Qual eu escolho?
O que aparece no topo é uma boa escolha. Se os primeiros estiverem a poucos milissegundos, escolha pelo que mais importa para você:
Bloquear malware e phishing conhecidos: Quad9 ou OpenDNS.
Privacidade: Mullvad, Quad9 e Wikimedia afirmam que não registram quem consultou o quê.
Proteção contra respostas falsas: escolha um com ✓, que valida DNSSEC (a assinatura dos domínios).
Se o seu aparelho só aceita endereços de DNS comum (a maioria dos roteadores, sistemas antigos), olhe a coluna UDP. Quando o DNS comum mais rápido não é o vencedor, ele aparece na linha logo abaixo do vencedor.
Se você não quer que a sua rede e a sua operadora vejam quais sites você consulta, use o endereço DoT ou DoH: o DNS comum não é criptografado, e as redes no caminho conseguem ler.
Como eu mudo o meu DNS?
Android 9 ou mais recente: Configurações → Rede → DNS particular, e digite o nome de host DoT (por exemplo one.one.one.one). Vale em qualquer rede e é criptografado.
iPhone e Mac: digite os servidores DNS em cada rede Wi-Fi. Para DNS criptografado, instale um perfil de configuração pelo site do provedor.
Windows 11: Configurações → Rede → sua conexão → Atribuição de servidor DNS → Manual. Digite os servidores e ative o DNS por HTTPS.
Roteador: coloque os servidores DNS nas configurações DHCP ou WAN, e todos os aparelhos da rede passam a usá-los.
Só no navegador: Chrome, Edge e Firefox têm uma opção de DNS seguro, onde você escolhe um provedor ou cola um endereço DoH.
Cada servidor tem uma página própria com o passo a passo. Clique em qualquer endereço desta página para copiá-lo.
Uso proxy. O resultado ainda é da minha rede?
Por padrão, não. Com um proxy ou VPN ligado, o navegador chega aos servidores DNS através dele: o teste mede a rota do proxy, e todos os servidores do exterior parecem tão rápidos quanto o seu servidor proxy. O DNS que você configura no aparelho ou no roteador normalmente é consultado direto, então esses números não são o que você teria na prática.
Para testar a sua própria rede, adicione as regras diretas (o botão ao lado da barra de progresso). Elas mandam direto só os endereços que este teste usa, por nome de host exato e IP individual, e não mexem no resto do tráfego. Funcionam com Clash/Mihomo, Surge, Shadowrocket, Quantumult X, Loon, sing-box e Xray, e a maioria consegue carregar as regras deste site para mantê-las atualizadas.
Como o teste funciona?
O seu navegador consulta cada servidor DNS diretamente; nada passa por este site.
Primeiro ele se conecta a cada um e consulta uma vez três nomes populares, para que fiquem no cache daquele servidor. Essa parte não conta. Depois vêm 10 rodadas: em cada uma, todos são consultados uma vez, numa nova ordem aleatória, alguns ao mesmo tempo. Assim, se a sua rede der uma travada, todos são afetados igual, não só o que estava sendo testado naquela hora. A cada duas rodadas, também é consultado um nome aleatório que não existe.
Os resultados são medianas, então uma consulta lenta isolada não derruba a pontuação. Os tempos vêm da medição de rede do próprio navegador, que os scripts da página não conseguem atrasar. Cada requisição vai para uma URL nova e pula todos os caches, então só o próprio servidor DNS pode responder.
Por que UDP e DoT são estimados?
Porque o navegador não consegue medi-los. Uma página web só consegue fazer requisições HTTPS: não dá para enviar DNS comum por UDP (porta 53), DNS criptografado por TLS (DoT, porta 853) nem DoQ. Nenhum site consegue medir isso a partir da sua rede; quem mostra esses números mediu do próprio servidor ou chutou.
O que esta página faz no lugar: envia DoH, ou seja, DNS criptografado por HTTPS, para o mesmo servidor que responde por UDP e DoT (por exemplo https://1.1.1.1/dns-query). Com a conexão aberta, uma consulta leva uma ida e volta até esse servidor mais o tempo de processamento dele. Uma consulta por UDP ou DoT custa exatamente isso; o HTTPS acrescenta bem menos de um milissegundo. Daí o ≈. Quando o servidor DNS comum de um provedor não aceita HTTPS, aparece um – em vez de um número inventado.
