Qu'est-ce que CIRA Canadian Shield ?
CIRA Canadian Shield est un service DNS public et gratuit exploité par CIRA (Canada). Il répond en DNS classique sur 149.112.121.10, 149.112.122.10 (IPv6 : 2620:10a:80bb::10, 2620:10a:80bc::10), et en DNS chiffré : DoT, DoH. Il dessert surtout une région (Canada) : de près il peut être le plus rapide, de loin il est en général plus lent que les grands réseaux mondiaux.
Il valide DNSSEC : les réponses dont la signature ne colle pas sont refusées. Il ne filtre rien : chaque nom est résolu tel quel. Il est exploité à but non lucratif.
Adresses des serveurs DNS de CIRA Canadian Shield
Ce qu'il faut saisir pour utiliser CIRA Canadian Shield :
DNS (IPv4) 149.112.121.10, 149.112.122.10
DNS (IPv6) 2620:10a:80bb::10, 2620:10a:80bc::10
DoT / DNS privé private.canadianshield.cira.ca
DoH https://private.canadianshield.cira.ca/dns-query
Comment configurer CIRA Canadian Shield
Windows 11
Paramètres → Réseau et Internet → Wi‑Fi ou Ethernet → Propriétés du matériel → Attribution du serveur DNS → Modifier → Manuel. Activez IPv4 et saisissez 149.112.121.10, 149.112.122.10. Pour chiffrer, réglez DNS sur HTTPS sur Activé (modèle manuel) avec https://private.canadianshield.cira.ca/dns-query.
macOS
Réglages Système → Réseau → Wi‑Fi (ou Ethernet) → Détails → DNS : cliquez sur + et ajoutez 149.112.121.10, 149.112.122.10. Le DNS chiffré (https://private.canadianshield.cira.ca/dns-query) demande un profil de configuration.
iPhone et iPad
Réglages → Wi‑Fi → ⓘ à côté du réseau → Configurer le DNS → Manuel, puis ajoutez 149.112.121.10, 149.112.122.10. Cela ne vaut que pour ce Wi‑Fi ; pour du DNS chiffré sur tous les réseaux, installez un profil DNS pour https://private.canadianshield.cira.ca/dns-query.
Android
Paramètres → Réseau et Internet → DNS privé → Nom d'hôte du fournisseur DNS privé : private.canadianshield.cira.ca. Valable sur tous les réseaux, et chiffré (DoT). Le menu varie un peu selon la marque : cherchez « DNS privé » dans les paramètres.
Routeur
Dans la page d'administration du routeur (réglages WAN ou DHCP), mettez 149.112.121.10, 149.112.122.10 comme serveurs DNS : tous les appareils du réseau l'utilisent alors.
Navigateur
Chrome : Paramètres → Confidentialité et sécurité → Sécurité → Utiliser un DNS sécurisé → Personnalisé : https://private.canadianshield.cira.ca/dns-query. Edge propose la même option dans Confidentialité, recherche et services. Firefox : Paramètres → Vie privée et sécurité → DNS via HTTPS → Protection maximale → Personnalisé : https://private.canadianshield.cira.ca/dns-query.
Linux
Avec systemd-resolved : mettez DNS=149.112.121.10 149.112.122.10 dans /etc/systemd/resolved.conf, puis lancez systemctl restart systemd-resolved. Pour DoT, écrivez l'adresse sous la forme 149.112.121.10#private.canadianshield.cira.ca et ajoutez DNSOverTLS=yes.
Peut-on utiliser CIRA Canadian Shield en Chine continentale ?
Son DNS classique répond en général, mais plus lentement, car les serveurs sont hors de Chine continentale, et les réponses pour les sites bloqués peuvent être falsifiées en route. Le DNS chiffré (DoH, DoT) vers lui est souvent bloqué ou instable. Faites le test sur cette page : une ligne sans réponse veut dire qu'il n'est pas joignable depuis votre réseau.
CIRA Canadian Shield ou Quad9 DNS : lequel est le plus rapide ?
Aucun n'est plus rapide partout : ce qui compte, c'est la distance jusqu'au serveur le plus proche de chacun et la route que prend votre fournisseur. Cette page mesure les deux, et tous les autres DNS de la liste, depuis votre propre réseau en une vingtaine de secondes ; le haut de la page indique le rang de CIRA Canadian Shield et son écart avec le plus rapide.
Quad9 DNS : page, adresses, configuration →
Pourquoi CIRA Canadian Shield est-il lent chez moi ?
