Um zu signalisieren, dass ihr lokaler DNS-Resolver spezielle Funktionen enthält, wodurch sich das Netzwerk nicht für das DNS-over-HTTPS (DoH)-Protokoll eignet, können Netzwerkadministratoren ihre Netzwerke so konfigurieren, dass auf DNS-Anfragen für die folgende spezielle Domain (eine sog. Canary Domain) eine modifizierte Antwort zurückgegeben wird: use-application-dns.net.
Firefox wird versuchen, diese Domain mithilfe des (oder der) im Betriebssystem des Geräts konfigurierten DNS-Server(s) aufzulösen, und untersucht das Ergebnis.
Das Ergebnis wird als negativ gewertet,
- wenn ein anderer Antwortcode als NOERROR zurückgegeben wird, z. B. NXDOMAIN (nicht vorhandene Domain) oder SERVFAIL,
- wenn ein NOERROR-Antwortcode zurückgegeben wird, der jedoch weder A- noch AAAA-Einträge enthält.
Ein negatives Ergebnis ist für Firefox ein Signal zum Deaktivieren der anwendungsspezifischen DNS-Auflösung, also in diesem Fall DoH.
Das Ergebnis wird als positiv gewertet, wenn die Abfrage mit NOERROR abgeschlossen wird und A- oder AAAA-Datensätze (oder beides) enthält.
Die Verwendung dieser Canary Domain ist von Mozilla als zeitlich begrenzte Maßnahme vorgesehen, bis sich ein Gremium für Internetstandardisierung auf eine allgemeingültige Methode einigt, mit der ein Einsatz von DNS-basierter Inhaltsfilterung signalisiert werden kann.