O que uma estimativa não percebe: uma rede que bloqueia, deixa lenta ou mexe nas portas 53 ou 853, mas deixa o HTTPS passar.
Para medir UDP, DoT e DoQ de verdade, rode o comando do quadro de linha de comando que fica acima da tabela (o botão “Linha de comando” ao lado da barra de progresso também o abre) em um servidor, um computador com Linux ou um roteador. Ele fala todos os protocolos e testa a mesma lista de servidores.
Os resultados são confiáveis?
Como a medição é feita está em Como o teste funciona? Além disso, a lista é verificada a partir de mais de um continente com scripts/verify.mjs (no repositório do código): cada endereço precisa responder a esse tipo de consulta com uma resposta DNS real, e a validação de DNSSEC é testada, não copiada do que cada provedor diz.
Cloudflare, Google, Quad9, Control D, DNS.SB, DNS4EU e IIJ deixam páginas web lerem as respostas, então a página confere uma por uma e só conta as reais. Nos outros, o navegador consegue medir o tempo, mas não ler a resposta.
Faça o teste algumas vezes, de preferência em horários diferentes: o mais rápido à noite pode não ser no horário de pico.
O que é Primeira consulta?
Nomes populares já estão no cache de todos os grandes servidores DNS, então qualquer um responde rápido. Um nome que ninguém consulta há um tempo é diferente: o servidor primeiro precisa perguntar aos servidores DNS do próprio site e depois passar a resposta para você. Isso é uma primeira consulta.
O teste usa nomes aleatórios hospedados na Cloudflare, que tem servidores DNS em quase todo lugar, menos na China continental. Esse tempo depende de onde ficam os servidores DNS de cada site, o que muda de site para site, então ele aparece, mas não entra no ranking. Os servidores da China continental parecem lentos nessa coluna porque os servidores desses nomes ficam no exterior; com sites chineses, eles são rápidos.
O que é DNSSEC?
Resumindo: os domínios assinam os registros DNS deles para que as respostas não possam ser falsificadas. Um servidor que valida DNSSEC confere a assinatura e recusa as respostas que não batem, então ninguém no caminho consegue te passar um endereço falso. Um ✓ indica que o servidor valida: testamos com um domínio quebrado de propósito, dnssec-failed.org, que ele precisa recusar. Só protege domínios assinados, mas não tem nenhuma desvantagem.
O que é ECS, e por que não está na tabela?
ECS (EDNS Client Subnet) é quando o servidor DNS repassa parte do seu endereço IP para os servidores DNS do site, para que uma CDN escolha um servidor perto de você, e não perto do servidor DNS. Downloads e vídeos podem ficar mais rápidos, em troca de revelar um pouco de onde você está.
Não está na tabela porque não é fixo: nos nossos testes, o mesmo servidor repassava a partir de alguns lugares e por alguns protocolos, mas não de outros. Um simples sim ou não te confundiria.
Por que 114DNS e Baidu DNS não estão aqui?
Eles só oferecem DNS comum, e os servidores deles não respondem por HTTPS de jeito nenhum, então um navegador não tem como chegar até eles. O Quad101 (Taiwan, China) também ficou de fora: o DoH dele não respondia de outras regiões quando verificamos.
Vocês coletam os meus dados?
Não guardamos resultados nem nada sobre você. As consultas do teste vão direto do seu navegador para cada DNS e são de sites públicos populares e nomes aleatórios; nada sobre você vai nelas. Seus resultados ficam no seu navegador. Só quando você clica em Compartilhar eles são gravados no link (os tempos de cada DNS, sem endereço IP; incluir seu país ou região é escolha sua).
Uma coisa passa pelo servidor do próprio 1ms.dog (em Tóquio): para mostrar qual DNS o seu dispositivo usa de verdade, a página consulta um nome aleatório em l.1ms.dog, cujo servidor DNS é nosso, e depois do teste envia um nome assim por cada DNS para ver qual servidor dele atende você. Esse servidor vê o endereço do DNS que perguntou e, se esse DNS repassar, a sua rede (ECS: a primeira parte do seu endereço, como 203.0.113.0/24). Ele os guarda na memória por 2 minutos para a página buscar em api.l.1ms.dog e depois os descarta; nada é gravado em disco nem em log. A página mostra isso só para você; nunca vai no link nem no cartão de compartilhamento.
Como em qualquer consulta DNS, cada DNS vê o seu endereço IP, e vale a política de privacidade de cada um. O código é aberto, no GitHub.