Teste de DNS
185.228.168.9 185.228.169.92a0d:2a00:1::2 2a0d:2a00:2::2security-filter-dns.cleanbrowsing.orghttps://doh.cleanbrowsing.org/doh/security-filter/Navegadores só conseguem estimar UDP e DoT. Num VPS, num computador Linux ou num roteador, este comando mede os cinco protocolos e compara seu DNS atual.
curl -fsSL https://dns.1ms.dog/i | sh -s -- run -r cleanbrowsing,opendns
CloudflareUDPDoTDoH✓1.1.1.1 1.0.0.12606:4700:4700::1111 2606:4700:4700::1001one.one.one.onehttps://cloudflare-dns.com/dns-query
GoogleUDPDoTDoH✓8.8.8.8 8.8.4.42001:4860:4860::8888 2001:4860:4860::8844dns.googlehttps://dns.google/dns-query
Quad9UDPDoTDoH✓9.9.9.9 149.112.112.1122620:fe::fe 2620:fe::9dns.quad9.nethttps://dns.quad9.net/dns-query
OpenDNSUDPDoTDoH✓208.67.222.222 208.67.220.2202620:119:35::35 2620:119:53::53dns.opendns.comhttps://doh.opendns.com/dns-query
AdGuard DNSUDPDoTDoHDoQ✓94.140.14.14 94.140.15.152a10:50c0::ad1:ff 2a10:50c0::ad2:ffdns.adguard-dns.comhttps://dns.adguard-dns.com/dns-queryquic://dns.adguard-dns.com
AdGuard UnfilteredUDPDoTDoHDoQ✓94.140.14.140 94.140.14.1412a10:50c0::1:ff 2a10:50c0::2:ffunfiltered.adguard-dns.comhttps://unfiltered.adguard-dns.com/dns-queryquic://unfiltered.adguard-dns.com
NextDNSUDPDoTDoHDoQ✓45.90.28.0 45.90.30.02a07:a8c0:: 2a07:a8c1::dns.nextdns.iohttps://dns.nextdns.io/quic://dns.nextdns.io
Control DUDPDoTDoHDoQ✓76.76.2.0 76.76.10.02606:1a40:: 2606:1a40:1::p0.freedns.controld.comhttps://freedns.controld.com/p0quic://p0.freedns.controld.com
MullvadDoTDoH✓dns.mullvad.nethttps://dns.mullvad.net/dns-query
DNS.SBUDPDoTDoH✓185.222.222.222 45.11.45.112a09:: 2a11::dot.sbhttps://doh.dns.sb/dns-query
Hurricane ElectricUDPDoTDoH✓74.82.42.422001:470:20::2ordns.he.nethttps://ordns.he.net/dns-query
Wikimedia DNSDoTDoH✓wikimedia-dns.orghttps://wikimedia-dns.org/dns-query
CleanBrowsingUDPDoTDoH–185.228.168.9 185.228.169.92a0d:2a00:1::2 2a0d:2a00:2::2security-filter-dns.cleanbrowsing.orghttps://doh.cleanbrowsing.org/doh/security-filter/
Rethink DNSDoTDoH✓max.rethinkdns.comhttps://sky.rethinkdns.com/dns-query
AliDNSUDPDoTDoHDoQ–223.5.5.5 223.6.6.62400:3200::1 2400:3200:baba::1dns.alidns.comhttps://dns.alidns.com/dns-queryquic://dns.alidns.com
DNSPodUDPDoTDoH–119.29.29.292402:4e00::dot.pubhttps://doh.pub/dns-query
360 DNSUDPDoTDoH–101.226.4.6 218.30.118.6dot.360.cnhttps://doh.360.cn/dns-query
Yandex DNSUDPDoTDoH–77.88.8.8 77.88.8.12a02:6b8::feed:0ff 2a02:6b8:0:1::feed:0ffcommon.dot.dns.yandex.nethttps://common.dot.dns.yandex.net/dns-query
DNS4EUUDPDoTDoH✓86.54.11.100 86.54.11.2002a13:1001::86:54:11:100 2a13:1001::86:54:11:200unfiltered.joindns4.euhttps://unfiltered.joindns4.eu/dns-query
CIRA Canadian ShieldUDPDoTDoH✓149.112.121.10 149.112.122.102620:10a:80bb::10 2620:10a:80bc::10private.canadianshield.cira.cahttps://private.canadianshield.cira.ca/dns-query
CZ.NIC ODVRUDPDoTDoH✓193.17.47.1 185.43.135.12001:148f:ffff::1 2001:148f:fffe::1odvr.nic.czhttps://odvr.nic.cz/doh
SWITCHDoTDoH✓dns.switch.chhttps://dns.switch.ch/dns-query
Digitale GesellschaftDoTDoH✓dns.digitale-gesellschaft.chhttps://dns.digitale-gesellschaft.ch/dns-query
