Test DNS
https://doh.xfinity.com/dns-queryLes navigateurs ne peuvent qu’estimer UDP et DoT. Sur un VPS, une machine Linux ou un routeur, cette commande mesure les cinq protocoles et compare votre DNS actuel.
curl -fsSL https://dns.1ms.dog/i | sh -s -- run -r xfinity,google
CloudflareUDPDoTDoH✓1.1.1.1 1.0.0.12606:4700:4700::1111 2606:4700:4700::1001one.one.one.onehttps://cloudflare-dns.com/dns-query
GoogleUDPDoTDoH✓8.8.8.8 8.8.4.42001:4860:4860::8888 2001:4860:4860::8844dns.googlehttps://dns.google/dns-query
Quad9UDPDoTDoH✓9.9.9.9 149.112.112.1122620:fe::fe 2620:fe::9dns.quad9.nethttps://dns.quad9.net/dns-query
OpenDNSUDPDoTDoH✓208.67.222.222 208.67.220.2202620:119:35::35 2620:119:53::53dns.opendns.comhttps://doh.opendns.com/dns-query
AdGuard DNSUDPDoTDoHDoQ✓94.140.14.14 94.140.15.152a10:50c0::ad1:ff 2a10:50c0::ad2:ffdns.adguard-dns.comhttps://dns.adguard-dns.com/dns-queryquic://dns.adguard-dns.com
AdGuard UnfilteredUDPDoTDoHDoQ✓94.140.14.140 94.140.14.1412a10:50c0::1:ff 2a10:50c0::2:ffunfiltered.adguard-dns.comhttps://unfiltered.adguard-dns.com/dns-queryquic://unfiltered.adguard-dns.com
NextDNSUDPDoTDoHDoQ✓45.90.28.0 45.90.30.02a07:a8c0:: 2a07:a8c1::dns.nextdns.iohttps://dns.nextdns.io/quic://dns.nextdns.io
Control DUDPDoTDoHDoQ✓76.76.2.0 76.76.10.02606:1a40:: 2606:1a40:1::p0.freedns.controld.comhttps://freedns.controld.com/p0quic://p0.freedns.controld.com
MullvadDoTDoH✓dns.mullvad.nethttps://dns.mullvad.net/dns-query
DNS.SBUDPDoTDoH✓185.222.222.222 45.11.45.112a09:: 2a11::dot.sbhttps://doh.dns.sb/dns-query
Hurricane ElectricUDPDoTDoH✓74.82.42.422001:470:20::2ordns.he.nethttps://ordns.he.net/dns-query
Wikimedia DNSDoTDoH✓wikimedia-dns.orghttps://wikimedia-dns.org/dns-query
CleanBrowsingUDPDoTDoH–185.228.168.9 185.228.169.92a0d:2a00:1::2 2a0d:2a00:2::2security-filter-dns.cleanbrowsing.orghttps://doh.cleanbrowsing.org/doh/security-filter/
Rethink DNSDoTDoH✓max.rethinkdns.comhttps://sky.rethinkdns.com/dns-query
AliDNSUDPDoTDoHDoQ–223.5.5.5 223.6.6.62400:3200::1 2400:3200:baba::1dns.alidns.comhttps://dns.alidns.com/dns-queryquic://dns.alidns.com
DNSPodUDPDoTDoH–119.29.29.292402:4e00::dot.pubhttps://doh.pub/dns-query
360 DNSUDPDoTDoH–101.226.4.6 218.30.118.6dot.360.cnhttps://doh.360.cn/dns-query
Yandex DNSUDPDoTDoH–77.88.8.8 77.88.8.12a02:6b8::feed:0ff 2a02:6b8:0:1::feed:0ffcommon.dot.dns.yandex.nethttps://common.dot.dns.yandex.net/dns-query
DNS4EUUDPDoTDoH✓86.54.11.100 86.54.11.2002a13:1001::86:54:11:100 2a13:1001::86:54:11:200unfiltered.joindns4.euhttps://unfiltered.joindns4.eu/dns-query
CIRA Canadian ShieldUDPDoTDoH✓149.112.121.10 149.112.122.102620:10a:80bb::10 2620:10a:80bc::10private.canadianshield.cira.cahttps://private.canadianshield.cira.ca/dns-query
CZ.NIC ODVRUDPDoTDoH✓193.17.47.1 185.43.135.12001:148f:ffff::1 2001:148f:fffe::1odvr.nic.czhttps://odvr.nic.cz/doh
SWITCHDoTDoH✓dns.switch.chhttps://dns.switch.ch/dns-query
Digitale GesellschaftDoTDoH✓dns.digitale-gesellschaft.chhttps://dns.digitale-gesellschaft.ch/dns-query
DNSForgeUDPDoTDoH✓176.9.93.198 176.9.1.1172a01:4f8:151:34aa::198 2a01:4f8:141:316d::117dnsforge.dehttps://dnsforge.de/dns-query
