Lequel choisir ?
Celui qui arrive en tête est un bon choix. Si les premiers se tiennent à quelques millisecondes, choisissez selon ce qui compte pour vous :
Bloquer les logiciels malveillants et l’hameçonnage connus : Quad9 ou OpenDNS.
Vie privée : Mullvad, Quad9 et Wikimedia indiquent ne pas enregistrer qui demande quoi.
Protection contre les réponses falsifiées : choisissez-en un avec un ✓, qui vérifie DNSSEC (la signature des domaines).
Si votre appareil n’accepte que des adresses DNS classiques (la plupart des box et routeurs, les anciens systèmes), regardez la colonne UDP. Quand le DNS classique le plus rapide n’est pas le gagnant, il est indiqué sur la ligne sous le gagnant.
Pour que votre réseau et votre fournisseur d’accès ne voient pas quels sites vous demandez, utilisez l’adresse DoT ou DoH : le DNS classique n’est pas chiffré, les réseaux traversés peuvent donc le lire.
Comment changer de DNS ?
Android 9 et plus : Paramètres → Réseau → DNS privé, puis saisissez le nom d’hôte DoT (par exemple one.one.one.one). Valable sur tous les réseaux, et chiffré.
iPhone et Mac : saisissez les serveurs DNS pour chaque réseau Wi-Fi. Pour le DNS chiffré, installez un profil de configuration depuis le site du fournisseur.
Windows 11 : Paramètres → Réseau → votre connexion → Attribution du serveur DNS → Manuel. Saisissez les serveurs et activez DNS sur HTTPS.
Box ou routeur : indiquez les serveurs DNS dans ses réglages DHCP ou WAN, et tous les appareils du réseau les utiliseront.
Le navigateur seulement : Chrome, Edge et Firefox ont un réglage DNS sécurisé où vous choisissez un fournisseur ou collez une adresse DoH.
Chaque serveur a sa propre page avec la configuration pas à pas. Cliquez sur n’importe quelle adresse de cette page pour la copier.
J’utilise un proxy. Le résultat est-il toujours celui de mon réseau ?
Pas par défaut. Avec un proxy ou un VPN actif, le navigateur joint les serveurs DNS à travers lui : le test mesure la route du proxy, et tous les serveurs à l’étranger semblent à peu près aussi rapides que votre serveur proxy. Le DNS réglé sur votre appareil ou votre box est en principe interrogé directement, ces chiffres ne correspondent donc pas à ce que vous auriez en vrai.
Pour tester votre propre réseau, ajoutez les règles directes (le bouton à côté de la barre de progression). Elles envoient en direct uniquement les adresses utilisées par ce test, par nom d’hôte exact et IP unique, sans toucher au reste du trafic. Clash/Mihomo, Surge, Shadowrocket, Quantumult X, Loon, sing-box et Xray sont pris en charge, et la plupart peuvent charger les règles depuis ce site pour rester à jour.
Comment fonctionne le test ?
Votre navigateur interroge chaque serveur DNS directement ; rien ne passe par ce site.
Il se connecte d’abord à chacun et demande une fois trois noms populaires, pour qu’ils soient dans le cache de ce serveur. Cette étape ne compte pas. Viennent ensuite 10 tours : à chaque tour, chaque serveur est interrogé une fois, dans un nouvel ordre aléatoire, quelques-uns à la fois. Ainsi, si votre réseau a un coup de mou, tous en pâtissent pareil, pas seulement celui qu’on testait à ce moment-là. Un tour sur deux demande aussi un nom aléatoire qui n’existe pas.
Les résultats sont des médianes : une requête lente isolée ne fait pas chuter le score. Les temps viennent du chronométrage réseau du navigateur lui-même, que les scripts de la page ne peuvent pas ralentir. Chaque requête va vers une nouvelle URL et contourne tous les caches : seul le serveur DNS lui-même peut répondre.
Pourquoi UDP et DoT sont-ils estimés ?
Parce que le navigateur ne peut pas les mesurer. Une page web ne peut faire que des requêtes HTTPS : elle ne peut pas envoyer de DNS classique en UDP (port 53), de DNS chiffré en TLS (DoT, port 853) ni de DoQ. Aucun site ne peut mesurer cela depuis votre réseau ; un site qui affiche ces chiffres les a mesurés depuis son propre serveur, ou les a devinés.
Ce que fait cette page à la place : elle envoie du DoH, c’est-à-dire du DNS chiffré via HTTPS, au serveur même qui répond en UDP et en DoT (par exemple https://1.1.1.1/dns-query). Une fois la connexion ouverte, une requête coûte un aller-retour jusqu’à ce serveur plus son temps de traitement. Une requête UDP ou DoT coûte exactement la même chose ; HTTPS ajoute bien moins d’une milliseconde. D’où le ≈. Quand le serveur DNS classique d’un fournisseur ne parle pas HTTPS, vous voyez un – plutôt qu’un chiffre inventé.
Ce qu’une estimation ne voit pas : un réseau qui bloque, ralentit ou trafique les ports 53 ou 853 mais laisse passer HTTPS.