DNSForgeUDPDoTDoH✓176.9.93.198 176.9.1.1172a01:4f8:151:34aa::198 2a01:4f8:141:316d::117dnsforge.dehttps://dnsforge.de/dns-query
UncensoredDNSUDPDoTDoH✓91.239.100.100 89.233.43.712001:67c:28a4:: 2a01:3a0:53:53::anycast.uncensoreddns.orghttps://anycast.uncensoreddns.org/dns-query
Applied PrivacyDoTDoH✓dot1.applied-privacy.nethttps://doh.applied-privacy.net/query
NjallaUDPDoTDoH✓95.215.19.532001:67c:2354:2::53dns.njal.lahttps://dns.njal.la/dns-query
DNS4ALLUDPDoTDoH✓194.0.5.32001:678:8::3dot.dns4all.euhttps://doh.dns4all.eu/dns-query
LibreDNSDoTDoH–dot.libredns.grhttps://doh.libredns.gr/dns-query
Comss.one DNSDoTDoH–dns.comss.onehttps://dns.comss.one/dns-query
XfinityDoH✓https://doh.xfinity.com/dns-query
TiarapUDPDoTDoH✓174.138.21.128dot.tiar.apphttps://doh.tiar.app/dns-query
IIJ Public DNSDoTDoH✓public.dns.iij.jphttps://public.dns.iij.jp/dns-queryA imagem e o link são feitos aqui, no seu navegador; nada é enviado. O link leva só os números.
curl -fsSL https://dns.1ms.dog/i | shcurl -fsSL https://dns.1ms.dog/i | sh -s -- runwget -qO- https://dns.1ms.dog/i | shdnstest -p udp,dot,doqdnstest -r cloudflare,google,alidnsdnstest -6dnstest --json > dns.jsonirm https://dns.1ms.dog/i.ps1 | iexCom um proxy ligado, o navegador chega aos resolvedores por ele e o teste mede a rota do proxy. Estas regras mandam DIRECT só os endereços que o teste usa; nada mais muda.
Depois recarregue a configuração do proxy e teste de novo.
CleanBrowsing DNS é um serviço de DNS público e gratuito operado por CleanBrowsing (Estados Unidos). Responde DNS comum em 185.228.168.9, 185.228.169.9 (IPv6: 2a0d:2a00:1::2, 2a0d:2a00:2::2), e DNS criptografado: DoT, DoH. Tem servidores em muitos lugares do mundo, e suas consultas vão para o mais próximo.
Não valida DNSSEC. Por padrão, bloqueia domínios de malware e phishing.
O que digitar para usar o CleanBrowsing DNS:
DNS (IPv4) 185.228.168.9, 185.228.169.9
DNS (IPv6) 2a0d:2a00:1::2, 2a0d:2a00:2::2
DoT / DNS privado security-filter-dns.cleanbrowsing.org
DoH https://doh.cleanbrowsing.org/doh/security-filter/
Configurações → Rede e Internet → Wi‑Fi ou Ethernet → Propriedades de hardware → Atribuição de servidor DNS → Editar → Manual. Ative o IPv4 e digite 185.228.168.9, 185.228.169.9. Para criptografar, ponha DNS por HTTPS em Ativado (modelo manual) com https://doh.cleanbrowsing.org/doh/security-filter/.
Ajustes do Sistema → Rede → Wi‑Fi (ou Ethernet) → Detalhes → DNS: clique em + e adicione 185.228.168.9, 185.228.169.9. O DNS criptografado (https://doh.cleanbrowsing.org/doh/security-filter/) precisa de um perfil de configuração.
Ajustes → Wi‑Fi → ⓘ ao lado da rede → Configurar DNS → Manual, e adicione 185.228.168.9, 185.228.169.9. Vale só para essa Wi‑Fi; para DNS criptografado em qualquer rede, instale um perfil DNS para https://doh.cleanbrowsing.org/doh/security-filter/.
Configurações → Rede e Internet → DNS particular → Nome do host do provedor de DNS particular: security-filter-dns.cleanbrowsing.org. Vale em qualquer rede e é criptografado (DoT). O menu muda um pouco conforme a marca: procure “DNS particular” nas configurações.