UncensoredDNSUDPDoTDoH✓91.239.100.100 89.233.43.712001:67c:28a4:: 2a01:3a0:53:53::anycast.uncensoreddns.orghttps://anycast.uncensoreddns.org/dns-query
Applied PrivacyDoTDoH✓dot1.applied-privacy.nethttps://doh.applied-privacy.net/query
NjallaUDPDoTDoH✓95.215.19.532001:67c:2354:2::53dns.njal.lahttps://dns.njal.la/dns-query
DNS4ALLUDPDoTDoH✓194.0.5.32001:678:8::3dot.dns4all.euhttps://doh.dns4all.eu/dns-query
LibreDNSDoTDoH–dot.libredns.grhttps://doh.libredns.gr/dns-query
Comss.one DNSDoTDoH–dns.comss.onehttps://dns.comss.one/dns-query
XfinityDoH✓https://doh.xfinity.com/dns-query
TiarapUDPDoTDoH✓174.138.21.128dot.tiar.apphttps://doh.tiar.app/dns-query
IIJ Public DNSDoTDoH✓public.dns.iij.jphttps://public.dns.iij.jp/dns-queryL’image et le lien sont créés ici, dans votre navigateur ; rien n’est envoyé. Le lien ne contient que les chiffres.
curl -fsSL https://dns.1ms.dog/i | shcurl -fsSL https://dns.1ms.dog/i | sh -s -- runwget -qO- https://dns.1ms.dog/i | shdnstest -p udp,dot,doqdnstest -r cloudflare,google,alidnsdnstest -6dnstest --json > dns.jsonirm https://dns.1ms.dog/i.ps1 | iexAvec un proxy actif, le navigateur joint les résolveurs à travers lui et le test mesure la route du proxy. Ces règles envoient en DIRECT uniquement les adresses du test ; rien d’autre ne change.
Rechargez ensuite la configuration du proxy et refaites le test.
Xfinity DNS est un service DNS public et gratuit exploité par Comcast (États-Unis). Il ne propose que du DNS chiffré (DoH) ; pas d'adresse publique de DNS classique. Il dessert surtout une région (États-Unis) : de près il peut être le plus rapide, de loin il est en général plus lent que les grands réseaux mondiaux.
Il valide DNSSEC : les réponses dont la signature ne colle pas sont refusées. Il ne filtre rien : chaque nom est résolu tel quel.
Ce qu'il faut saisir pour utiliser Xfinity DNS :
DoH https://doh.xfinity.com/dns-query
Windows a besoin d'une adresse DNS classique pour utiliser le DNS chiffré, et Xfinity DNS n'en publie pas : utilisez-le dans le navigateur (ci-dessous) ou avec un client DNS local comme dnscrypt-proxy.
macOS passe par un profil de configuration pour le DNS chiffré : installez un profil DNS pour https://doh.xfinity.com/dns-query.
Installez un profil DNS pour https://doh.xfinity.com/dns-query, puis activez-le dans Réglages → Général → VPN et gestion de l'appareil → DNS.
Android n'a pas de réglage pour lui : Xfinity DNS ne propose ni nom d'hôte DoT ni adresse classique. Utilisez-le dans le navigateur.
Les routeurs prennent des adresses DNS classiques, que Xfinity DNS ne publie pas ; sous OpenWrt, https-dns-proxy peut relayer vers https://doh.xfinity.com/dns-query.
Chrome : Paramètres → Confidentialité et sécurité → Sécurité → Utiliser un DNS sécurisé → Personnalisé : https://doh.xfinity.com/dns-query. Edge propose la même option dans Confidentialité, recherche et services. Firefox : Paramètres → Vie privée et sécurité → DNS via HTTPS → Protection maximale → Personnalisé : https://doh.xfinity.com/dns-query.
