> как то фактический отказ от децентрализации DNS (на стороне клиента) и привязка его к одному источнику данных

А при чем тут протокол? Это к реализации относится. Я могу системный DoT направить к гуглу (что в новом андроиде и есть), чем не централизация? Разве что провайдеру или владельцу вайфая легче заблокировать и вынудить юзать его днс без шифрования (хотя по дефолту и популярные публичные DoH-сервера не трудно забанить, на похожести с https выигрывают личные сервера).
А DoH в софте мог бы по дефолту иметь специальный домен, перед CFшным, а на первый резолв обычным днс провайдер отдавал бы свой ип, дальше софт стучится по http, там отвечают редиректом на домен с шифрованием уже, с которым и пойдет DoH трафик. Выйдет примерно та же безопасность и секьюрность, что с DoT. Но это никому не нужно, ведь проще DoH сделать с проверкой специального домена use-application-dns.net в начале, чтобы провайдер мог отключить DoH для дефолтных клиентов firefox. А в гугле еще проще решили, просто апгрейдить протокол к публичным днс, который выбрал юзер. Стояли восьмерки, получил шифрование до гугла. Если у юзера провайдерский днс, то останется на открытом днс.

> Потому что DoH это не про DNS, а про HTTP, и ему не место в DNS ресолвере, а место где-то в районе middleware веб-сервера.

Модель osi мертва. От искусственного разделения уровней отказались, ни у кого нет места и неместа, где всунули, там работает. Придет http/3 и окончательно сломает этот культ расовой^W уровневой чистоты. https://blog.apnic.net/2017/12/12/internet-protocols-changing/