O operador do servidor publica uma configuração ECH (uma chave pública HPKE, um nome público e parâmetros) no parâmetro ech dos registros DNS HTTPS (RFC 9848, sobre a RFC 9460). O cliente envia um ClientHello externo endereçado ao nome público (por exemplo, o host genérico de uma CDN), que leva o interno criptografado na extensão 0xfe0d; o servidor o descriptografa e continua com os parâmetros internos. Se as chaves estiverem desatualizadas, o servidor devolve chaves novas e o cliente tenta de novo.
Ele só esconde algo quando muitos sites compartilham um provedor e a própria consulta DNS está protegida (DoH ou DoT); caso contrário, a consulta ao registro HTTPS revela o nome. A Cloudflare o ativou em larga escala em 2023; o Firefox o usa por padrão desde a versão 119 (com DNS sobre HTTPS), o Chrome começou a liberá-lo na versão 117, e o nginx e outros servidores passaram a oferecer suporte depois. As redes que dependem do SNI para filtragem perdem essa visibilidade, e é por isso que algumas empresas o bloqueiam.