Son DNS classique répond en général, mais plus lentement, car les serveurs sont hors de Chine continentale, et les réponses pour les sites bloqués peuvent être falsifiées en route. Le DNS chiffré (DoH, DoT) vers lui est souvent bloqué ou instable. Faites le test sur cette page : une ligne sans réponse veut dire qu'il n'est pas joignable depuis votre réseau.
Aucun n'est plus rapide partout : ce qui compte, c'est la distance jusqu'au serveur le plus proche de chacun et la route que prend votre fournisseur. Cette page mesure les deux, et tous les autres DNS de la liste, depuis votre propre réseau en une vingtaine de secondes ; le haut de la page indique le rang de Xfinity DNS et son écart avec le plus rapide.
Le plus souvent, la distance : son serveur le plus proche est loin, ou votre fournisseur fait un détour. Un proxy ou un VPN transporte aussi les requêtes, et le test mesure alors la route du proxy (les règles directes règlent ça). Certains réseaux ralentissent ou bloquent le DNS chiffré. Et un nom que personne ne lui a encore demandé prend toujours plus de temps (colonne Sans cache). Si un autre DNS de la liste est nettement plus rapide, passez-y.
Votre navigateur interroge chaque résolveur directement ; rien ne passe par ce site. Il ouvre d’abord une connexion avec chacun et demande une fois trois noms populaires, qui entrent ainsi dans son cache ; rien de cela ne compte. Viennent ensuite 10 tours : à chaque tour, chaque résolveur est interrogé une fois de plus, dans un nouvel ordre aléatoire, quelques-uns à la fois, pour qu’un à-coup de votre réseau les touche tous de la même façon. Un tour sur deux demande aussi un nom aléatoire qui n’existe nulle part.
Les chiffres sont des médianes : une requête lente isolée ne les change pas. Les temps viennent de la mesure réseau que le navigateur enregistre pour chaque requête, que les scripts de la page ne peuvent pas retarder. Chaque URL est nouvelle et demandée sans cache : seul le résolveur peut répondre.
Les navigateurs ne font que des requêtes HTTPS. Ils ne peuvent pas envoyer une requête UDP au port 53, ouvrir du TLS vers le port 853 (DoT) ni parler DoQ, et aucun site web ne peut le faire depuis votre réseau. Les sites qui affichent ces chiffres mesurent depuis leur propre serveur ou devinent.
Ce que la page peut faire : envoyer du DNS over HTTPS au serveur même qui répond en UDP et DoT (par exemple https://1.1.1.1/dns-query). Sur une connexion ouverte, une requête coûte un aller-retour vers ce serveur plus le travail du résolveur, exactement ce que coûte une requête UDP ou DoT ; HTTP ajoute bien moins d’une milliseconde. D’où le ≈. Quand le serveur DNS classique n’a pas de HTTPS, un – remplace le chiffre.
Ce qu’une estimation ne voit pas : un réseau qui bloque, ralentit ou altère les ports 53 ou 853 sans toucher à HTTPS.
Pour mesurer vraiment UDP, DoT et DoQ, lancez l’outil en ligne de commande (la commande sous le tableau) sur un serveur, une machine Linux ou un routeur : il parle tous les protocoles et utilise la même liste.
La méthode de mesure est décrite dans la première question. En plus, la liste est vérifiée avec scripts/verify.mjs (dans le dépôt) depuis plus d’un continent : chaque adresse doit donner une vraie réponse DNS à ce type de requête, et la validation DNSSEC est testée plutôt que tirée des annonces des fournisseurs.
Quand le résolveur le permet (Cloudflare, Google, Quad9, Control D, DNS.SB, DNS4EU, IIJ), la page lit aussi chaque réponse et ne compte que les vraies. Pour les autres, le navigateur peut chronométrer la réponse mais pas la lire.
Refaites le test une ou deux fois, à des heures différentes si possible : le plus rapide la nuit ne l’est pas forcément aux heures de pointe.
Pas par défaut : avec un proxy ou un VPN actif, votre navigateur joint les résolveurs à travers lui, et le test mesure la route du proxy (tous les résolveurs étrangers paraissent alors aussi rapides que votre serveur proxy). Le DNS réglé sur votre appareil ou votre box est en général interrogé directement : ce n’est donc pas ce que vous obtiendriez.
