Jak uniemożliwić dostawcy internetu widzenie odwiedzanych stron

Twój dostawca internetu wie, jakie strony odwiedzasz. Nie dokładną treść stron (jeśli witryna używa HTTPS), ale nazwy domen: wie, że odwiedziłeś określoną stronę medyczną, forum, serwis streamingowy, o której godzinie i jak długo. Te informacje przechodzą przez jego serwery DNS i metadane twoich połączeń. W większości krajów dostawcy są prawnie zobowiązani do przechowywania tych danych przez określony czas. W Polsce Prawo telekomunikacyjne nakłada na operatorów obowiązek retencji danych przez 12 miesięcy.

To nie paranoja, to normalne działanie sieci. Gdy wpisujesz adres w przeglądarce, twoje urządzenie wysyła zapytanie DNS do serwera dostawcy, by przetłumaczyć nazwę domeny na adres IP. To zapytanie jest wysyłane otwartym tekstem, bez szyfrowania, a dostawca je rejestruje. Nawet jeśli treść strony jest szyfrowana przez HTTPS, dostawca widzi nazwę żądanej witryny. To jak wysyłanie listu w nieprzezroczystej kopercie: listonosz nie może przeczytać treści, ale widzi adres odbiorcy.

Co dokładnie widzi twój dostawca

Aby się dobrze chronić, trzeba najpierw zrozumieć, co dostawca może, a czego nie może zobaczyć:

Co widzi: nazwy domen, które odwiedzasz (przez zapytania DNS), adresy IP serwerów, z którymi się łączysz, znaczniki czasu każdego połączenia, wolumen wymienionych danych, a w niektórych przypadkach SNI (Server Name Indication), nieszyfrowane pole w negocjacji TLS, które ujawnia nazwę witryny nawet bez korzystania z jego DNS.

Czego nie widzi (jeśli witryna używa HTTPS): treści stron, wpisywanych danych logowania, wysyłanych wiadomości, pobieranych plików. HTTPS szyfruje treść, ale nie metadane połączenia.

Rozróżnienie jest ważne. Wiedza, że odwiedziłeś stronę konsultacji medycznej o 3 w nocy, to już informacja wrażliwa, nawet jeśli dostawca nie wie, jaką dokładnie stronę przeglądałeś.

Zmiana serwera DNS: pierwszy krok

Najprostszą i najszybszą metodą, by uniemożliwić dostawcy widzenie zapytań DNS, jest przestanie korzystania z jego serwerów DNS. Domyślnie twoje urządzenie używa DNS dostawcy. Przy każdej wizycie na stronie zapytanie przechodzi przez ich serwery i jest rejestrowane.

Zmieniając serwer DNS, wysyłasz zapytania do podmiotu trzeciego (Cloudflare, Google, Quad9) zamiast do dostawcy. Ale uwaga: jeśli zmienisz serwer DNS bez włączenia szyfrowania, zapytania nadal podróżują otwartym tekstem. Dostawca ich nie przetwarza, ale może je przechwycić w tranzycie.

Aby zmiana była naprawdę skuteczna, trzeba użyć szyfrowanego DNS. Istnieją dwa protokoły:

DNS over TLS (DoT) szyfruje zapytania DNS przez protokół TLS na porcie 853. To protokół używany przez funkcję "Prywatny DNS" w Androidzie 9+. Wpisujesz nazwę hosta jak one.one.one.one (Cloudflare) lub dns.google i wszystkie zapytania są szyfrowane. Dostawca widzi, że komunikujesz się z zewnętrznym serwerem DNS na porcie 853, ale nie może odczytać treści zapytań.

DNS over HTTPS (DoH) szyfruje zapytania DNS przez HTTPS na porcie 443, tym samym co normalny ruch webowy. Zaleta: zapytania DNS są nieodróżnialne od zwykłego ruchu. Dostawca nie może nawet zobaczyć, że wykonujesz osobne zapytania DNS. Firefox, Chrome, Edge i Brave obsługują DoH w swoich ustawieniach.

