¿Cómo funciona el test?
Tu navegador consulta directamente a cada resolver; nada pasa por este sitio. Primero abre una conexión con cada uno y consulta una vez tres nombres populares, que quedan en su caché; eso no cuenta. Luego vienen 10 rondas: en cada una se consulta a todos una vez más, en un orden aleatorio nuevo, unos pocos a la vez, para que un tropiezo de tu red afecte a todos por igual. Una ronda sí y otra no también se consulta un nombre aleatorio que no existe.
Las cifras son medianas: una consulta lenta suelta no las mueve. Los tiempos vienen de la medición de red que el navegador registra para cada petición, que los scripts de la página no pueden retrasar. Cada URL es nueva y se pide sin caché, así que solo el resolver puede responder.
¿Por qué UDP y DoT son estimaciones?
Los navegadores solo hacen peticiones HTTPS. No pueden enviar una consulta UDP al puerto 53, abrir TLS al puerto 853 (DoT) ni hablar DoQ, y ninguna web puede hacerlo desde tu red. Los sitios que muestran esas cifras miden desde su propio servidor o las suponen.
Lo que sí puede hacer la página: enviar DNS over HTTPS al mismo servidor que responde UDP y DoT (por ejemplo https://1.1.1.1/dns-query). En una conexión abierta, una consulta cuesta un viaje de ida y vuelta a ese servidor más el trabajo del resolver, que es justo lo que cuesta una consulta UDP o DoT; HTTP añade menos de un milisegundo. De ahí el ≈. Si el servidor DNS normal no tiene HTTPS, aparece – en lugar de un número.
Lo que una estimación no ve: una red que bloquea, frena o altera los puertos 53 u 853 pero deja HTTPS en paz.
Para medir UDP, DoT y DoQ de verdad, ejecuta la herramienta de línea de comandos (el comando bajo la tabla) en un servidor, un equipo Linux o un router: habla todos los protocolos y usa la misma lista.
¿Qué tan fiables son los resultados?
El método de medición está en la primera pregunta. Además, la lista se comprueba con scripts/verify.mjs (en el repositorio) desde más de un continente: cada dirección debe dar una respuesta DNS real a este tipo de consulta, y la validación DNSSEC se prueba en lugar de fiarse de lo que dice cada proveedor.
Donde el resolver lo permite (Cloudflare, Google, Quad9, Control D, DNS.SB, DNS4EU, IIJ), la página también lee cada respuesta y solo cuenta las reales. En los demás el navegador puede medir la respuesta, pero no leerla.
Repite el test un par de veces, a distintas horas si puedes: lo más rápido de noche quizá no lo sea en hora punta.
Uso un proxy. ¿Los resultados siguen siendo míos?
Por defecto no: con un proxy o VPN activo, tu navegador llega a los resolvers a través de él y el test mide la ruta del proxy (todos los resolvers extranjeros parecen tan rápidos como tu servidor proxy). El DNS que configuras en tu dispositivo o router normalmente se consulta directo, así que no es lo que obtendrías.
Para medir tu propia red, añade las reglas directas (el botón junto al progreso): envían directo exactamente las direcciones que usa este test, por nombre de host exacto e IP única, y nada más. Sirven para Clash/Mihomo, Surge, Shadowrocket, Quantumult X, Loon, sing-box y Xray; la mayoría puede cargarlas desde este sitio para mantenerlas al día.
¿Qué significa «sin caché»?
Los nombres populares ya están en la caché de cualquier resolver con tráfico, así que responden rápido en todas partes. Con un nombre que nadie ha pedido hace poco, el resolver debe preguntar antes a los servidores DNS del propio sitio. El test usa nombres aleatorios bajo una zona alojada en el DNS de Cloudflare, con servidores casi en todas partes salvo China continental.
