Comment fonctionne le test ?
Votre navigateur interroge chaque résolveur directement ; rien ne passe par ce site. Il ouvre d’abord une connexion avec chacun et demande une fois trois noms populaires, qui entrent ainsi dans son cache ; rien de cela ne compte. Viennent ensuite 10 tours : à chaque tour, chaque résolveur est interrogé une fois de plus, dans un nouvel ordre aléatoire, quelques-uns à la fois, pour qu’un à-coup de votre réseau les touche tous de la même façon. Un tour sur deux demande aussi un nom aléatoire qui n’existe nulle part.
Les chiffres sont des médianes : une requête lente isolée ne les change pas. Les temps viennent de la mesure réseau que le navigateur enregistre pour chaque requête, que les scripts de la page ne peuvent pas retarder. Chaque URL est nouvelle et demandée sans cache : seul le résolveur peut répondre.
Pourquoi UDP et DoT sont-ils estimés ?
Les navigateurs ne font que des requêtes HTTPS. Ils ne peuvent pas envoyer une requête UDP au port 53, ouvrir du TLS vers le port 853 (DoT) ni parler DoQ, et aucun site web ne peut le faire depuis votre réseau. Les sites qui affichent ces chiffres mesurent depuis leur propre serveur ou devinent.
Ce que la page peut faire : envoyer du DNS over HTTPS au serveur même qui répond en UDP et DoT (par exemple https://1.1.1.1/dns-query). Sur une connexion ouverte, une requête coûte un aller-retour vers ce serveur plus le travail du résolveur, exactement ce que coûte une requête UDP ou DoT ; HTTP ajoute bien moins d’une milliseconde. D’où le ≈. Quand le serveur DNS classique n’a pas de HTTPS, un – remplace le chiffre.
Ce qu’une estimation ne voit pas : un réseau qui bloque, ralentit ou altère les ports 53 ou 853 sans toucher à HTTPS.
Pour mesurer vraiment UDP, DoT et DoQ, lancez l’outil en ligne de commande (la commande sous le tableau) sur un serveur, une machine Linux ou un routeur : il parle tous les protocoles et utilise la même liste.
Les résultats sont-ils fiables ?
La méthode de mesure est décrite dans la première question. En plus, la liste est vérifiée avec scripts/verify.mjs (dans le dépôt) depuis plus d’un continent : chaque adresse doit donner une vraie réponse DNS à ce type de requête, et la validation DNSSEC est testée plutôt que tirée des annonces des fournisseurs.
Quand le résolveur le permet (Cloudflare, Google, Quad9, Control D, DNS.SB, DNS4EU, IIJ), la page lit aussi chaque réponse et ne compte que les vraies. Pour les autres, le navigateur peut chronométrer la réponse mais pas la lire.
Refaites le test une ou deux fois, à des heures différentes si possible : le plus rapide la nuit ne l’est pas forcément aux heures de pointe.
J’utilise un proxy. Les résultats sont-ils encore les miens ?
Pas par défaut : avec un proxy ou un VPN actif, votre navigateur joint les résolveurs à travers lui, et le test mesure la route du proxy (tous les résolveurs étrangers paraissent alors aussi rapides que votre serveur proxy). Le DNS réglé sur votre appareil ou votre box est en général interrogé directement : ce n’est donc pas ce que vous obtiendriez.
Pour mesurer votre propre réseau, ajoutez les règles directes (le bouton à côté de la progression) : elles envoient en direct exactement les adresses de ce test, par nom d’hôte exact et IP unique, et rien d’autre. Clash/Mihomo, Surge, Shadowrocket, Quantumult X, Loon, sing-box et Xray sont couverts ; la plupart peuvent charger les règles depuis ce site pour rester à jour.
Que veut dire « sans cache » ?
Les noms populaires sont déjà dans le cache de tout résolveur fréquenté : ils répondent vite partout. Pour un nom que personne n’a demandé récemment, le résolveur doit d’abord interroger les serveurs DNS du site. Le test utilise des noms aléatoires sous une zone hébergée sur le DNS de Cloudflare, présent presque partout sauf en Chine continentale.
Ce coût dépend de l’emplacement des serveurs DNS de chaque site, qui varie, il est donc affiché mais pas classé. Les résolveurs de Chine continentale paraissent lents ici parce que les serveurs de la zone sont à l’étranger ; pour les sites chinois, dont le DNS est en Chine, ils sont rapides.
