O que é o CIRA Canadian Shield?
CIRA Canadian Shield é um serviço de DNS público e gratuito operado por CIRA (Canadá). Responde DNS comum em 149.112.121.10, 149.112.122.10 (IPv6: 2620:10a:80bb::10, 2620:10a:80bc::10), e DNS criptografado: DoT, DoH. Atende sobretudo uma região (Canadá): de perto pode ser o mais rápido; de longe costuma ser mais lento que as grandes redes globais.
Valida DNSSEC: respostas com assinatura inválida são recusadas. Não filtra: todo nome é resolvido como é. É operado sem fins lucrativos.
Endereços dos servidores DNS do CIRA Canadian Shield
O que digitar para usar o CIRA Canadian Shield:
DNS (IPv4) 149.112.121.10, 149.112.122.10
DNS (IPv6) 2620:10a:80bb::10, 2620:10a:80bc::10
DoT / DNS privado private.canadianshield.cira.ca
DoH https://private.canadianshield.cira.ca/dns-query
Como configurar o CIRA Canadian Shield
Windows 11
Configurações → Rede e Internet → Wi‑Fi ou Ethernet → Propriedades de hardware → Atribuição de servidor DNS → Editar → Manual. Ative o IPv4 e digite 149.112.121.10, 149.112.122.10. Para criptografar, ponha DNS por HTTPS em Ativado (modelo manual) com https://private.canadianshield.cira.ca/dns-query.
macOS
Ajustes do Sistema → Rede → Wi‑Fi (ou Ethernet) → Detalhes → DNS: clique em + e adicione 149.112.121.10, 149.112.122.10. O DNS criptografado (https://private.canadianshield.cira.ca/dns-query) precisa de um perfil de configuração.
iPhone e iPad
Ajustes → Wi‑Fi → ⓘ ao lado da rede → Configurar DNS → Manual, e adicione 149.112.121.10, 149.112.122.10. Vale só para essa Wi‑Fi; para DNS criptografado em qualquer rede, instale um perfil DNS para https://private.canadianshield.cira.ca/dns-query.
Android
Configurações → Rede e Internet → DNS particular → Nome do host do provedor de DNS particular: private.canadianshield.cira.ca. Vale em qualquer rede e é criptografado (DoT). O menu muda um pouco conforme a marca: procure “DNS particular” nas configurações.
Roteador
Na página de administração do roteador (configurações WAN ou DHCP), defina os servidores DNS como 149.112.121.10, 149.112.122.10: todos os aparelhos da rede passam a usá-lo.
Navegador
Chrome: Configurações → Privacidade e segurança → Segurança → Usar DNS seguro → Personalizado: https://private.canadianshield.cira.ca/dns-query. O Edge tem o mesmo em Privacidade, pesquisa e serviços. Firefox: Configurações → Privacidade e segurança → DNS sobre HTTPS → Proteção máxima → Personalizado: https://private.canadianshield.cira.ca/dns-query.
Linux
Com systemd-resolved: coloque DNS=149.112.121.10 149.112.122.10 em /etc/systemd/resolved.conf e rode systemctl restart systemd-resolved. Para DoT, escreva o endereço como 149.112.121.10#private.canadianshield.cira.ca e acrescente DNSOverTLS=yes.
Dá para usar o CIRA Canadian Shield na China continental?
O DNS comum costuma responder, mas mais devagar, porque os servidores ficam fora da China continental, e as respostas para sites bloqueados podem ser falsificadas no caminho. O DNS criptografado (DoH, DoT) até ele muitas vezes é bloqueado ou instável. Faça o teste nesta página: uma linha sem resposta quer dizer que ele não é alcançável da sua rede.
CIRA Canadian Shield ou Quad9 DNS: qual é mais rápido?
Nenhum é mais rápido em todo lugar: conta a distância até o servidor mais próximo de cada um e a rota que seu provedor faz até lá. Esta página mede os dois, e todos os outros DNS da lista, a partir da sua rede em cerca de 20 segundos; no topo aparece a posição do CIRA Canadian Shield e quanto ele fica atrás do mais rápido.
