تخفيض أمانها: إذا علم جهازك بمحلل مشفر من الشبكة ولم يتحقق منه، فيمكن للمهاجم على تلك الشبكة التدخل (RFC 7858). وضع “اسم المضيف لمزود Private DNS” في أندرويد هو النوع الأكثر صرامة: فهو يرسل الاستعلامات إلى الخادم الذي سميته عبر قناة آمنة، أو يعلم الشبكة بأنها لا تملك وصولاً للإنترنت إذا تعذر عليه الوصول إلى ذلك الخادم (مدونة أمان Google، 2018).
- المحلل الصغير قد يجعل تتبعك أسهل: تلاحظ وثيقة RFC 9076 أن استخدام محلل واحد مع عدد قليل من المستخدمين، حتى لو كان عبر التشفير، يمكن أن يساعد شخصًا ما على تتبعك من شبكة إلى أخرى.
- قد يوقف تشغيل أدوات التصفية المحليّة: تنص توثيقات Mozilla على أن DoH يتجاوز المحللات المحلية ومعه أي حجب للبرمجيات الخبيثة أو أدوات الرقابة الأبوية، ولهذا السبب يتحقق Firefox من هذه الأدوات ويتراجع عندما يجدها.
- يمكن للشبكات حجبه، ويمكن للأجهزة التراجع للخلف: تحذر RFC 7858 من أن المنفذ 853 قد يحظر بواسطة بعض جدران النارية. يستخدم الطرح الافتراضي لـ Firefox وضع التراجع، فإذا فشلت استعلامات DoH، فإنه يستخدم نظام DNS العادي للجهاز بهدوء.
اسم الموقع يتسرب للمرة الثانية
تشفير استعلام البحث لا ينهي المهمة بالكامل؛ فعندما يفتح متصفحك اتصال HTTPS، تتضمن رسالته الأولى اسم الموقع الذي يريده بنص صريح غير مشفر. يُسمى هذا الحقل “مؤشر اسم الخادم” أو SNI (Server Name Indication)، ويمكن لأي شخص يراقب الاتصال قراءته (Cloudflare، 2023).
تغلق ميزة Encrypted Client Hello (ECH) هذه الفجوة؛ إذ يوضع اسم الموقع داخل جزء مشفر من الرسالة، بينما يحمل الجزء المرئي اسمًا مشتركًا بدلاً منه. في Cloudflare، تُظهر جميع المواقع المُمكّنة لـ ECH الاسم الخارجي نفسه وهو cloudflare-ech.com. تشير أسئلة وإجابات Mozilla إلى أن Firefox قام بتفعيل ECH بشكل افتراضي منذ الإصدار 119، وتصف مكسب الخصوصية بأنه الأقوى عندما تتشارك العديد من المواقع خادمًا واحدًا. تعمل ميزة ECH فقط عندما يدعمها الموقع، وتذكر Mozilla أن العديد من المواقع لا تدعمها بعد.
ترتبط ECH بنظام DNS بطريقة واحدة وتترك فجوة واحدة: في Firefox، تحصل ECH على مفاتيح التشفير الخاصة بها من سجل DNS، وتقول Mozilla إن لها أكبر فائدة في الخصوصية جنباً إلى جنب مع DoH. أما الفجوة فهي عنوان IP للخادم، والذي يستمر مزود الخدمة لديك في رؤيته. وإذا كان للموقع خادم خاص به بمفرده، فإن ذلك العنوان وحده يمكن أن يكشفه.
ما يضيفه تأمين DNSSEC
يتيح تأمين DNSSEC (اختصار لـ DNS Security Extensions) لمالك النطاق توقيع سجلات DNS الخاصة به رقميًا. ويمكن للمحلل الذي يتحقق من التوقيعات معرفة ما إذا كانت الإجابة قد تم تزويرها أو تعديلها في طريقها إليك. تصف وثيقة RFC 7858 هذا بـ “سلامة الاستجابة”. تبدأ سلسلة التوقيعات من مفتاح جذر تحتفظ به المحللات التي تتحقق منه كمرساة ثقة.
هذا التأمين لا يشفر أي شيء؛ إذ تنص وثيقة RFC 9076 بوضوح على أن DNSSEC يستبعد السرية من أهدافه. فهو يحمي فقط النطاقات التي قام مالكوها بتوقيعها والمحللات التي تتحقق منها، ولا يقول شيئاً عما إذا كان الموقع في النهاية نزيهًا. يمكن لموقع احتيالي على نطاق شبيه أن يكون موقعًا بشكل أحدث وأكمل. مع DoH، إما أن يتحقق جهازك من DNSSEC بنفسه أو يثق في تقرير خادم DoH (RFC 8484).
تبارك الأحداث مثالاً حيًا في أكتوبر 2026؛ حيث تذكر ICANN أن مفتاح الجذر الجديد (KSK-2024) بدأ بتوقيع منطقة جذر DNS في 11 أكتوبر 2026 الساعة 14:00 بتوقيت UTC، وأنها لم ترَ أي علامات على اضطراب واسع النطاق. تعليماتها موجهة للأشخاص الذين يديرون محللات تتحقق من التوقيعات، والذين يحتاجون إلى تأكيد وجود المفتاح الجديد في إعداداتهم. وما لم تكن تدير المحلل الخاص بك، فلا يوجد شيء يتعين عليك القيام به.
خرافات شائعة
“نظام DNS المشفر يخفي تصفحي بالكامل.” إنه يخفي استعلاماتك عن الشبكة الواقعة بينك وبين المحلل فقط. أما المحلل فلا يزال يراها، والاتصال لا يزال يكشف عن عنوان IP، وبدون ECH لا يزال يكشف عن اسم الموقع.