Lequel choisir ?
Le premier de la liste est un bon choix par défaut. Si l’écart est de quelques ms, choisissez selon ce qui compte pour vous : Quad9 et OpenDNS bloquent les sites de malware et d’hameçonnage connus ; Mullvad, Quad9 et Wikimedia ne gardent pas de journaux de qui a demandé quoi ; ceux qui valident DNSSEC refusent les fausses réponses sur les domaines signés.
Si votre appareil n’accepte que des adresses de serveurs DNS classiques (la plupart des box et routeurs, les anciens systèmes), regardez la colonne UDP : la ligne sous le gagnant donne le DNS classique le plus rapide quand c’en est un autre.
Pour que votre réseau et votre FAI ne voient pas vos requêtes, utilisez l’adresse DoT ou DoH : le DNS classique circule en clair.
Comment changer de DNS ?
Android 9+ : Paramètres → Réseau → DNS privé → saisissez l’hôte DoT (par exemple one.one.one.one).
iPhone et Mac : pour chaque réseau Wi-Fi, saisissez les serveurs DNS ; pour du DNS chiffré, installez un profil de configuration depuis le site du résolveur.
Windows 11 : Paramètres → Réseau → votre connexion → Attribution du serveur DNS → Manuel, saisissez les serveurs et activez DNS over HTTPS.
Box ou routeur : mettez les serveurs DNS dans ses réglages DHCP ou WAN, et tous les appareils du réseau les utiliseront.
Navigateur seul : Chrome, Edge et Firefox ont un réglage DNS sécurisé où choisir un fournisseur ou coller l’adresse DoH.
Cliquez sur une adresse de cette page pour la copier.
Qu’est-ce que DNSSEC ?
DNSSEC permet à un domaine de signer ses enregistrements DNS. Un résolveur qui valide vérifie les signatures et refuse les réponses qui ne correspondent pas : personne sur le trajet ne peut vous donner une fausse adresse pour un domaine signé. La page affiche ✓ pour ceux qui le font (testé avec un domaine volontairement cassé, dnssec-failed.org, qu’ils doivent refuser). Cela ne protège que les domaines signés, mais ne coûte rien.
Pourquoi 114DNS et Baidu DNS ne sont-ils pas testés ?
Ils n’offrent que du DNS classique et leurs serveurs ne répondent pas du tout en HTTPS : un navigateur ne peut les joindre d’aucune façon. Quad101 (Taïwan) a été écarté parce que son DoH ne répondait pas depuis l’étranger lors de nos vérifications.
Qu’est-ce qu’ECS, et pourquoi n’est-il pas affiché ?
EDNS Client Subnet : certains résolveurs transmettent une partie de votre adresse aux serveurs DNS du site, pour qu’un CDN choisisse un serveur proche de vous plutôt que du résolveur. Cela peut accélérer téléchargements et vidéo, au prix d’un peu de confidentialité.
Il n’est pas dans le tableau car ce n’est pas une propriété fixe : lors de nos vérifications, un même résolveur le transmettait depuis certains endroits et protocoles et pas d’autres, donc un oui ou un non induirait en erreur.
Mes données sont-elles collectées ?
Non. Les requêtes vont directement de votre navigateur à chaque résolveur, et les noms demandés sont des sites publics populaires et des noms aléatoires ; rien sur vous. Ce site ne reçoit aucun résultat. Chaque résolveur voit votre adresse, comme pour toute requête DNS ; leurs propres politiques de confidentialité s’appliquent. Le code est open source sur GitHub.
Cloudflare
Google
Quad9
OpenDNS
AdGuard DNS
AdGuard Unfiltered
NextDNS
Control D
Mullvad
DNS.SB
Hurricane Electric
Wikimedia DNS
CleanBrowsing
Rethink DNS
AliDNS
DNSPod
360 DNS
Yandex DNS
DNS4EU
CIRA Canadian Shield
CZ.NIC ODVR
SWITCH
Digitale Gesellschaft
DNSForge
UncensoredDNS
Applied Privacy
Njalla
DNS4ALL
LibreDNS
Comss.one DNS
Xfinity
Tiarap
IIJ Public DNS