¿Cuál elijo?
El que sale arriba es una buena opción. Si los primeros están a pocos milisegundos, elige según lo que más te importe:
Bloquear malware y phishing conocidos: Quad9 u OpenDNS.
Privacidad: Mullvad, Quad9 y Wikimedia afirman que no registran quién consulta qué.
Protección contra respuestas falsas: elige uno con ✓, que valida DNSSEC (la firma de los dominios).
Si tu dispositivo solo acepta direcciones de DNS normal (la mayoría de routers, sistemas antiguos), mira la columna UDP. Cuando el DNS normal más rápido no es el ganador, aparece en la línea de debajo del ganador.
Si no quieres que tu red ni tu proveedor de internet vean qué sitios consultas, usa la dirección DoT o DoH: el DNS normal va sin cifrar y las redes por las que pasa pueden leerlo.
¿Cómo cambio mi DNS?
Android 9 o posterior: Ajustes → Red → DNS privado, y escribe el nombre de host DoT (por ejemplo one.one.one.one). Funciona en cualquier red y va cifrado.
iPhone y Mac: escribe los servidores DNS en cada red Wi-Fi. Para DNS cifrado, instala un perfil de configuración desde la web del proveedor.
Windows 11: Configuración → Red → tu conexión → Asignación de servidor DNS → Manual. Escribe los servidores y activa DNS sobre HTTPS.
Router: pon los servidores DNS en sus ajustes DHCP o WAN y los usarán todos los dispositivos de tu red.
Solo el navegador: Chrome, Edge y Firefox tienen un ajuste de DNS seguro donde eliges un proveedor o pegas una dirección DoH.
Cada servidor tiene su propia página con los pasos detallados. Haz clic en cualquier dirección de esta página para copiarla.
Uso un proxy. ¿El resultado sigue siendo de mi red?
Por defecto, no. Con un proxy o VPN activado, el navegador llega a los servidores DNS a través de él, así que el test mide la ruta del proxy y todos los servidores del extranjero parecen igual de rápidos que tu servidor proxy. El DNS que configuras en tu dispositivo o router normalmente se consulta directamente, así que esos números no son lo que tendrías en la práctica.
Para medir tu propia red, añade las reglas directas (el botón junto a la barra de progreso). Mandan directamente solo las direcciones que usa este test, por nombre de host exacto e IP individual, y no tocan el resto del tráfico. Funcionan con Clash/Mihomo, Surge, Shadowrocket, Quantumult X, Loon, sing-box y Xray, y la mayoría puede cargarlas desde este sitio para que se mantengan al día.
¿Cómo funciona el test?
Tu navegador consulta directamente a cada servidor DNS; nada pasa por este sitio.
Primero se conecta a cada uno y consulta una vez tres nombres populares, para que queden en la caché de ese servidor. Esa parte no puntúa. Luego vienen 10 rondas: en cada una se consulta a todos una vez, en un orden aleatorio nuevo y unos cuantos a la vez. Así, si tu red tiene un bajón, afecta a todos por igual y no solo al que tocaba en ese momento. Cada dos rondas también se consulta un nombre aleatorio que no existe.
Los resultados son medianas, así que una consulta lenta no hunde la puntuación. Los tiempos salen del propio registro de red del navegador, que los scripts de la página no pueden retrasar. Cada petición va a una URL nueva y se salta todas las cachés, así que solo el servidor DNS puede responder.
¿Por qué UDP y DoT son estimados?
Porque el navegador no los puede medir. Una página web solo puede hacer peticiones HTTPS: no puede enviar DNS normal por UDP (puerto 53), DNS cifrado por TLS (DoT, puerto 853) ni DoQ. Ningún sitio web puede medir eso desde tu red; si alguno muestra esos números, los ha medido desde su propio servidor o se los inventa.
Lo que hace esta página: envía DoH, es decir, DNS cifrado por HTTPS, al mismo servidor que responde por UDP y DoT (por ejemplo https://1.1.1.1/dns-query). Con la conexión ya abierta, una consulta tarda un viaje de ida y vuelta hasta ese servidor más lo que tarda en procesarla. Una consulta por UDP o DoT cuesta exactamente eso; HTTPS añade bastante menos de un milisegundo. De ahí el ≈. Si el servidor DNS normal de un proveedor no admite HTTPS, verás un – en lugar de un número inventado.
Lo que una estimación no detecta: una red que bloquea, ralentiza o manipula los puertos 53 o 853 pero deja pasar HTTPS.