Główne szyfrowane serwery DNS:

Problem SNI: DNS nie zawsze wystarcza

Nawet z szyfrowanym DNS, twój dostawca może w niektórych przypadkach nadal widzieć odwiedzane strony. Gdy przeglądarka łączy się z serwerem HTTPS, wysyła nazwę witryny otwartym tekstem w polu o nazwie SNI (Server Name Indication) podczas negocjacji TLS. To pole pozwala serwerowi wiedzieć, jaki certyfikat SSL przedstawić, gdy hostuje wiele witryn pod tym samym adresem IP.

Dostawca sprawdzający metadane połączeń może odczytać to pole SNI i zobaczyć nazwę witryny, nawet jeśli używasz szyfrowanego DNS. To znana luka, a rozwiązanie nazywa się ECH (Encrypted Client Hello), wcześniej znane jako ESNI. ECH szyfruje pole SNI, uniemożliwiając dostawcy zobaczenie nazwy witryny podczas negocjacji TLS.

Wdrażanie ECH trwa. Cloudflare włącza je na swoich serwerach, Firefox obsługuje w połączeniu z DoH, a Chrome nad tym pracuje. Ale ECH działa tylko jeśli serwer odwiedzanej witryny również je włączył. W 2026 roku pokrycie rośnie, ale nie jest jeszcze powszechne.

Używanie VPN: najpełniejsze rozwiązanie

VPN (Virtual Private Network) tworzy szyfrowany tunel między twoim urządzeniem a serwerem dostawcy VPN. Cały ruch internetowy przechodzi przez ten tunel, włącznie z zapytaniami DNS, metadanymi połączeń i treścią. Dostawca widzi tylko jedno: że jesteś połączony z serwerem VPN. Nie wie, jakie strony odwiedzasz, jakie treści przeglądasz, ani jakich usług używasz.

To najskuteczniejsze rozwiązanie do ukrycia aktywności przed dostawcą, ale ma istotne implikacje:

Przenosisz zaufanie, nie je eliminujesz. Dostawca nie widzi już twojego ruchu, ale dostawca VPN tak. Zamieniasz jedną monitorującą instytucję na inną. Wybór VPN jest więc kluczowy. Wybieraj dostawców, których polityka nielogowania została zaudytowana przez niezależne firmy (Mullvad, IVPN, ProtonVPN opublikowały audyty). Unikaj darmowych VPN: jeśli nic nie kosztują, produktem jesteś ty.

Wpływ na wydajność. VPN dodaje pośrednika między tobą a serwerami, które odwiedzasz. Opóźnienie rośnie (zwykle o 10-30 ms w zależności od odległości serwera VPN), a przepustowość może spadać. Przy przeglądaniu stron rzadko da się to odczuć. Przy grach online lub wideokonferencjach może się odczuwać.

Protokoły VPN. WireGuard jest najnowocześniejszym i najszybszym protokołem, z minimalną bazą kodu i doskonałą wydajnością. OpenVPN jest starszy, ale sprawdzony i szeroko obsługiwany. Unikaj PPTP, który jest przestarzały i niezabezpieczony. Większość nowoczesnych dostawców VPN domyślnie używa WireGuard.

Kill switch. Sprawdź, czy twój klient VPN ma kill switch (wyłącznik awaryjny). Ta funkcja automatycznie odcina połączenie internetowe, gdy VPN się rozłączy, zapobiegając krótkotrwałemu odsłonięciu ruchu. Bez kill switch chwilowe rozłączenie VPN (zmiana sieci Wi-Fi, utrata sygnału) może ujawnić twoją aktywność dostawcy.

Tor: maksymalna anonimowość, z kompromisami

Tor (The Onion Router) przekazuje twój ruch przez trzy kolejne przekaźniki, z których każdy szyfruje dodatkową warstwę. Pierwszy widzi twój adres IP, ale nie cel. Ostatni widzi cel, ale nie twój adres IP. Żaden nie widzi obu informacji naraz. Dostawca widzi tylko, że jesteś podłączony do sieci Tor, bez wiedzy co tam robisz.

Tor oferuje wyższy poziom anonimowości niż VPN, ale ze znaczącymi kompromisami:

Wolność. Potrójne odbicie przez ochotnicze przekaźniki czyni przeglądanie znacznie wolniejszym niż z VPN. Streaming wideo jest praktycznie niemożliwy, a nawet podstawowe przeglądanie stron bywa mozolne.