Le plus souvent, la distance : son serveur le plus proche est loin, ou votre fournisseur fait un détour. Un proxy ou un VPN transporte aussi les requêtes, et le test mesure alors la route du proxy (les règles directes règlent ça). Certains réseaux ralentissent ou bloquent le DNS chiffré. Et un nom que personne ne lui a encore demandé prend toujours plus de temps (colonne Sans cache). Si un autre DNS de la liste est nettement plus rapide, passez-y.
Comment fonctionne le test ?
Votre navigateur interroge chaque résolveur directement ; rien ne passe par ce site. Il ouvre d’abord une connexion avec chacun et demande une fois trois noms populaires, qui entrent ainsi dans son cache ; rien de cela ne compte. Viennent ensuite 10 tours : à chaque tour, chaque résolveur est interrogé une fois de plus, dans un nouvel ordre aléatoire, quelques-uns à la fois, pour qu’un à-coup de votre réseau les touche tous de la même façon. Un tour sur deux demande aussi un nom aléatoire qui n’existe nulle part.
Les chiffres sont des médianes : une requête lente isolée ne les change pas. Les temps viennent de la mesure réseau que le navigateur enregistre pour chaque requête, que les scripts de la page ne peuvent pas retarder. Chaque URL est nouvelle et demandée sans cache : seul le résolveur peut répondre.
Pourquoi UDP et DoT sont-ils estimés ?
Les navigateurs ne font que des requêtes HTTPS. Ils ne peuvent pas envoyer une requête UDP au port 53, ouvrir du TLS vers le port 853 (DoT) ni parler DoQ, et aucun site web ne peut le faire depuis votre réseau. Les sites qui affichent ces chiffres mesurent depuis leur propre serveur ou devinent.
Ce que la page peut faire : envoyer du DNS over HTTPS au serveur même qui répond en UDP et DoT (par exemple https://1.1.1.1/dns-query). Sur une connexion ouverte, une requête coûte un aller-retour vers ce serveur plus le travail du résolveur, exactement ce que coûte une requête UDP ou DoT ; HTTP ajoute bien moins d’une milliseconde. D’où le ≈. Quand le serveur DNS classique n’a pas de HTTPS, un – remplace le chiffre.
Ce qu’une estimation ne voit pas : un réseau qui bloque, ralentit ou altère les ports 53 ou 853 sans toucher à HTTPS.
Pour mesurer vraiment UDP, DoT et DoQ, lancez l’outil en ligne de commande (la commande sous le tableau) sur un serveur, une machine Linux ou un routeur : il parle tous les protocoles et utilise la même liste.
Les résultats sont-ils fiables ?
La méthode de mesure est décrite dans la première question. En plus, la liste est vérifiée avec scripts/verify.mjs (dans le dépôt) depuis plus d’un continent : chaque adresse doit donner une vraie réponse DNS à ce type de requête, et la validation DNSSEC est testée plutôt que tirée des annonces des fournisseurs.
Quand le résolveur le permet (Cloudflare, Google, Quad9, Control D, DNS.SB, DNS4EU, IIJ), la page lit aussi chaque réponse et ne compte que les vraies. Pour les autres, le navigateur peut chronométrer la réponse mais pas la lire.
Refaites le test une ou deux fois, à des heures différentes si possible : le plus rapide la nuit ne l’est pas forcément aux heures de pointe.
J’utilise un proxy. Les résultats sont-ils encore les miens ?
Pas par défaut : avec un proxy ou un VPN actif, votre navigateur joint les résolveurs à travers lui, et le test mesure la route du proxy (tous les résolveurs étrangers paraissent alors aussi rapides que votre serveur proxy). Le DNS réglé sur votre appareil ou votre box est en général interrogé directement : ce n’est donc pas ce que vous obtiendriez.
Pour mesurer votre propre réseau, ajoutez les règles directes (le bouton à côté de la progression) : elles envoient en direct exactement les adresses de ce test, par nom d’hôte exact et IP unique, et rien d’autre. Clash/Mihomo, Surge, Shadowrocket, Quantumult X, Loon, sing-box et Xray sont couverts ; la plupart peuvent charger les règles depuis ce site pour rester à jour.
Que veut dire « sans cache » ?
Les noms populaires sont déjà dans le cache de tout résolveur fréquenté : ils répondent vite partout. Pour un nom que personne n’a demandé récemment, le résolveur doit d’abord interroger les serveurs DNS du site. Le test utilise des noms aléatoires sous une zone hébergée sur le DNS de Cloudflare, présent presque partout sauf en Chine continentale.
