Der Serverbetreiber veröffentlicht eine ECH-Konfiguration (einen öffentlichen Schlüssel für HPKE, einen öffentlichen Namen und Parameter) im Parameter ech von DNS-Einträgen vom Typ HTTPS (RFC 9848, aufbauend auf RFC 9460). Der Client sendet ein äußeres ClientHello, das an den öffentlichen Namen adressiert ist (etwa einen generischen Host eines CDN) und das verschlüsselte innere in der Erweiterung 0xfe0d trägt; der Server entschlüsselt es und fährt mit den inneren Parametern fort. Sind die Schlüssel veraltet, liefert der Server neue, und der Client versucht es erneut.
ECH verbirgt nur dann etwas, wenn sich viele Websites einen Anbieter teilen und die DNS-Abfrage selbst geschützt ist (DoH oder DoT); sonst verrät die Abfrage des HTTPS-Eintrags den Namen. Cloudflare hat ECH 2023 breit aktiviert; Firefox nutzt es seit Version 119 standardmäßig (mit DNS over HTTPS), Chrome begann mit Version 117, es auszurollen, und nginx und andere Server erhielten später Unterstützung. Netzwerke, die zum Filtern auf SNI setzen, verlieren diesen Einblick, weshalb manche Unternehmen ECH blockieren.