Para medir UDP, DoT y DoQ de verdad, ejecuta el comando del recuadro de línea de comandos que hay encima de la tabla (también lo abre el botón «Línea de comandos» junto a la barra de progreso) en un servidor, un equipo Linux o un router. Habla todos los protocolos y mide la misma lista de servidores.
¿Son fiables los resultados?
Cómo se mide está en ¿Cómo funciona el test? Además, la lista se comprueba desde más de un continente con scripts/verify.mjs (en el repositorio del código): cada dirección debe responder a este tipo de consulta con una respuesta DNS real, y la validación de DNSSEC se prueba, no se copia de lo que dice cada proveedor.
Cloudflare, Google, Quad9, Control D, DNS.SB, DNS4EU e IIJ permiten que una página web lea sus respuestas, así que la página las revisa una a una y solo cuenta las reales. Con los demás, el navegador puede medir el tiempo pero no leer la respuesta.
Repite el test varias veces, a ser posible a distintas horas: el más rápido de noche puede no serlo en las horas de más tráfico.
¿Qué significa Primera consulta?
Los nombres populares ya están en la caché de todos los grandes servidores DNS, así que cualquiera los responde rápido. Un nombre que nadie ha consultado en un tiempo es otra historia: el servidor primero tiene que preguntar a los servidores DNS del propio sitio y luego pasarte la respuesta. Eso es una primera consulta.
El test usa nombres aleatorios alojados en Cloudflare, que tiene servidores DNS casi en todas partes menos en China continental. Este tiempo depende de dónde estén los servidores DNS de cada sitio, que cambia de un sitio a otro, así que se muestra pero no cuenta para el ranking. Los servidores de China continental parecen lentos en esta columna porque los servidores de estos nombres están fuera; con sitios chinos son rápidos.
¿Qué es DNSSEC?
En pocas palabras: los dominios firman sus registros DNS para que las respuestas no se puedan falsificar. Un servidor que valida DNSSEC comprueba la firma y rechaza las respuestas que no cuadran, así que nadie por el camino puede colarte una dirección falsa. Un ✓ indica que el servidor lo valida: lo probamos con un dominio roto a propósito, dnssec-failed.org, que debe rechazar. Solo protege los dominios firmados, pero no tiene ninguna desventaja.
¿Qué es ECS y por qué no está en la tabla?
ECS (EDNS Client Subnet) significa que el servidor DNS pasa parte de tu dirección IP a los servidores DNS del sitio, para que una CDN elija un servidor cerca de ti y no cerca del servidor DNS. Las descargas y el video pueden ir más rápido, a cambio de revelar un poco dónde estás.
No está en la tabla porque no es fijo: en nuestras comprobaciones, el mismo servidor lo pasaba desde unos lugares y por unos protocolos, pero no desde otros. Un simple sí o no te confundiría.
¿Por qué no están 114DNS ni Baidu DNS?
Solo ofrecen DNS normal y sus servidores no responden por HTTPS, así que un navegador no tiene forma de llegar a ellos. Quad101 (Taiwán, China) tampoco está: su DoH no respondía desde otras regiones cuando lo comprobamos.
¿Se recopilan mis datos?
No se guardan resultados ni nada sobre ti. Las consultas de la prueba van directamente de tu navegador a cada DNS y son de sitios públicos populares y nombres aleatorios; no llevan nada sobre ti. Tus resultados se quedan en tu navegador. Solo al pulsar Compartir se escriben en el enlace (los tiempos de cada DNS, sin dirección IP; incluir tu país o región es decisión tuya).
Una cosa pasa por el servidor propio de 1ms.dog (en Tokio): para mostrar qué DNS usa de verdad tu dispositivo, la página consulta un nombre aleatorio bajo l.1ms.dog, cuyo servidor DNS es nuestro, y al terminar la prueba envía uno de esos nombres a través de cada DNS para ver qué servidor suyo te atiende. Ese servidor ve la dirección del DNS que preguntó y, si ese DNS la transmite, tu red (ECS: la primera parte de tu dirección, por ejemplo 203.0.113.0/24). Las guarda en memoria 2 minutos para que la página las recoja de api.l.1ms.dog y luego las olvida; no se escribe nada en disco ni en ningún registro. La página solo te las muestra a ti; nunca van en el enlace ni en la tarjeta para compartir.
Como en cualquier consulta DNS, cada DNS ve tu dirección IP y se aplica su propia política de privacidad. El código es abierto, en GitHub.