Quad9 DNS: página, endereços e configuração →
Por que o CIRA Canadian Shield está lento para mim?
Quase sempre é distância: o servidor mais próximo está longe, ou seu provedor dá uma volta. Um proxy ou VPN também carrega as consultas, e então o teste mede a rota do proxy (as regras diretas resolvem). Algumas redes deixam o DNS criptografado lento ou o bloqueiam. E um nome que ninguém pediu ainda sempre demora mais (coluna Sem cache). Se outro DNS da lista for claramente mais rápido, troque por ele.
Como o teste funciona?
Seu navegador consulta cada resolvedor diretamente; nada passa por este site. Primeiro ele abre uma conexão com cada um e consulta uma vez três nomes populares, que entram no cache do resolvedor; nada disso conta. Depois vêm 10 rodadas: em cada uma, todos são consultados mais uma vez, numa nova ordem aleatória, alguns ao mesmo tempo, para que um soluço da sua rede afete todos igualmente. Rodada sim, rodada não, também é consultado um nome aleatório que não existe em lugar nenhum.
Os números são medianas: uma consulta lenta isolada não os altera. Os tempos vêm da medição de rede que o próprio navegador registra para cada requisição, que os scripts da página não conseguem atrasar. Cada URL é nova e buscada sem cache, então só o resolvedor pode responder.
Por que UDP e DoT são estimativas?
Navegadores só fazem requisições HTTPS. Não conseguem enviar uma consulta UDP à porta 53, abrir TLS na porta 853 (DoT) nem falar DoQ, e nenhum site consegue fazer isso a partir da sua rede. Sites que mostram esses números medem do próprio servidor ou chutam.
O que a página consegue: enviar DNS over HTTPS ao mesmo servidor que responde UDP e DoT (por exemplo https://1.1.1.1/dns-query). Numa conexão aberta, uma consulta custa uma ida e volta até esse servidor mais o trabalho do resolvedor, exatamente o que custa uma consulta UDP ou DoT; o HTTP acrescenta bem menos de um milissegundo. Daí o ≈. Quando o servidor DNS comum não tem HTTPS, aparece – no lugar do número.
O que a estimativa não vê: uma rede que bloqueia, limita ou adultera as portas 53 ou 853 mas deixa o HTTPS em paz.
Para medir UDP, DoT e DoQ de verdade, rode a ferramenta de linha de comando (o comando abaixo da tabela) num servidor, num computador Linux ou num roteador: ela fala todos os protocolos e usa a mesma lista.
Os resultados são confiáveis?
O método de medição está na primeira pergunta. Além disso, a lista é verificada com scripts/verify.mjs (no repositório) a partir de mais de um continente: todo endereço precisa dar uma resposta DNS de verdade a esse tipo de consulta, e a validação DNSSEC é testada em vez de copiada do que cada provedor diz.
Onde o resolvedor permite (Cloudflare, Google, Quad9, Control D, DNS.SB, DNS4EU, IIJ), a página também lê cada resposta e só conta as verdadeiras. Nos outros, o navegador consegue medir o tempo da resposta, mas não lê-la.
Repita o teste algumas vezes, em horários diferentes se puder: o mais rápido à noite pode não ser no horário de pico.
Uso um proxy. Os resultados ainda são meus?
Por padrão, não: com um proxy ou VPN ligado, seu navegador chega aos resolvedores através dele, e o teste mede a rota do proxy (todos os resolvedores estrangeiros parecem tão rápidos quanto seu servidor proxy). O DNS que você configura no dispositivo ou roteador normalmente é consultado direto, então não é o que você teria.
Para medir sua própria rede, adicione as regras diretas (o botão ao lado do progresso): elas mandam direto exatamente os endereços deste teste, por nome de host exato e IP único, e nada mais. Funcionam com Clash/Mihomo, Surge, Shadowrocket, Quantumult X, Loon, sing-box e Xray; a maioria pode carregar as regras deste site para ficar sempre atualizada.
O que significa “sem cache”?
Nomes populares já estão no cache de qualquer resolvedor movimentado, então respondem rápido em todo lugar. Para um nome que ninguém pediu recentemente, o resolvedor precisa perguntar antes aos servidores DNS do próprio site. O teste usa nomes aleatórios numa zona hospedada no DNS da Cloudflare, com servidores em quase todo lugar, menos na China continental.