Pour mesurer vraiment UDP, DoT et DoQ, lancez la commande de l’encadré ligne de commande au-dessus du tableau (le bouton « Ligne de commande » à côté de la barre de progression l’ouvre aussi) sur un serveur, une machine Linux ou un routeur. Elle parle tous les protocoles et teste la même liste de serveurs.
Les résultats sont-ils fiables ?
La méthode de mesure est décrite dans Comment fonctionne le test ? En plus, la liste est vérifiée depuis plusieurs continents avec scripts/verify.mjs (dans le dépôt du code) : chaque adresse doit répondre à ce type de requête par une vraie réponse DNS, et la prise en charge de DNSSEC est testée, pas reprise des annonces des fournisseurs.
Cloudflare, Google, Quad9, Control D, DNS.SB, DNS4EU et IIJ autorisent une page web à lire leurs réponses : la page les vérifie une à une et ne compte que les vraies. Pour les autres, le navigateur peut chronométrer la réponse mais pas la lire.
Relancez le test plusieurs fois, idéalement à différentes heures : le plus rapide la nuit ne l’est pas forcément aux heures de pointe.
Que veut dire Première requête ?
Les noms populaires sont déjà dans le cache de tous les grands serveurs DNS, qui y répondent donc vite. Pour un nom que personne n’a demandé depuis un moment, c’est différent : le serveur doit d’abord interroger les serveurs DNS du site lui-même, puis vous transmettre la réponse. C’est ce qu’on appelle ici une première requête.
Le test utilise des noms aléatoires hébergés chez Cloudflare, dont les serveurs DNS sont présents presque partout sauf en Chine continentale. Ce temps dépend de l’emplacement des serveurs DNS de chaque site, qui varie d’un site à l’autre : il est affiché mais pas classé. Les serveurs de Chine continentale semblent lents dans cette colonne parce que les serveurs de ces noms sont à l’étranger ; pour les sites chinois, ils sont rapides.
Qu’est-ce que DNSSEC ?
En bref : les domaines signent leurs enregistrements DNS pour que les réponses ne puissent pas être falsifiées. Un serveur qui vérifie DNSSEC contrôle la signature et refuse les réponses qui ne correspondent pas : personne en chemin ne peut vous glisser une fausse adresse. Un ✓ indique que le serveur le vérifie : nous testons avec un domaine volontairement cassé, dnssec-failed.org, qu’il doit refuser. Cela ne protège que les domaines signés, mais n’a aucun inconvénient.
Qu’est-ce que l’ECS, et pourquoi n’est-il pas dans le tableau ?
L’ECS (EDNS Client Subnet), c’est quand le serveur DNS transmet une partie de votre adresse IP aux serveurs DNS du site, pour qu’un CDN choisisse un serveur près de vous plutôt que près du serveur DNS. Les téléchargements et la vidéo peuvent aller plus vite, au prix d’un peu d’information sur l’endroit où vous êtes.
Il n’est pas dans le tableau parce qu’il n’est pas fixe : lors de nos vérifications, le même serveur le transmettait depuis certains endroits et par certains protocoles, mais pas depuis d’autres. Un simple oui ou non vous induirait en erreur.
Pourquoi 114DNS et Baidu DNS ne sont-ils pas testés ?
Ils ne proposent que du DNS classique, et leurs serveurs ne répondent pas du tout en HTTPS : un navigateur n’a aucun moyen de les joindre. Quad101 (Taïwan, Chine) n’y figure pas non plus : son DoH ne répondait pas depuis d’autres régions lors de nos vérifications.
Collectez-vous mes données ?
Aucun résultat ni rien sur vous n’est conservé. Les requêtes du test partent directement de votre navigateur vers chaque résolveur, pour des sites publics populaires et des noms aléatoires : rien sur vous n’y figure. Vos résultats restent dans votre navigateur. C’est seulement quand vous cliquez sur Partager qu’ils sont inscrits dans le lien (les temps de chaque résolveur, sans adresse IP ; ajouter votre pays ou région est votre choix).
Une seule chose passe par le serveur de 1ms.dog (à Tokyo) : pour montrer quel résolveur votre appareil utilise vraiment, la page résout un nom aléatoire sous l.1ms.dog, dont le serveur DNS est le nôtre, et après le test envoie un tel nom à travers chaque résolveur pour voir lequel de ses serveurs vous répond. Ce serveur voit l’adresse du résolveur qui a demandé et, si ce résolveur la transmet, votre réseau (ECS : le début de votre adresse, par exemple 203.0.113.0/24). Il les garde en mémoire 2 minutes, le temps que la page les récupère sur api.l.1ms.dog, puis les oublie ; rien n’est écrit sur disque ni dans un journal. La page ne les montre qu’à vous ; elles ne sont jamais dans le lien ni la carte de partage.
Comme pour toute requête DNS, chaque résolveur voit votre adresse IP et sa propre politique de confidentialité s’applique. Le code est ouvert, sur GitHub.