El operador del servidor publica una configuración ECH (una clave pública HPKE, un nombre público y parámetros) en el parámetro ech de los registros DNS HTTPS (RFC 9848, sobre el RFC 9460). El cliente envía un ClientHello externo dirigido al nombre público (por ejemplo, el host genérico de una CDN) que lleva el interno cifrado en la extensión 0xfe0d; el servidor lo descifra y continúa con los parámetros internos. Si las claves están desactualizadas, el servidor devuelve otras nuevas y el cliente vuelve a intentarlo.
Solo oculta algo cuando muchos sitios comparten proveedor y la propia consulta DNS está protegida (DoH o DoT); si no, la consulta del registro HTTPS revela el nombre. Cloudflare lo activó de forma generalizada en 2023; Firefox lo usa por defecto desde la versión 119 (con DNS sobre HTTPS), Chrome empezó a desplegarlo en la versión 117, y nginx y otros servidores lo admitieron más tarde. Las redes que filtran por SNI pierden esa visibilidad, y por eso algunas empresas lo bloquean.