Test de DNS
https://doh.xfinity.com/dns-queryLos navegadores solo pueden estimar UDP y DoT. En un VPS, un equipo Linux o un router, este comando mide los cinco protocolos y compara tu DNS actual.
curl -fsSL https://dns.1ms.dog/i | sh -s -- run -r xfinity,google
CloudflareUDPDoTDoH✓1.1.1.1 1.0.0.12606:4700:4700::1111 2606:4700:4700::1001one.one.one.onehttps://cloudflare-dns.com/dns-query
GoogleUDPDoTDoH✓8.8.8.8 8.8.4.42001:4860:4860::8888 2001:4860:4860::8844dns.googlehttps://dns.google/dns-query
Quad9UDPDoTDoH✓9.9.9.9 149.112.112.1122620:fe::fe 2620:fe::9dns.quad9.nethttps://dns.quad9.net/dns-query
OpenDNSUDPDoTDoH✓208.67.222.222 208.67.220.2202620:119:35::35 2620:119:53::53dns.opendns.comhttps://doh.opendns.com/dns-query
AdGuard DNSUDPDoTDoHDoQ✓94.140.14.14 94.140.15.152a10:50c0::ad1:ff 2a10:50c0::ad2:ffdns.adguard-dns.comhttps://dns.adguard-dns.com/dns-queryquic://dns.adguard-dns.com
AdGuard UnfilteredUDPDoTDoHDoQ✓94.140.14.140 94.140.14.1412a10:50c0::1:ff 2a10:50c0::2:ffunfiltered.adguard-dns.comhttps://unfiltered.adguard-dns.com/dns-queryquic://unfiltered.adguard-dns.com
NextDNSUDPDoTDoHDoQ✓45.90.28.0 45.90.30.02a07:a8c0:: 2a07:a8c1::dns.nextdns.iohttps://dns.nextdns.io/quic://dns.nextdns.io
Control DUDPDoTDoHDoQ✓76.76.2.0 76.76.10.02606:1a40:: 2606:1a40:1::p0.freedns.controld.comhttps://freedns.controld.com/p0quic://p0.freedns.controld.com
MullvadDoTDoH✓dns.mullvad.nethttps://dns.mullvad.net/dns-query
DNS.SBUDPDoTDoH✓185.222.222.222 45.11.45.112a09:: 2a11::dot.sbhttps://doh.dns.sb/dns-query
Hurricane ElectricUDPDoTDoH✓74.82.42.422001:470:20::2ordns.he.nethttps://ordns.he.net/dns-query
Wikimedia DNSDoTDoH✓wikimedia-dns.orghttps://wikimedia-dns.org/dns-query
CleanBrowsingUDPDoTDoH–185.228.168.9 185.228.169.92a0d:2a00:1::2 2a0d:2a00:2::2security-filter-dns.cleanbrowsing.orghttps://doh.cleanbrowsing.org/doh/security-filter/
Rethink DNSDoTDoH✓max.rethinkdns.comhttps://sky.rethinkdns.com/dns-query
AliDNSUDPDoTDoHDoQ–223.5.5.5 223.6.6.62400:3200::1 2400:3200:baba::1dns.alidns.comhttps://dns.alidns.com/dns-queryquic://dns.alidns.com
DNSPodUDPDoTDoH–119.29.29.292402:4e00::dot.pubhttps://doh.pub/dns-query
360 DNSUDPDoTDoH–101.226.4.6 218.30.118.6dot.360.cnhttps://doh.360.cn/dns-query
Yandex DNSUDPDoTDoH–77.88.8.8 77.88.8.12a02:6b8::feed:0ff 2a02:6b8:0:1::feed:0ffcommon.dot.dns.yandex.nethttps://common.dot.dns.yandex.net/dns-query
DNS4EUUDPDoTDoH✓86.54.11.100 86.54.11.2002a13:1001::86:54:11:100 2a13:1001::86:54:11:200unfiltered.joindns4.euhttps://unfiltered.joindns4.eu/dns-query
CIRA Canadian ShieldUDPDoTDoH✓149.112.121.10 149.112.122.102620:10a:80bb::10 2620:10a:80bc::10private.canadianshield.cira.cahttps://private.canadianshield.cira.ca/dns-query
CZ.NIC ODVRUDPDoTDoH✓193.17.47.1 185.43.135.12001:148f:ffff::1 2001:148f:fffe::1odvr.nic.czhttps://odvr.nic.cz/doh
