Как работает тест?
Ваш браузер обращается к каждому резолверу напрямую; через этот сайт ничего не идёт. Сначала он открывает соединение с каждым и один раз запрашивает три популярных имени, чтобы они попали в кеш резолвера; это не учитывается. Затем идут 10 раундов: в каждом все резолверы опрашиваются ещё раз, в новом случайном порядке, по несколько одновременно, так что сбой в вашей сети задевает всех одинаково. Через раунд запрашивается и случайное имя, которого нигде нет.
Числа — медианы: один медленный запрос их не сдвигает. Время берётся из сетевых замеров, которые браузер сам записывает для каждого запроса, и скрипты страницы не могут их исказить. Каждый URL новый и запрашивается в обход кеша, поэтому ответить может только сам резолвер.
Почему UDP и DoT — оценка?
Браузеры умеют только HTTPS-запросы. Они не могут отправить UDP-запрос на порт 53, открыть TLS на порт 853 (DoT) или работать по DoQ, и ни один сайт не может сделать это из вашей сети. Сайты, показывающие такие цифры, меряют со своего сервера или угадывают.
Что может страница: отправить DNS over HTTPS тому самому серверу, который отвечает по UDP и DoT (например, https://1.1.1.1/dns-query). По открытому соединению запрос стоит одного пути туда и обратно до этого сервера плюс работу резолвера — ровно столько же, сколько запрос по UDP или DoT; HTTP добавляет заметно меньше миллисекунды. Отсюда ≈. Если у обычного DNS-сервера нет HTTPS, вместо числа стоит –.
Чего оценка не видит: сети, которая блокирует, замедляет или подменяет порты 53 или 853, но не трогает HTTPS.
Чтобы по-настоящему измерить UDP, DoT и DoQ, запустите утилиту командной строки (команда под таблицей) на сервере, Linux-машине или роутере: она поддерживает все протоколы и использует тот же список.
Насколько надёжны результаты?
Метод измерения описан в первом вопросе. Кроме того, список проверяется скриптом scripts/verify.mjs (в репозитории) с нескольких континентов: каждый адрес должен давать настоящий DNS-ответ на такой запрос, а проверка DNSSEC тестируется, а не берётся со слов провайдеров.
Где резолвер это разрешает (Cloudflare, Google, Quad9, Control D, DNS.SB, DNS4EU, IIJ), страница ещё и читает каждый ответ и учитывает только настоящие. У остальных браузер может засечь время ответа, но не прочитать его.
Повторите тест пару раз, по возможности в разное время: самый быстрый ночью не обязательно самый быстрый в час пик.
У меня прокси. Результаты всё ещё мои?
По умолчанию нет: с включённым прокси или VPN браузер обращается к резолверам через него, и тест измеряет маршрут прокси (все зарубежные резолверы выглядят примерно такими же быстрыми, как ваш прокси-сервер). DNS, заданный на устройстве или роутере, обычно опрашивается напрямую, так что это не то, что вы получите.
Чтобы измерить свою сеть, добавьте прямые правила (кнопка рядом с прогрессом): они отправляют напрямую ровно адреса этого теста, по точному имени хоста и одиночному IP, и ничего больше. Поддерживаются Clash/Mihomo, Surge, Shadowrocket, Quantumult X, Loon, sing-box и Xray; большинство может загружать правила с этого сайта и держать их актуальными.
Что значит «без кеша»?
Популярные имена уже лежат в кеше любого загруженного резолвера, поэтому везде отвечают быстро. Для имени, которое давно никто не запрашивал, резолвер сначала спрашивает DNS-серверы самого сайта. Тест использует случайные имена в зоне на DNS Cloudflare, у которого серверы почти везде, кроме материкового Китая.
Это время зависит от того, где стоят DNS-серверы каждого сайта, а это у всех по-разному, поэтому оно показано, но в рейтинг не входит. Резолверы материкового Китая выглядят здесь медленными, потому что серверы зоны за границей; для китайских сайтов с DNS в Китае они быстрые.
