Test de DNS
185.228.168.9 185.228.169.92a0d:2a00:1::2 2a0d:2a00:2::2security-filter-dns.cleanbrowsing.orghttps://doh.cleanbrowsing.org/doh/security-filter/Los navegadores solo pueden estimar UDP y DoT. En un VPS, un equipo Linux o un router, este comando mide los cinco protocolos y compara tu DNS actual.
curl -fsSL https://dns.1ms.dog/i | sh -s -- run -r cleanbrowsing,opendns
CloudflareUDPDoTDoH✓1.1.1.1 1.0.0.12606:4700:4700::1111 2606:4700:4700::1001one.one.one.onehttps://cloudflare-dns.com/dns-query
GoogleUDPDoTDoH✓8.8.8.8 8.8.4.42001:4860:4860::8888 2001:4860:4860::8844dns.googlehttps://dns.google/dns-query
Quad9UDPDoTDoH✓9.9.9.9 149.112.112.1122620:fe::fe 2620:fe::9dns.quad9.nethttps://dns.quad9.net/dns-query
OpenDNSUDPDoTDoH✓208.67.222.222 208.67.220.2202620:119:35::35 2620:119:53::53dns.opendns.comhttps://doh.opendns.com/dns-query
AdGuard DNSUDPDoTDoHDoQ✓94.140.14.14 94.140.15.152a10:50c0::ad1:ff 2a10:50c0::ad2:ffdns.adguard-dns.comhttps://dns.adguard-dns.com/dns-queryquic://dns.adguard-dns.com
AdGuard UnfilteredUDPDoTDoHDoQ✓94.140.14.140 94.140.14.1412a10:50c0::1:ff 2a10:50c0::2:ffunfiltered.adguard-dns.comhttps://unfiltered.adguard-dns.com/dns-queryquic://unfiltered.adguard-dns.com
NextDNSUDPDoTDoHDoQ✓45.90.28.0 45.90.30.02a07:a8c0:: 2a07:a8c1::dns.nextdns.iohttps://dns.nextdns.io/quic://dns.nextdns.io
Control DUDPDoTDoHDoQ✓76.76.2.0 76.76.10.02606:1a40:: 2606:1a40:1::p0.freedns.controld.comhttps://freedns.controld.com/p0quic://p0.freedns.controld.com
MullvadDoTDoH✓dns.mullvad.nethttps://dns.mullvad.net/dns-query
DNS.SBUDPDoTDoH✓185.222.222.222 45.11.45.112a09:: 2a11::dot.sbhttps://doh.dns.sb/dns-query
Hurricane ElectricUDPDoTDoH✓74.82.42.422001:470:20::2ordns.he.nethttps://ordns.he.net/dns-query
Wikimedia DNSDoTDoH✓wikimedia-dns.orghttps://wikimedia-dns.org/dns-query
CleanBrowsingUDPDoTDoH–185.228.168.9 185.228.169.92a0d:2a00:1::2 2a0d:2a00:2::2security-filter-dns.cleanbrowsing.orghttps://doh.cleanbrowsing.org/doh/security-filter/
Rethink DNSDoTDoH✓max.rethinkdns.comhttps://sky.rethinkdns.com/dns-query
AliDNSUDPDoTDoHDoQ–223.5.5.5 223.6.6.62400:3200::1 2400:3200:baba::1dns.alidns.comhttps://dns.alidns.com/dns-queryquic://dns.alidns.com
DNSPodUDPDoTDoH–119.29.29.292402:4e00::dot.pubhttps://doh.pub/dns-query
360 DNSUDPDoTDoH–101.226.4.6 218.30.118.6dot.360.cnhttps://doh.360.cn/dns-query
Yandex DNSUDPDoTDoH–77.88.8.8 77.88.8.12a02:6b8::feed:0ff 2a02:6b8:0:1::feed:0ffcommon.dot.dns.yandex.nethttps://common.dot.dns.yandex.net/dns-query
DNS4EUUDPDoTDoH✓86.54.11.100 86.54.11.2002a13:1001::86:54:11:100 2a13:1001::86:54:11:200unfiltered.joindns4.euhttps://unfiltered.joindns4.eu/dns-query
CIRA Canadian ShieldUDPDoTDoH✓149.112.121.10 149.112.122.102620:10a:80bb::10 2620:10a:80bc::10private.canadianshield.cira.cahttps://private.canadianshield.cira.ca/dns-query
CZ.NIC ODVRUDPDoTDoH✓193.17.47.1 185.43.135.12001:148f:ffff::1 2001:148f:fffe::1odvr.nic.czhttps://odvr.nic.cz/doh