Ce coût dépend de l’emplacement des serveurs DNS de chaque site, qui varie, il est donc affiché mais pas classé. Les résolveurs de Chine continentale paraissent lents ici parce que les serveurs de la zone sont à l’étranger ; pour les sites chinois, dont le DNS est en Chine, ils sont rapides.
Lequel choisir ?
Le premier de la liste est un bon choix par défaut. Si l’écart est de quelques ms, choisissez selon ce qui compte pour vous : Quad9 et OpenDNS bloquent les sites de malware et d’hameçonnage connus ; Mullvad, Quad9 et Wikimedia ne gardent pas de journaux de qui a demandé quoi ; ceux qui valident DNSSEC refusent les fausses réponses sur les domaines signés.
Si votre appareil n’accepte que des adresses de serveurs DNS classiques (la plupart des box et routeurs, les anciens systèmes), regardez la colonne UDP : la ligne sous le gagnant donne le DNS classique le plus rapide quand c’en est un autre.
Pour que votre réseau et votre FAI ne voient pas vos requêtes, utilisez l’adresse DoT ou DoH : le DNS classique circule en clair.
Comment changer de DNS ?
Android 9+ : Paramètres → Réseau → DNS privé → saisissez l’hôte DoT (par exemple one.one.one.one).
iPhone et Mac : pour chaque réseau Wi-Fi, saisissez les serveurs DNS ; pour du DNS chiffré, installez un profil de configuration depuis le site du résolveur.
Windows 11 : Paramètres → Réseau → votre connexion → Attribution du serveur DNS → Manuel, saisissez les serveurs et activez DNS over HTTPS.
Box ou routeur : mettez les serveurs DNS dans ses réglages DHCP ou WAN, et tous les appareils du réseau les utiliseront.
Navigateur seul : Chrome, Edge et Firefox ont un réglage DNS sécurisé où choisir un fournisseur ou coller l’adresse DoH.
Cliquez sur une adresse de cette page pour la copier.
Qu’est-ce que DNSSEC ?
DNSSEC permet à un domaine de signer ses enregistrements DNS. Un résolveur qui valide vérifie les signatures et refuse les réponses qui ne correspondent pas : personne sur le trajet ne peut vous donner une fausse adresse pour un domaine signé. La page affiche ✓ pour ceux qui le font (testé avec un domaine volontairement cassé, dnssec-failed.org, qu’ils doivent refuser). Cela ne protège que les domaines signés, mais ne coûte rien.
Pourquoi 114DNS et Baidu DNS ne sont-ils pas testés ?
Ils n’offrent que du DNS classique et leurs serveurs ne répondent pas du tout en HTTPS : un navigateur ne peut les joindre d’aucune façon. Quad101 (Taïwan) a été écarté parce que son DoH ne répondait pas depuis l’étranger lors de nos vérifications.
Qu’est-ce qu’ECS, et pourquoi n’est-il pas affiché ?
EDNS Client Subnet : certains résolveurs transmettent une partie de votre adresse aux serveurs DNS du site, pour qu’un CDN choisisse un serveur proche de vous plutôt que du résolveur. Cela peut accélérer téléchargements et vidéo, au prix d’un peu de confidentialité.
Il n’est pas dans le tableau car ce n’est pas une propriété fixe : lors de nos vérifications, un même résolveur le transmettait depuis certains endroits et protocoles et pas d’autres, donc un oui ou un non induirait en erreur.
Mes données sont-elles collectées ?
Non. Les requêtes vont directement de votre navigateur à chaque résolveur, et les noms demandés sont des sites publics populaires et des noms aléatoires ; rien sur vous. Ce site ne reçoit aucun résultat. Chaque résolveur voit votre adresse, comme pour toute requête DNS ; leurs propres politiques de confidentialité s’appliquent. Le code est open source sur GitHub.
Cloudflare
Google
Quad9
OpenDNS
AdGuard DNS
AdGuard Unfiltered
NextDNS
Control D
Mullvad
DNS.SB
Hurricane Electric
Wikimedia DNS
CleanBrowsing
Rethink DNS
AliDNS
DNSPod
360 DNS
Yandex DNS
DNS4EU
CIRA Canadian Shield
CZ.NIC ODVR
SWITCH
Digitale Gesellschaft
DNSForge
UncensoredDNS
Applied Privacy
Njalla
DNS4ALL
LibreDNS
Comss.one DNS
Xfinity
Tiarap
IIJ Public DNS