Какой выбрать?
Первый в списке — хороший выбор. Если разница в несколько мс, выбирайте по тому, что ещё важно: Quad9 и OpenDNS блокируют известные вредоносные и фишинговые сайты; Mullvad, Quad9 и Wikimedia не хранят журналы, кто что запрашивал; резолверы с проверкой DNSSEC отклоняют поддельные ответы для подписанных доменов.
Если устройство принимает только адреса обычных DNS-серверов (большинство роутеров, старые системы), смотрите столбец UDP: строка под победителем называет самый быстрый обычный DNS, если это другой резолвер.
Чтобы сеть и провайдер не видели ваши запросы, используйте адрес DoT или DoH: обычный DNS передаётся без шифрования.
Как сменить DNS?
Android 9+: Настройки → Сеть → Частный DNS → введите имя хоста DoT (например, one.one.one.one).
iPhone и Mac: для каждой сети Wi-Fi укажите DNS-серверы; для шифрованного DNS установите профиль конфигурации с сайта резолвера.
Windows 11: Параметры → Сеть → ваше подключение → Назначение DNS-сервера → Вручную, введите серверы и включите DNS over HTTPS.
Роутер: укажите DNS-серверы в настройках DHCP или WAN, и их будут использовать все устройства в сети.
Только браузер: в Chrome, Edge и Firefox есть настройка «Безопасный DNS», где можно выбрать провайдера или вставить адрес DoH.
Нажмите на любой адрес на этой странице, чтобы скопировать его.
Что такое DNSSEC?
DNSSEC позволяет домену подписывать свои DNS-записи. Проверяющий резолвер сверяет подписи и отклоняет несовпадающие ответы, так что никто по пути не сможет подсунуть поддельный адрес подписанного домена. Страница ставит ✓ тем, кто это делает (проверка на намеренно сломанном домене dnssec-failed.org, который они должны отклонить). Помогает только для подписанных доменов, но ничего не стоит.
Почему не тестируются 114DNS и Baidu DNS?
Они предлагают только обычный DNS, а их серверы вообще не отвечают по HTTPS, поэтому браузер не может до них достучаться никаким способом. Quad101 (Тайвань) не включён: при наших проверках его DoH не отвечал из-за рубежа.
Что такое ECS и почему он не показан?
EDNS Client Subnet: некоторые резолверы сообщают DNS-серверам сайта часть вашего адреса, чтобы CDN выбрала сервер рядом с вами, а не с резолвером. Это может ускорить загрузки и видео ценой небольшой потери приватности.
В таблице его нет, потому что это не постоянное свойство: при наших проверках один и тот же резолвер передавал подсеть из одних мест и по одним протоколам и не передавал из других, так что любое «да» или «нет» вводило бы в заблуждение.
Собираются ли мои данные?
Нет. Запросы идут из вашего браузера напрямую к каждому резолверу, и запрашиваются популярные публичные сайты и случайные имена; ничего о вас в них нет. Этот сайт не получает результатов. Каждый резолвер видит ваш адрес, как при любом DNS-запросе; действуют их собственные политики конфиденциальности. Код открыт и лежит на GitHub.
Cloudflare
Google
Quad9
OpenDNS
AdGuard DNS
AdGuard Unfiltered
NextDNS
Control D
Mullvad
DNS.SB
Hurricane Electric
Wikimedia DNS
CleanBrowsing
Rethink DNS
AliDNS
DNSPod
360 DNS
Yandex DNS
DNS4EU
CIRA Canadian Shield
CZ.NIC ODVR
SWITCH
Digitale Gesellschaft
DNSForge
UncensoredDNS
Applied Privacy
Njalla
DNS4ALL
LibreDNS
Comss.one DNS
Xfinity
Tiarap
IIJ Public DNS