SWITCHDoTDoH✓dns.switch.chhttps://dns.switch.ch/dns-query
Digitale GesellschaftDoTDoH✓dns.digitale-gesellschaft.chhttps://dns.digitale-gesellschaft.ch/dns-query
DNSForgeUDPDoTDoH✓176.9.93.198 176.9.1.1172a01:4f8:151:34aa::198 2a01:4f8:141:316d::117dnsforge.dehttps://dnsforge.de/dns-query
UncensoredDNSUDPDoTDoH✓91.239.100.100 89.233.43.712001:67c:28a4:: 2a01:3a0:53:53::anycast.uncensoreddns.orghttps://anycast.uncensoreddns.org/dns-query
Applied PrivacyDoTDoH✓dot1.applied-privacy.nethttps://doh.applied-privacy.net/query
NjallaUDPDoTDoH✓95.215.19.532001:67c:2354:2::53dns.njal.lahttps://dns.njal.la/dns-query
DNS4ALLUDPDoTDoH✓194.0.5.32001:678:8::3dot.dns4all.euhttps://doh.dns4all.eu/dns-query
LibreDNSDoTDoH–dot.libredns.grhttps://doh.libredns.gr/dns-query
Comss.one DNSDoTDoH–dns.comss.onehttps://dns.comss.one/dns-query
XfinityDoH✓https://doh.xfinity.com/dns-query
TiarapUDPDoTDoH✓174.138.21.128dot.tiar.apphttps://doh.tiar.app/dns-query
IIJ Public DNSDoTDoH✓public.dns.iij.jphttps://public.dns.iij.jp/dns-queryLa imagen y el enlace se crean aquí, en tu navegador; no se sube nada. El enlace solo lleva los números.
curl -fsSL https://dns.1ms.dog/i | shcurl -fsSL https://dns.1ms.dog/i | sh -s -- runwget -qO- https://dns.1ms.dog/i | shdnstest -p udp,dot,doqdnstest -r cloudflare,google,alidnsdnstest -6dnstest --json > dns.jsonirm https://dns.1ms.dog/i.ps1 | iexCon un proxy activo, el navegador llega a los resolvers a través de él y el test mide la ruta del proxy. Estas reglas envían DIRECT solo las direcciones que usa el test; nada más cambia.
Luego recarga la configuración del proxy y vuelve a probar.
Xfinity DNS es un servicio de DNS público y gratuito operado por Comcast (Estados Unidos). Solo ofrece DNS cifrado (DoH); no tiene dirección pública de DNS normal. Atiende sobre todo a una región (Estados Unidos): de cerca puede ser el más rápido; de lejos suele ser más lento que las grandes redes globales.
Valida DNSSEC: rechaza las respuestas cuya firma no cuadra. No filtra: todos los nombres se resuelven tal cual.
Qué introducir para usar Xfinity DNS:
DoH https://doh.xfinity.com/dns-query
Windows necesita una dirección de DNS normal para usar DNS cifrado, y Xfinity DNS no publica ninguna: úsalo en el navegador (abajo) o con un cliente DNS local como dnscrypt-proxy.
macOS usa DNS cifrado mediante un perfil de configuración: instala un perfil DNS para https://doh.xfinity.com/dns-query.
Instala un perfil DNS para https://doh.xfinity.com/dns-query y actívalo en Ajustes → General → VPN y gestión de dispositivos → DNS.
Android no tiene dónde configurarlo: Xfinity DNS no ofrece nombre de host DoT ni dirección normal. Úsalo en el navegador.
Los routers solo aceptan direcciones de DNS normal, que Xfinity DNS no publica; en OpenWrt, https-dns-proxy puede reenviar a https://doh.xfinity.com/dns-query.