SWITCHDoTDoH✓dns.switch.chhttps://dns.switch.ch/dns-query
Digitale GesellschaftDoTDoH✓dns.digitale-gesellschaft.chhttps://dns.digitale-gesellschaft.ch/dns-query
DNSForgeUDPDoTDoH✓176.9.93.198 176.9.1.1172a01:4f8:151:34aa::198 2a01:4f8:141:316d::117dnsforge.dehttps://dnsforge.de/dns-query
UncensoredDNSUDPDoTDoH✓91.239.100.100 89.233.43.712001:67c:28a4:: 2a01:3a0:53:53::anycast.uncensoreddns.orghttps://anycast.uncensoreddns.org/dns-query
Applied PrivacyDoTDoH✓dot1.applied-privacy.nethttps://doh.applied-privacy.net/query
NjallaUDPDoTDoH✓95.215.19.532001:67c:2354:2::53dns.njal.lahttps://dns.njal.la/dns-query
DNS4ALLUDPDoTDoH✓194.0.5.32001:678:8::3dot.dns4all.euhttps://doh.dns4all.eu/dns-query
LibreDNSDoTDoH–dot.libredns.grhttps://doh.libredns.gr/dns-query
Comss.one DNSDoTDoH–dns.comss.onehttps://dns.comss.one/dns-query
XfinityDoH✓https://doh.xfinity.com/dns-query
TiarapUDPDoTDoH✓174.138.21.128dot.tiar.apphttps://doh.tiar.app/dns-query
IIJ Public DNSDoTDoH✓public.dns.iij.jphttps://public.dns.iij.jp/dns-queryLa imagen y el enlace se crean aquí, en tu navegador; no se sube nada. El enlace solo lleva los números.
curl -fsSL https://dns.1ms.dog/i | shcurl -fsSL https://dns.1ms.dog/i | sh -s -- runwget -qO- https://dns.1ms.dog/i | shdnstest -p udp,dot,doqdnstest -r cloudflare,google,alidnsdnstest -6dnstest --json > dns.jsonirm https://dns.1ms.dog/i.ps1 | iexCon un proxy activo, el navegador llega a los resolvers a través de él y el test mide la ruta del proxy. Estas reglas envían DIRECT solo las direcciones que usa el test; nada más cambia.
Luego recarga la configuración del proxy y vuelve a probar.
CleanBrowsing DNS es un servicio de DNS público y gratuito operado por CleanBrowsing (Estados Unidos). Responde DNS normal en 185.228.168.9, 185.228.169.9 (IPv6: 2a0d:2a00:1::2, 2a0d:2a00:2::2), y DNS cifrado: DoT, DoH. Tiene servidores en muchos lugares del mundo y tus consultas van al más cercano.
No valida DNSSEC. Por defecto bloquea dominios de malware y phishing.
Qué introducir para usar CleanBrowsing DNS:
DNS (IPv4) 185.228.168.9, 185.228.169.9
DNS (IPv6) 2a0d:2a00:1::2, 2a0d:2a00:2::2
DoT / DNS privado security-filter-dns.cleanbrowsing.org
DoH https://doh.cleanbrowsing.org/doh/security-filter/
Configuración → Red e Internet → Wi‑Fi o Ethernet → Propiedades de hardware → Asignación de servidor DNS → Editar → Manual. Activa IPv4 y escribe 185.228.168.9, 185.228.169.9. Para cifrar, pon DNS sobre HTTPS en Activado (plantilla manual) con https://doh.cleanbrowsing.org/doh/security-filter/.
Ajustes del Sistema → Red → Wi‑Fi (o Ethernet) → Detalles → DNS: pulsa + y añade 185.228.168.9, 185.228.169.9. El DNS cifrado (https://doh.cleanbrowsing.org/doh/security-filter/) necesita un perfil de configuración.
Ajustes → Wi‑Fi → ⓘ junto a la red → Configurar DNS → Manual, y añade 185.228.168.9, 185.228.169.9. Solo vale para esa Wi‑Fi; para DNS cifrado en cualquier red, instala un perfil DNS para https://doh.cleanbrowsing.org/doh/security-filter/.
