I tak to lze obejít, existují "browser in a browser" implementace kde je veškerá komunikace čistě v režii javascriptu, včetně DoH.
Nebo si může někdo spustit na nějaké VPS firefox v dockeru a jít přes něj... admin sítě opět vidí jen https traffic někam do neznáma.