Ese coste depende de dónde estén los servidores DNS de cada sitio, que varía, así que se muestra pero no cuenta para el orden. Los resolvers de China continental parecen lentos aquí porque los servidores de la zona están fuera; para sitios chinos, con DNS en China, son rápidos.
¿Cuál elijo?
El primero de la lista es una buena opción. Si la diferencia es de pocos ms, elige por lo que más te importe: Quad9 y OpenDNS bloquean sitios conocidos de malware y phishing; Mullvad, Quad9 y Wikimedia no guardan registros de quién consultó qué; los que validan DNSSEC rechazan respuestas falsas en dominios firmados.
Si tu dispositivo solo admite direcciones de servidores DNS normales (la mayoría de routers, sistemas antiguos), mira la columna UDP: la línea bajo el ganador indica el DNS normal más rápido cuando es otro.
Para que tu red y tu operador no vean lo que consultas, usa la dirección DoT o DoH: el DNS normal viaja sin cifrar.
¿Cómo cambio mi DNS?
Android 9+: Ajustes → Red → DNS privado → escribe el host DoT (por ejemplo one.one.one.one).
iPhone y Mac: en cada red Wi-Fi, escribe los servidores DNS; para DNS cifrado instala un perfil de configuración desde la web del resolver.
Windows 11: Configuración → Red → tu conexión → Asignación de servidor DNS → Manual, escribe los servidores y activa DNS over HTTPS.
Router: pon los servidores DNS en su configuración DHCP o WAN y todos los dispositivos de la red los usarán.
Solo el navegador: Chrome, Edge y Firefox tienen la opción DNS seguro, donde eliges un proveedor o pegas la dirección DoH.
Haz clic en cualquier dirección de esta página para copiarla.
¿Qué es DNSSEC?
DNSSEC permite que un dominio firme sus registros DNS. Un resolver que valida comprueba las firmas y rechaza las respuestas que no coinciden, así que nadie en el camino puede darte una dirección falsa de un dominio firmado. La página muestra ✓ en los que lo hacen (probado con un dominio roto a propósito, dnssec-failed.org, que deben rechazar). Solo ayuda con dominios firmados, pero no cuesta nada.
¿Por qué no se prueban 114DNS ni Baidu DNS?
Solo ofrecen DNS normal y sus servidores no responden a HTTPS en absoluto, así que un navegador no puede llegar a ellos de ninguna forma. Quad101 (Taiwán) quedó fuera porque su DoH no respondió desde el extranjero en nuestras comprobaciones.
¿Qué es ECS y por qué no aparece?
EDNS Client Subnet: algunos resolvers comunican parte de tu dirección a los servidores DNS del sitio, para que una CDN elija un servidor cercano a ti y no al resolver. Puede acelerar descargas y vídeo, a cambio de algo de privacidad.
No está en la tabla porque no es una propiedad fija: en nuestras comprobaciones el mismo resolver la enviaba desde algunos lugares y protocolos y no desde otros, así que un sí o un no engañaría.
¿Se recogen mis datos?
No. Las consultas van directamente de tu navegador a cada resolver, y los nombres consultados son sitios públicos populares y nombres aleatorios; no contienen nada sobre ti. Este sitio no recibe resultados. Cada resolver ve tu dirección, como en cualquier consulta DNS; se aplican sus propias políticas de privacidad. El código es abierto y está en GitHub.
Cloudflare
Google
Quad9
OpenDNS
AdGuard DNS
AdGuard Unfiltered
NextDNS
Control D
Mullvad
DNS.SB
Hurricane Electric
Wikimedia DNS
CleanBrowsing
Rethink DNS
AliDNS
DNSPod
360 DNS
Yandex DNS
DNS4EU
CIRA Canadian Shield
CZ.NIC ODVR
SWITCH
Digitale Gesellschaft
DNSForge
UncensoredDNS
Applied Privacy
Njalla
DNS4ALL
LibreDNS
Comss.one DNS
Xfinity
Tiarap
IIJ Public DNS