Ajustes → Redes e Internet → DNS privado → Nombre de host del proveedor de DNS privado: security-filter-dns.cleanbrowsing.org. Funciona en cualquier red y va cifrado (DoT). El menú cambia un poco según la marca: busca «DNS privado» en Ajustes.
En la página de administración del router (ajustes WAN o DHCP), pon como servidores DNS 185.228.168.9, 185.228.169.9: todos los dispositivos de la red lo usarán.
Chrome: Configuración → Privacidad y seguridad → Seguridad → Usar DNS seguro → Personalizado: https://doh.cleanbrowsing.org/doh/security-filter/. Edge lo tiene en Privacidad, búsqueda y servicios. Firefox: Ajustes → Privacidad y seguridad → DNS sobre HTTPS → Protección máxima → Personalizado: https://doh.cleanbrowsing.org/doh/security-filter/.
Con systemd-resolved: pon DNS=185.228.168.9 185.228.169.9 en /etc/systemd/resolved.conf y ejecuta systemctl restart systemd-resolved. Para DoT, escribe la dirección como 185.228.168.9#security-filter-dns.cleanbrowsing.org y añade DNSOverTLS=yes.
Su DNS normal suele responder, pero más lento, porque los servidores están fuera de China continental, y las respuestas para sitios bloqueados pueden falsificarse por el camino. El DNS cifrado (DoH, DoT) hacia él suele estar bloqueado o ser inestable. Haz la prueba en esta página: una fila sin respuesta significa que no es accesible desde tu red.
Ninguno es más rápido en todas partes: cuenta lo lejos que está el servidor más cercano de cada uno y cómo enruta tu proveedor hasta allí. Esta página mide los dos, y todos los demás DNS de la lista, desde tu propia red en unos 20 segundos; arriba verás en qué puesto queda CleanBrowsing DNS y cuánto le saca el más rápido.
Casi siempre por distancia: su servidor más cercano está lejos o tu proveedor da un rodeo. Un proxy o VPN también lleva las consultas, y entonces la prueba mide la ruta del proxy (las reglas directas lo arreglan). Algunas redes ralentizan o bloquean el DNS cifrado. Y un nombre que nadie le ha pedido aún siempre tarda más (columna Sin caché). Si otro DNS de la lista es claramente más rápido, cámbiate a él.
Tu navegador consulta directamente a cada resolver; nada pasa por este sitio. Primero abre una conexión con cada uno y consulta una vez tres nombres populares, que quedan en su caché; eso no cuenta. Luego vienen 10 rondas: en cada una se consulta a todos una vez más, en un orden aleatorio nuevo, unos pocos a la vez, para que un tropiezo de tu red afecte a todos por igual. Una ronda sí y otra no también se consulta un nombre aleatorio que no existe.
Las cifras son medianas: una consulta lenta suelta no las mueve. Los tiempos vienen de la medición de red que el navegador registra para cada petición, que los scripts de la página no pueden retrasar. Cada URL es nueva y se pide sin caché, así que solo el resolver puede responder.
Los navegadores solo hacen peticiones HTTPS. No pueden enviar una consulta UDP al puerto 53, abrir TLS al puerto 853 (DoT) ni hablar DoQ, y ninguna web puede hacerlo desde tu red. Los sitios que muestran esas cifras miden desde su propio servidor o las suponen.
Lo que sí puede hacer la página: enviar DNS over HTTPS al mismo servidor que responde UDP y DoT (por ejemplo https://1.1.1.1/dns-query). En una conexión abierta, una consulta cuesta un viaje de ida y vuelta a ese servidor más el trabajo del resolver, que es justo lo que cuesta una consulta UDP o DoT; HTTP añade menos de un milisegundo. De ahí el ≈. Si el servidor DNS normal no tiene HTTPS, aparece – en lugar de un número.
Lo que una estimación no ve: una red que bloquea, frena o altera los puertos 53 u 853 pero deja HTTPS en paz.
Para medir UDP, DoT y DoQ de verdad, ejecuta la herramienta de línea de comandos (el comando bajo la tabla) en un servidor, un equipo Linux o un router: habla todos los protocolos y usa la misma lista.
El método de medición está en la primera pregunta. Además, la lista se comprueba con scripts/verify.mjs (en el repositorio) desde más de un continente: cada dirección debe dar una respuesta DNS real a este tipo de consulta, y la validación DNSSEC se prueba en lugar de fiarse de lo que dice cada proveedor.
