火狐浏览器启用DNS over HTTPS需图形界面勾选并配置DoH地址，或通过about:config强制设置network.trr.mode为2、指定network.trr.uri和bootstrapAddress，内网域名须填入excluded-domains以直连本地DNS，验证见about:networking#dns中TRR状态与协议列。
要在火狐浏览器中启用安全DNS（即DNS over HTTPS），必须将原本明文发送的DNS查询改由加密HTTPS通道发出，彻底防止运营商劫持、公共Wi-Fi窃听和局域网DNS污染——UDP 53端口的裸奔查询从此被封禁。
通过图形界面一键启用（推荐大多数用户）
1、在地址栏输入 about:preferences#privacy 并回车，进入隐私与安全设置页。
2、向下滚动至“基于 HTTPS 的 DNS”区域，勾选“启用 DNS over HTTPS”复选框。
3、在“保护级别”下拉菜单中选择【增强保护】——该模式强制优先使用你指定的DoH服务，仅在其完全无响应时才回退到系统DNS，避免静默劫持。
4、点击“使用以下提供程序”旁的“自定义”按钮，在弹出框中粘贴国内稳定地址：https://doh.pub/dns-query 或 https://dns.alidns.com/dns-query。
5、点击“保存更改”，状态显示“成功”后即可关闭页面。新标签页的DNS查询已默认加密。
通过 about:config 强制锁定参数（适用于企业网络或配置失效场景）
方法一：基础强制启用
1、地址栏输入 about:config → 回车 → 点击“接受风险并继续”。
2、搜索 network.trr.mode，双击将其值设为 【2】（表示始终使用TRR，失败才回退）。
3、搜索 network.trr.uri，双击编辑，填入DoH地址，例如：https://doh.pub/dns-query。
4、搜索 network.trr.bootstrapAddress，若不存在则右键→新建→字符串→名称填此项→值填对应IP（如阿里DoH用 223.5.5.5），确保初始解析可达。
免费 DNS 与邮件安全分析（IntoDNS.ai）：包括 DNSSEC、SPF、DKIM、DMARC、MTA-STS、BIMI、SMTP STARTTLS、FCrDNS、黑名单、发件人要求及报告。
这一步不能跳过——没有bootstrap IP，浏览器首次启动时无法解析DoH域名，会导致TRR直接失败。
让内网域名绕过DoH直连本地DNS
启用DoH后，intranet.company、gitlab.internal 这类内网域名会解析失败，因为火狐不再读取系统hosts或发UDP 53给路由器。
1、地址栏输入 about:config → 接受风险。
2、搜索 network.trr.excluded-domains；若未出现，右键→新建→字符串→名称填此项。
3、双击该项，填入逗号分隔的纯域名：intranet.company,gitlab.internal,printer.lan——不带http://、不加尾点、不写通配符。
4、修改后无需重启，新开标签页立即生效；已打开页面需刷新。
验证DoH是否真正生效
1、新开标签页，访问 about:networking#dns。
2、查看 TRR Status 行，状态应显示为 active。
3、在 Recent Queries 表格中找任意公网域名（如 baidu.com），确认 Protocol 列显示 HTTPS。
4、再查一个你填入 network.trr.excluded-domains 的内网域名，Protocol 列应显示 UDP 或 TCP，说明分流成功。