“تأمين DNSSEC ونظام DNS المشفر هما الشيء نفسه.” يحلان مشكلتين مختلفتين. تنص كل من RFC 7858 وRFC 8484 على أن الاثنين مستقلان وموافقان لبعضهما، وأن استخدام أحدهما لا يغني عن الآخر.
“DoH هو الخاص والآمن بينما DoT هو الضعيف.” المواصفات لا تفضل أحدهما بصورة مطلقة. تلاحظ RFC 9076 أن DoH يحمل المزيد من ميزات HTTP التي يمكن أن تعمل كمعرّفات، وتقول إن المستخدمين المهتمين بالخصوصية قد يفضلون التطبيقات الصريحة بشأن ما ترسله. بينما تنص RFC 8484 على أنه لا يُعرف عن DoH إضافة مخاوف تتجاوز مخاوف HTTPS نفسه. عملياً، الفجوة صغيرة مقارنة باختيار المحلل نفسه.
ما يجب عليك فعله
يعتمد مدى استحقاق أي من هذا لوقتك على الجهة التي تقلق بشأنها: مشغل شبكة Wi-Fi خبيث، أم مزود خدمة الإنترنت، أم شبكة تحجب المواقع. إذا لم تقم بتحديد ذلك بعد، فابدأ بـ نمذجة التهديدات. الترتيب أدناه قائم على مدى الفائدة مقابل أقل جهد. هذه الصفحة هي معلومات عامة وليست استشارة أمنية حرفية لموقف محدد.
- فعّل نظام DNS المشفر للجهاز بالكامل، وليس لتطبيق واحد فقط: الهواتف التي تنضم إلى شبكات Wi-Fi العامة هي الأكثر استفادة. على أندرويد، ابحث عن Private DNS (عادة تحت الإعدادات، ثم الشبكة والإنترنت، رغم أن المصنعين ينقلونها). اختر “اسم المضيف لمزود Private DNS” وأدخل اسم المضيف الخاص بمزودك. يدعم نظاما iOS وmacOS من Apple نظام DoT أو DoH على مستوى النظام، ولكن اعتبارًا من أكتوبر 2026 تأكدنا فقط من أن التطبيق يمكنه إعداده وأنه يجب عليك الموافقة عليه (توثيق Apple للمطورين). التكلفة: بعض صفحات تسجيل الدخول في الفنادق والمطارات تعتمد على DNS الخاص بالشبكة نفسها، وسيظهر أندرويد “لا يوجد اتصال بالإنترنت” إذا لم يتمكن من الوصول إلى خادمك المسمى. أوقف تشغيله لتسجيل الدخول ذلك، ثم أعد تشغيله.
- اختر المحلل عن قصد: اقرأ سياسة الخصوصية الخاصة به لمعرفة ما يسجله، ولمدة كم، ومن يحصل عليه. السياسة هي وعد وليس ضمانة تقنية، رغم أن بعض الخدمات تدعم سياساتها بعقود، كما تفعل Mozilla مع شركاء DoH. هذه الصفحة لا ترتب المزودين.
- حافظ على تحديث متصفحك لكي تعمل ميزة ECH: لا يوجد شيء يمكنك إعداده في Firefox. تشير أسئلة وإجابات Mozilla إلى فحص متصفح Cloudflare لمعرفة ما إذا كان يعمل من أجلك.
- إذا كنت تستخدم أدوات الرقابة الأبوية أو محلل تصفية، فاجعل ذلك المحلل هو المحلل المشفر الخاص بك: يمكن لـ DoH في المتصفح تجاوز التصفية المحلية، وتقول Mozilla إن أدوات حجب الإعلانات القائمة على DNS يجب أن تستخدم اتصالاً مشفرًا نحو الخوادم الأعلى، وإلا فإن المواقع المزارة تتسرب بشكل غير مباشر.
- على جهاز العمل أو المدرسة، اترك إعدادات DNS كما هي: يمكن للشبكات المُدارية إيقاف تشغيل DoH لأسباب تتعلق بالسياسات، ويتراجع Firefox على الأجهزة المُدارة. يرى محلل صاحب العمل استعلاماتك في كلا الحالتين.
اعتبارًا من أكتوبر 2026، تقول Mozilla إن مستخدمي Firefox على سطح المكتب في الولايات المتحدة وكندا يحصلون على DoH بشكل افتراضي، وبدأ الطرح في روسيا وأوكرانيا عام 2022، وتخطط لمزيد من الدول. المحلل الافتراضي هو شريك موثوق لـ Mozilla. تتيح لك إعداداته إلغاء الاشتراك أو اختيار مزود مختلف، في قسم DNS over HTTPS ضمن إعدادات Firefox.
المصادر
- DNS Privacy Considerations (RFC 9076)، مجموعة IETF، يوليو 2021.
- Specification for DNS over Transport Layer Security (RFC 7858)، مجموعة IETF، مايو 2016.
- DNS Queries over HTTPS (RFC 8484)، مجموعة IETF، أكتوبر 2018.
- DNS over Dedicated QUIC Connections (RFC 9250)، مجموعة IETF، مايو 2022.
- Root Zone KSK Rollover، منظمة ICANN، حالة أكتوبر 2026.
- Firefox DNS over HTTPS، دعم Mozilla، 2026.
- Encrypted Client Hello (ECH) frequently asked questions، دعم Mozilla، تم التحديث أغسطس 2024.
- Encrypted Client Hello: the last puzzle piece to privacy، مدونة Cloudflare، 2023.
- DNS over TLS support in Android P Developer Preview، مدونة أمان Google، 2018.
- DNS settings، توثيق مطوري Apple، 2026.