Donde el resolver lo permite (Cloudflare, Google, Quad9, Control D, DNS.SB, DNS4EU, IIJ), la página también lee cada respuesta y solo cuenta las reales. En los demás el navegador puede medir la respuesta, pero no leerla.
Repite el test un par de veces, a distintas horas si puedes: lo más rápido de noche quizá no lo sea en hora punta.
Por defecto no: con un proxy o VPN activo, tu navegador llega a los resolvers a través de él y el test mide la ruta del proxy (todos los resolvers extranjeros parecen tan rápidos como tu servidor proxy). El DNS que configuras en tu dispositivo o router normalmente se consulta directo, así que no es lo que obtendrías.
Para medir tu propia red, añade las reglas directas (el botón junto al progreso): envían directo exactamente las direcciones que usa este test, por nombre de host exacto e IP única, y nada más. Sirven para Clash/Mihomo, Surge, Shadowrocket, Quantumult X, Loon, sing-box y Xray; la mayoría puede cargarlas desde este sitio para mantenerlas al día.
Los nombres populares ya están en la caché de cualquier resolver con tráfico, así que responden rápido en todas partes. Con un nombre que nadie ha pedido hace poco, el resolver debe preguntar antes a los servidores DNS del propio sitio. El test usa nombres aleatorios bajo una zona alojada en el DNS de Cloudflare, con servidores casi en todas partes salvo China continental.
Ese coste depende de dónde estén los servidores DNS de cada sitio, que varía, así que se muestra pero no cuenta para el orden. Los resolvers de China continental parecen lentos aquí porque los servidores de la zona están fuera; para sitios chinos, con DNS en China, son rápidos.
El primero de la lista es una buena opción. Si la diferencia es de pocos ms, elige por lo que más te importe: Quad9 y OpenDNS bloquean sitios conocidos de malware y phishing; Mullvad, Quad9 y Wikimedia no guardan registros de quién consultó qué; los que validan DNSSEC rechazan respuestas falsas en dominios firmados.
Si tu dispositivo solo admite direcciones de servidores DNS normales (la mayoría de routers, sistemas antiguos), mira la columna UDP: la línea bajo el ganador indica el DNS normal más rápido cuando es otro.
Para que tu red y tu operador no vean lo que consultas, usa la dirección DoT o DoH: el DNS normal viaja sin cifrar.
Android 9+: Ajustes → Red → DNS privado → escribe el host DoT (por ejemplo one.one.one.one).
iPhone y Mac: en cada red Wi-Fi, escribe los servidores DNS; para DNS cifrado instala un perfil de configuración desde la web del resolver.
Windows 11: Configuración → Red → tu conexión → Asignación de servidor DNS → Manual, escribe los servidores y activa DNS over HTTPS.
Router: pon los servidores DNS en su configuración DHCP o WAN y todos los dispositivos de la red los usarán.
Solo el navegador: Chrome, Edge y Firefox tienen la opción DNS seguro, donde eliges un proveedor o pegas la dirección DoH.
Haz clic en cualquier dirección de esta página para copiarla.
DNSSEC permite que un dominio firme sus registros DNS. Un resolver que valida comprueba las firmas y rechaza las respuestas que no coinciden, así que nadie en el camino puede darte una dirección falsa de un dominio firmado. La página muestra ✓ en los que lo hacen (probado con un dominio roto a propósito, dnssec-failed.org, que deben rechazar). Solo ayuda con dominios firmados, pero no cuesta nada.
Solo ofrecen DNS normal y sus servidores no responden a HTTPS en absoluto, así que un navegador no puede llegar a ellos de ninguna forma. Quad101 (Taiwán) quedó fuera porque su DoH no respondió desde el extranjero en nuestras comprobaciones.
EDNS Client Subnet: algunos resolvers comunican parte de tu dirección a los servidores DNS del sitio, para que una CDN elija un servidor cercano a ti y no al resolver. Puede acelerar descargas y vídeo, a cambio de algo de privacidad.
No está en la tabla porque no es una propiedad fija: en nuestras comprobaciones el mismo resolver la enviaba desde algunos lugares y protocolos y no desde otros, así que un sí o un no engañaría.
No. Las consultas van directamente de tu navegador a cada resolver, y los nombres consultados son sitios públicos populares y nombres aleatorios; no contienen nada sobre ti. Este sitio no recibe resultados. Cada resolver ve tu dirección, como en cualquier consulta DNS; se aplican sus propias políticas de privacidad. El código es abierto y está en GitHub.