Na página de administração do roteador (configurações WAN ou DHCP), defina os servidores DNS como 185.228.168.9, 185.228.169.9: todos os aparelhos da rede passam a usá-lo.
Chrome: Configurações → Privacidade e segurança → Segurança → Usar DNS seguro → Personalizado: https://doh.cleanbrowsing.org/doh/security-filter/. O Edge tem o mesmo em Privacidade, pesquisa e serviços. Firefox: Configurações → Privacidade e segurança → DNS sobre HTTPS → Proteção máxima → Personalizado: https://doh.cleanbrowsing.org/doh/security-filter/.
Com systemd-resolved: coloque DNS=185.228.168.9 185.228.169.9 em /etc/systemd/resolved.conf e rode systemctl restart systemd-resolved. Para DoT, escreva o endereço como 185.228.168.9#security-filter-dns.cleanbrowsing.org e acrescente DNSOverTLS=yes.
O DNS comum costuma responder, mas mais devagar, porque os servidores ficam fora da China continental, e as respostas para sites bloqueados podem ser falsificadas no caminho. O DNS criptografado (DoH, DoT) até ele muitas vezes é bloqueado ou instável. Faça o teste nesta página: uma linha sem resposta quer dizer que ele não é alcançável da sua rede.
Nenhum é mais rápido em todo lugar: conta a distância até o servidor mais próximo de cada um e a rota que seu provedor faz até lá. Esta página mede os dois, e todos os outros DNS da lista, a partir da sua rede em cerca de 20 segundos; no topo aparece a posição do CleanBrowsing DNS e quanto ele fica atrás do mais rápido.
Quase sempre é distância: o servidor mais próximo está longe, ou seu provedor dá uma volta. Um proxy ou VPN também carrega as consultas, e então o teste mede a rota do proxy (as regras diretas resolvem). Algumas redes deixam o DNS criptografado lento ou o bloqueiam. E um nome que ninguém pediu ainda sempre demora mais (coluna Sem cache). Se outro DNS da lista for claramente mais rápido, troque por ele.
Seu navegador consulta cada resolvedor diretamente; nada passa por este site. Primeiro ele abre uma conexão com cada um e consulta uma vez três nomes populares, que entram no cache do resolvedor; nada disso conta. Depois vêm 10 rodadas: em cada uma, todos são consultados mais uma vez, numa nova ordem aleatória, alguns ao mesmo tempo, para que um soluço da sua rede afete todos igualmente. Rodada sim, rodada não, também é consultado um nome aleatório que não existe em lugar nenhum.
Os números são medianas: uma consulta lenta isolada não os altera. Os tempos vêm da medição de rede que o próprio navegador registra para cada requisição, que os scripts da página não conseguem atrasar. Cada URL é nova e buscada sem cache, então só o resolvedor pode responder.
Navegadores só fazem requisições HTTPS. Não conseguem enviar uma consulta UDP à porta 53, abrir TLS na porta 853 (DoT) nem falar DoQ, e nenhum site consegue fazer isso a partir da sua rede. Sites que mostram esses números medem do próprio servidor ou chutam.
O que a página consegue: enviar DNS over HTTPS ao mesmo servidor que responde UDP e DoT (por exemplo https://1.1.1.1/dns-query). Numa conexão aberta, uma consulta custa uma ida e volta até esse servidor mais o trabalho do resolvedor, exatamente o que custa uma consulta UDP ou DoT; o HTTP acrescenta bem menos de um milissegundo. Daí o ≈. Quando o servidor DNS comum não tem HTTPS, aparece – no lugar do número.
O que a estimativa não vê: uma rede que bloqueia, limita ou adultera as portas 53 ou 853 mas deixa o HTTPS em paz.
Para medir UDP, DoT e DoQ de verdade, rode a ferramenta de linha de comando (o comando abaixo da tabela) num servidor, num computador Linux ou num roteador: ela fala todos os protocolos e usa a mesma lista.
O método de medição está na primeira pergunta. Além disso, a lista é verificada com scripts/verify.mjs (no repositório) a partir de mais de um continente: todo endereço precisa dar uma resposta DNS de verdade a esse tipo de consulta, e a validação DNSSEC é testada em vez de copiada do que cada provedor diz.