Esse custo depende de onde ficam os servidores DNS de cada site, o que varia, por isso aparece mas não entra na classificação. Resolvedores da China continental parecem lentos aqui porque os servidores da zona ficam no exterior; para sites chineses, com DNS na China, eles são rápidos.
Qual devo escolher?
O primeiro da lista é uma boa escolha. Se a diferença for de poucos ms, escolha pelo que mais importa para você: Quad9 e OpenDNS bloqueiam sites conhecidos de malware e phishing; Mullvad, Quad9 e Wikimedia não guardam registros de quem consultou o quê; os que validam DNSSEC recusam respostas falsas em domínios assinados.
Se o seu dispositivo só aceita endereços de servidores DNS comuns (a maioria dos roteadores, sistemas antigos), veja a coluna UDP: a linha abaixo do vencedor mostra o DNS comum mais rápido quando é outro.
Para que sua rede e sua operadora não vejam o que você consulta, use o endereço DoT ou DoH: o DNS comum trafega sem criptografia.
Como mudo meu DNS?
Android 9+: Configurações → Rede → DNS privado → digite o host DoT (por exemplo one.one.one.one).
iPhone e Mac: em cada rede Wi-Fi, digite os servidores DNS; para DNS criptografado, instale um perfil de configuração do site do resolvedor.
Windows 11: Configurações → Rede → sua conexão → Atribuição de servidor DNS → Manual, digite os servidores e ative o DNS over HTTPS.
Roteador: coloque os servidores DNS nas configurações de DHCP ou WAN e todos os dispositivos da rede passam a usá-los.
Só o navegador: Chrome, Edge e Firefox têm a opção DNS seguro, onde você escolhe um provedor ou cola o endereço DoH.
Clique em qualquer endereço desta página para copiá-lo.
O que é DNSSEC?
DNSSEC permite que um domínio assine seus registros DNS. Um resolvedor que valida confere as assinaturas e recusa respostas que não batem, então ninguém no caminho consegue entregar um endereço falso de um domínio assinado. A página mostra ✓ nos que fazem isso (testado com um domínio quebrado de propósito, dnssec-failed.org, que eles precisam recusar). Só ajuda em domínios assinados, mas não custa nada.
Por que 114DNS e Baidu DNS não são testados?
Eles só oferecem DNS comum e seus servidores não respondem a HTTPS de forma alguma, então um navegador não consegue alcançá-los de nenhum jeito. O Quad101 (Taiwan) ficou de fora porque seu DoH não respondeu do exterior nas nossas verificações.
O que é ECS e por que não aparece?
EDNS Client Subnet: alguns resolvedores informam parte do seu endereço aos servidores DNS do site, para que uma CDN escolha um servidor perto de você e não do resolvedor. Pode acelerar downloads e vídeos, ao custo de um pouco de privacidade.
Não está na tabela porque não é uma propriedade fixa: nas nossas verificações, o mesmo resolvedor repassava de alguns lugares e protocolos e não de outros, então um sim ou um não enganaria.
Meus dados são coletados?
Não. As consultas vão direto do seu navegador para cada resolvedor, e os nomes consultados são sites públicos populares e nomes aleatórios; nada sobre você. Este site não recebe resultados. Cada resolvedor vê seu endereço, como em qualquer consulta DNS; valem as políticas de privacidade de cada um. O código é aberto e está no GitHub.
Cloudflare
Google
Quad9
OpenDNS
AdGuard DNS
AdGuard Unfiltered
NextDNS
Control D
Mullvad
DNS.SB
Hurricane Electric
Wikimedia DNS
CleanBrowsing
Rethink DNS
AliDNS
DNSPod
360 DNS
Yandex DNS
DNS4EU
CIRA Canadian Shield
CZ.NIC ODVR
SWITCH
Digitale Gesellschaft
DNSForge
UncensoredDNS
Applied Privacy
Njalla
DNS4ALL
LibreDNS
Comss.one DNS
Xfinity
Tiarap
IIJ Public DNS