Chrome: Configuración → Privacidad y seguridad → Seguridad → Usar DNS seguro → Personalizado: https://doh.xfinity.com/dns-query. Edge lo tiene en Privacidad, búsqueda y servicios. Firefox: Ajustes → Privacidad y seguridad → DNS sobre HTTPS → Protección máxima → Personalizado: https://doh.xfinity.com/dns-query.
Su DNS normal suele responder, pero más lento, porque los servidores están fuera de China continental, y las respuestas para sitios bloqueados pueden falsificarse por el camino. El DNS cifrado (DoH, DoT) hacia él suele estar bloqueado o ser inestable. Haz la prueba en esta página: una fila sin respuesta significa que no es accesible desde tu red.
Ninguno es más rápido en todas partes: cuenta lo lejos que está el servidor más cercano de cada uno y cómo enruta tu proveedor hasta allí. Esta página mide los dos, y todos los demás DNS de la lista, desde tu propia red en unos 20 segundos; arriba verás en qué puesto queda Xfinity DNS y cuánto le saca el más rápido.
Casi siempre por distancia: su servidor más cercano está lejos o tu proveedor da un rodeo. Un proxy o VPN también lleva las consultas, y entonces la prueba mide la ruta del proxy (las reglas directas lo arreglan). Algunas redes ralentizan o bloquean el DNS cifrado. Y un nombre que nadie le ha pedido aún siempre tarda más (columna Sin caché). Si otro DNS de la lista es claramente más rápido, cámbiate a él.
Tu navegador consulta directamente a cada resolver; nada pasa por este sitio. Primero abre una conexión con cada uno y consulta una vez tres nombres populares, que quedan en su caché; eso no cuenta. Luego vienen 10 rondas: en cada una se consulta a todos una vez más, en un orden aleatorio nuevo, unos pocos a la vez, para que un tropiezo de tu red afecte a todos por igual. Una ronda sí y otra no también se consulta un nombre aleatorio que no existe.
Las cifras son medianas: una consulta lenta suelta no las mueve. Los tiempos vienen de la medición de red que el navegador registra para cada petición, que los scripts de la página no pueden retrasar. Cada URL es nueva y se pide sin caché, así que solo el resolver puede responder.
Los navegadores solo hacen peticiones HTTPS. No pueden enviar una consulta UDP al puerto 53, abrir TLS al puerto 853 (DoT) ni hablar DoQ, y ninguna web puede hacerlo desde tu red. Los sitios que muestran esas cifras miden desde su propio servidor o las suponen.
Lo que sí puede hacer la página: enviar DNS over HTTPS al mismo servidor que responde UDP y DoT (por ejemplo https://1.1.1.1/dns-query). En una conexión abierta, una consulta cuesta un viaje de ida y vuelta a ese servidor más el trabajo del resolver, que es justo lo que cuesta una consulta UDP o DoT; HTTP añade menos de un milisegundo. De ahí el ≈. Si el servidor DNS normal no tiene HTTPS, aparece – en lugar de un número.
Lo que una estimación no ve: una red que bloquea, frena o altera los puertos 53 u 853 pero deja HTTPS en paz.
Para medir UDP, DoT y DoQ de verdad, ejecuta la herramienta de línea de comandos (el comando bajo la tabla) en un servidor, un equipo Linux o un router: habla todos los protocolos y usa la misma lista.
El método de medición está en la primera pregunta. Además, la lista se comprueba con scripts/verify.mjs (en el repositorio) desde más de un continente: cada dirección debe dar una respuesta DNS real a este tipo de consulta, y la validación DNSSEC se prueba en lugar de fiarse de lo que dice cada proveedor.
Donde el resolver lo permite (Cloudflare, Google, Quad9, Control D, DNS.SB, DNS4EU, IIJ), la página también lee cada respuesta y solo cuenta las reales. En los demás el navegador puede medir la respuesta, pero no leerla.
Repite el test un par de veces, a distintas horas si puedes: lo más rápido de noche quizá no lo sea en hora punta.