Onde o resolvedor permite (Cloudflare, Google, Quad9, Control D, DNS.SB, DNS4EU, IIJ), a página também lê cada resposta e só conta as verdadeiras. Nos outros, o navegador consegue medir o tempo da resposta, mas não lê-la.
Repita o teste algumas vezes, em horários diferentes se puder: o mais rápido à noite pode não ser no horário de pico.
Por padrão, não: com um proxy ou VPN ligado, seu navegador chega aos resolvedores através dele, e o teste mede a rota do proxy (todos os resolvedores estrangeiros parecem tão rápidos quanto seu servidor proxy). O DNS que você configura no dispositivo ou roteador normalmente é consultado direto, então não é o que você teria.
Para medir sua própria rede, adicione as regras diretas (o botão ao lado do progresso): elas mandam direto exatamente os endereços deste teste, por nome de host exato e IP único, e nada mais. Funcionam com Clash/Mihomo, Surge, Shadowrocket, Quantumult X, Loon, sing-box e Xray; a maioria pode carregar as regras deste site para ficar sempre atualizada.
Nomes populares já estão no cache de qualquer resolvedor movimentado, então respondem rápido em todo lugar. Para um nome que ninguém pediu recentemente, o resolvedor precisa perguntar antes aos servidores DNS do próprio site. O teste usa nomes aleatórios numa zona hospedada no DNS da Cloudflare, com servidores em quase todo lugar, menos na China continental.
Esse custo depende de onde ficam os servidores DNS de cada site, o que varia, por isso aparece mas não entra na classificação. Resolvedores da China continental parecem lentos aqui porque os servidores da zona ficam no exterior; para sites chineses, com DNS na China, eles são rápidos.
O primeiro da lista é uma boa escolha. Se a diferença for de poucos ms, escolha pelo que mais importa para você: Quad9 e OpenDNS bloqueiam sites conhecidos de malware e phishing; Mullvad, Quad9 e Wikimedia não guardam registros de quem consultou o quê; os que validam DNSSEC recusam respostas falsas em domínios assinados.
Se o seu dispositivo só aceita endereços de servidores DNS comuns (a maioria dos roteadores, sistemas antigos), veja a coluna UDP: a linha abaixo do vencedor mostra o DNS comum mais rápido quando é outro.
Para que sua rede e sua operadora não vejam o que você consulta, use o endereço DoT ou DoH: o DNS comum trafega sem criptografia.
Android 9+: Configurações → Rede → DNS privado → digite o host DoT (por exemplo one.one.one.one).
iPhone e Mac: em cada rede Wi-Fi, digite os servidores DNS; para DNS criptografado, instale um perfil de configuração do site do resolvedor.
Windows 11: Configurações → Rede → sua conexão → Atribuição de servidor DNS → Manual, digite os servidores e ative o DNS over HTTPS.
Roteador: coloque os servidores DNS nas configurações de DHCP ou WAN e todos os dispositivos da rede passam a usá-los.
Só o navegador: Chrome, Edge e Firefox têm a opção DNS seguro, onde você escolhe um provedor ou cola o endereço DoH.
Clique em qualquer endereço desta página para copiá-lo.
DNSSEC permite que um domínio assine seus registros DNS. Um resolvedor que valida confere as assinaturas e recusa respostas que não batem, então ninguém no caminho consegue entregar um endereço falso de um domínio assinado. A página mostra ✓ nos que fazem isso (testado com um domínio quebrado de propósito, dnssec-failed.org, que eles precisam recusar). Só ajuda em domínios assinados, mas não custa nada.
Eles só oferecem DNS comum e seus servidores não respondem a HTTPS de forma alguma, então um navegador não consegue alcançá-los de nenhum jeito. O Quad101 (Taiwan) ficou de fora porque seu DoH não respondeu do exterior nas nossas verificações.
EDNS Client Subnet: alguns resolvedores informam parte do seu endereço aos servidores DNS do site, para que uma CDN escolha um servidor perto de você e não do resolvedor. Pode acelerar downloads e vídeos, ao custo de um pouco de privacidade.
Não está na tabela porque não é uma propriedade fixa: nas nossas verificações, o mesmo resolvedor repassava de alguns lugares e protocolos e não de outros, então um sim ou um não enganaria.
Não. As consultas vão direto do seu navegador para cada resolvedor, e os nomes consultados são sites públicos populares e nomes aleatórios; nada sobre você. Este site não recebe resultados. Cada resolvedor vê seu endereço, como em qualquer consulta DNS; valem as políticas de privacidade de cada um. O código é aberto e está no GitHub.