Podejrzenia. Samo połączenie z Tor może zwrócić uwagę w pewnych kontekstach. Niektórzy dostawcy lub sieci firmowe blokują połączenia Tor, a w niektórych krajach korzystanie z Tor jest ściśle monitorowane. Istnieją "bridges" Tor do obejścia tych blokad, ale ich konfiguracja jest bardziej techniczna.

Potencjalne wycieki. Jeśli używasz Tor do przeglądania zwykłych stron (nie .onion), przekaźnik wyjściowy może widzieć nieszyfrowany ruch. Upewnij się, że odwiedzasz tylko strony HTTPS korzystając z Tor. Przeglądarka Tor zawiera domyślne zabezpieczenia, ale błędna konfiguracja lub instalacja rozszerzeń może zagrozić anonimowości.

HTTPS wszędzie: konieczne, ale niewystarczające

HTTPS szyfruje treść wymiany między przeglądarką a serwerem witryny. Bez HTTPS dostawca (i każdy w sieci) widzi wszystko, co robisz: odwiedzane strony, wypełniane formularze, pobierane pliki. Z HTTPS dostawca widzi tylko nazwę domeny (przez DNS lub SNI), nie treść.

W 2026 roku ponad 95% stron ładowanych w Chrome używa HTTPS. Nowoczesne przeglądarki wyświetlają ostrzeżenie, gdy witryna nie używa HTTPS. Jeśli napotkasz strony HTTP, unikaj wpisywania na nich danych osobowych.

HTTPS to niezbędna warstwa bazowa, ale nie ukrywa metadanych przed dostawcą. Nie ukrywa nazwy witryny, częstotliwości wizyt ani wolumenu danych. Do tych metadanych trzeba połączyć HTTPS z szyfrowanym DNS lub VPN.

Łączenie zabezpieczeń

Żadna pojedyncza metoda nie pokrywa wszystkich kątów. Oto kombinacje według poziomu ochrony:

Ochrona podstawowa: Szyfrowane DNS (DoH lub DoT) + HTTPS. Dostawca nie widzi zapytań DNS. Może nadal widzieć adresy IP serwerów i potencjalnie SNI, ale nie może czytać treści. To minimalna zalecana konfiguracja dla każdego, i nic nie kosztuje.

Ochrona średnia: Zaufany VPN + DNS VPN. Cały ruch jest szyfrowany i przechodzi przez serwer VPN. Dostawca widzi tylko połączenie z VPN. Dostawca VPN staje się ogniwem zaufania. To najpraktyczniejszy wybór na co dzień.

Ochrona maksymalna: Tor + szyfrowane DNS + HTTPS. Potrójny przekaźnik Tor ukrywa tożsamość i cel. Wolność czyni tę konfigurację nieodpowiednią na co dzień, ale jest uzasadniona dla wrażliwych poszukiwań.

Czego te metody nie chronią

Ukrycie ruchu przed dostawcą nie czyni cię niewidzialnym online. Witryny identyfikują cię innymi sposobami: cookies, fingerprinting przeglądarki, zalogowane konta (jeśli jesteś zalogowany w Google i odwiedzasz stronę używającą Google Analytics, Google wie, że to ty). Sieci społecznościowe i reklamowe śledzą cię między stronami za pomocą trackerów i pikseli śledzących.

Aby chronić się przed śledzeniem reklamowym, trzeba połączyć szyfrowanie ruchu z blokerem trackerów (uBlock Origin w przeglądarce lub filtrujący DNS jak NextDNS czy AdGuard DNS) i dobre praktyki: przeglądanie w trybie prywatnym dla wrażliwych wyszukiwań, używanie kontenerów kart (Firefox Multi-Account Containers), ograniczanie zainstalowanych rozszerzeń i wylogowywanie się z kont, gdy nie są potrzebne.

Twój dostawca domyślnie widzi każdą nazwę domeny, którą odwiedzasz. Szyfrowane DNS (DoH lub DoT) to pierwszy krok, darmowy i prosty, by odciąć tę widoczność. VPN idzie dalej, ukrywając cały ruch. Ale jakąkolwiek metodę wybierzesz, pamiętaj, że przenosisz zaufanie, a nie je eliminujesz: z dostawcy na dostawcę DNS lub z dostawcy na dostawcę VPN. Wybieraj pośredników ostrożnie.