Pour mesurer votre propre réseau, ajoutez les règles directes (le bouton à côté de la progression) : elles envoient en direct exactement les adresses de ce test, par nom d’hôte exact et IP unique, et rien d’autre. Clash/Mihomo, Surge, Shadowrocket, Quantumult X, Loon, sing-box et Xray sont couverts ; la plupart peuvent charger les règles depuis ce site pour rester à jour.
Les noms populaires sont déjà dans le cache de tout résolveur fréquenté : ils répondent vite partout. Pour un nom que personne n’a demandé récemment, le résolveur doit d’abord interroger les serveurs DNS du site. Le test utilise des noms aléatoires sous une zone hébergée sur le DNS de Cloudflare, présent presque partout sauf en Chine continentale.
Ce coût dépend de l’emplacement des serveurs DNS de chaque site, qui varie, il est donc affiché mais pas classé. Les résolveurs de Chine continentale paraissent lents ici parce que les serveurs de la zone sont à l’étranger ; pour les sites chinois, dont le DNS est en Chine, ils sont rapides.
Le premier de la liste est un bon choix par défaut. Si l’écart est de quelques ms, choisissez selon ce qui compte pour vous : Quad9 et OpenDNS bloquent les sites de malware et d’hameçonnage connus ; Mullvad, Quad9 et Wikimedia ne gardent pas de journaux de qui a demandé quoi ; ceux qui valident DNSSEC refusent les fausses réponses sur les domaines signés.
Si votre appareil n’accepte que des adresses de serveurs DNS classiques (la plupart des box et routeurs, les anciens systèmes), regardez la colonne UDP : la ligne sous le gagnant donne le DNS classique le plus rapide quand c’en est un autre.
Pour que votre réseau et votre FAI ne voient pas vos requêtes, utilisez l’adresse DoT ou DoH : le DNS classique circule en clair.
Android 9+ : Paramètres → Réseau → DNS privé → saisissez l’hôte DoT (par exemple one.one.one.one).
iPhone et Mac : pour chaque réseau Wi-Fi, saisissez les serveurs DNS ; pour du DNS chiffré, installez un profil de configuration depuis le site du résolveur.
Windows 11 : Paramètres → Réseau → votre connexion → Attribution du serveur DNS → Manuel, saisissez les serveurs et activez DNS over HTTPS.
Box ou routeur : mettez les serveurs DNS dans ses réglages DHCP ou WAN, et tous les appareils du réseau les utiliseront.
Navigateur seul : Chrome, Edge et Firefox ont un réglage DNS sécurisé où choisir un fournisseur ou coller l’adresse DoH.
Cliquez sur une adresse de cette page pour la copier.
DNSSEC permet à un domaine de signer ses enregistrements DNS. Un résolveur qui valide vérifie les signatures et refuse les réponses qui ne correspondent pas : personne sur le trajet ne peut vous donner une fausse adresse pour un domaine signé. La page affiche ✓ pour ceux qui le font (testé avec un domaine volontairement cassé, dnssec-failed.org, qu’ils doivent refuser). Cela ne protège que les domaines signés, mais ne coûte rien.
Ils n’offrent que du DNS classique et leurs serveurs ne répondent pas du tout en HTTPS : un navigateur ne peut les joindre d’aucune façon. Quad101 (Taïwan) a été écarté parce que son DoH ne répondait pas depuis l’étranger lors de nos vérifications.
EDNS Client Subnet : certains résolveurs transmettent une partie de votre adresse aux serveurs DNS du site, pour qu’un CDN choisisse un serveur proche de vous plutôt que du résolveur. Cela peut accélérer téléchargements et vidéo, au prix d’un peu de confidentialité.
Il n’est pas dans le tableau car ce n’est pas une propriété fixe : lors de nos vérifications, un même résolveur le transmettait depuis certains endroits et protocoles et pas d’autres, donc un oui ou un non induirait en erreur.
Non. Les requêtes vont directement de votre navigateur à chaque résolveur, et les noms demandés sont des sites publics populaires et des noms aléatoires ; rien sur vous. Ce site ne reçoit aucun résultat. Chaque résolveur voit votre adresse, comme pour toute requête DNS ; leurs propres politiques de confidentialité s’appliquent. Le code est open source sur GitHub.