Por defecto no: con un proxy o VPN activo, tu navegador llega a los resolvers a través de él y el test mide la ruta del proxy (todos los resolvers extranjeros parecen tan rápidos como tu servidor proxy). El DNS que configuras en tu dispositivo o router normalmente se consulta directo, así que no es lo que obtendrías.
Para medir tu propia red, añade las reglas directas (el botón junto al progreso): envían directo exactamente las direcciones que usa este test, por nombre de host exacto e IP única, y nada más. Sirven para Clash/Mihomo, Surge, Shadowrocket, Quantumult X, Loon, sing-box y Xray; la mayoría puede cargarlas desde este sitio para mantenerlas al día.
Los nombres populares ya están en la caché de cualquier resolver con tráfico, así que responden rápido en todas partes. Con un nombre que nadie ha pedido hace poco, el resolver debe preguntar antes a los servidores DNS del propio sitio. El test usa nombres aleatorios bajo una zona alojada en el DNS de Cloudflare, con servidores casi en todas partes salvo China continental.
Ese coste depende de dónde estén los servidores DNS de cada sitio, que varía, así que se muestra pero no cuenta para el orden. Los resolvers de China continental parecen lentos aquí porque los servidores de la zona están fuera; para sitios chinos, con DNS en China, son rápidos.
El primero de la lista es una buena opción. Si la diferencia es de pocos ms, elige por lo que más te importe: Quad9 y OpenDNS bloquean sitios conocidos de malware y phishing; Mullvad, Quad9 y Wikimedia no guardan registros de quién consultó qué; los que validan DNSSEC rechazan respuestas falsas en dominios firmados.
Si tu dispositivo solo admite direcciones de servidores DNS normales (la mayoría de routers, sistemas antiguos), mira la columna UDP: la línea bajo el ganador indica el DNS normal más rápido cuando es otro.
Para que tu red y tu operador no vean lo que consultas, usa la dirección DoT o DoH: el DNS normal viaja sin cifrar.
Android 9+: Ajustes → Red → DNS privado → escribe el host DoT (por ejemplo one.one.one.one).
iPhone y Mac: en cada red Wi-Fi, escribe los servidores DNS; para DNS cifrado instala un perfil de configuración desde la web del resolver.
Windows 11: Configuración → Red → tu conexión → Asignación de servidor DNS → Manual, escribe los servidores y activa DNS over HTTPS.
Router: pon los servidores DNS en su configuración DHCP o WAN y todos los dispositivos de la red los usarán.
Solo el navegador: Chrome, Edge y Firefox tienen la opción DNS seguro, donde eliges un proveedor o pegas la dirección DoH.
Haz clic en cualquier dirección de esta página para copiarla.
DNSSEC permite que un dominio firme sus registros DNS. Un resolver que valida comprueba las firmas y rechaza las respuestas que no coinciden, así que nadie en el camino puede darte una dirección falsa de un dominio firmado. La página muestra ✓ en los que lo hacen (probado con un dominio roto a propósito, dnssec-failed.org, que deben rechazar). Solo ayuda con dominios firmados, pero no cuesta nada.
Solo ofrecen DNS normal y sus servidores no responden a HTTPS en absoluto, así que un navegador no puede llegar a ellos de ninguna forma. Quad101 (Taiwán) quedó fuera porque su DoH no respondió desde el extranjero en nuestras comprobaciones.
EDNS Client Subnet: algunos resolvers comunican parte de tu dirección a los servidores DNS del sitio, para que una CDN elija un servidor cercano a ti y no al resolver. Puede acelerar descargas y vídeo, a cambio de algo de privacidad.
No está en la tabla porque no es una propiedad fija: en nuestras comprobaciones el mismo resolver la enviaba desde algunos lugares y protocolos y no desde otros, así que un sí o un no engañaría.
No. Las consultas van directamente de tu navegador a cada resolver, y los nombres consultados son sitios públicos populares y nombres aleatorios; no contienen nada sobre ti. Este sitio no recibe resultados. Cada resolver ve tu dirección, como en cualquier consulta DNS; se aplican sus propias políticas de privacidad. El código es abierto y está en GitHub.