DNS CleanBrowsing: adresy filtra rodzinnego i ustawienia

Czym jest CleanBrowsing DNS?

CleanBrowsing DNS to darmowa usługa DNS z filtrowaniem: ustaw router lub urządzenie na 185.228.168.168 i 185.228.169.168, a filtr rodzinny zablokuje treści dla dorosłych, wymusi SafeSearch i nie wpuści dzieci na strony VPN i proxy. Nie potrzeba konta ani aplikacji. Darmowe filtry są trzy: rodzinny, dla dorosłych i bezpieczeństwa, każdy z własnymi adresami; są też płatne plany z własnymi kategoriami.

Filtrowanie odbywa się przy zapytaniu o nazwę. Na zablokowaną nazwę CleanBrowsing odpowiada NXDOMAIN („nie ma takiej domeny”), więc strona w ogóle się nie ładuje: Chrome pokazuje DNS_PROBE_FINISHED_NXDOMAIN, inne przeglądarki podobny błąd „nie znaleziono serwera”.

Darmowa usługa ma ograniczenia, które CleanBrowsing podaje na stronie filtrów: jest dławiona, bez wsparcia i nie da się jej dostosować. Płatne plany zaczynają się od 75 USD rocznie (darmowy a płatny) i dodają ponad 26 kategorii, listy dozwolonych i zablokowanych oraz raporty. Według CleanBrowsing jego darmowe filtry obsługują ponad 355 mld zapytań miesięcznie w ponad 70 centrach danych.

Adresy serwerów DNS CleanBrowsing (IPv4, IPv6, DoH, DoT)

To adresy darmowych filtrów ze strony filtrów CleanBrowsing, sprawdzone 26 października 2026. Używaj obu adresów tego samego filtra, a jeśli Twoja sieć ma IPv6, także pary IPv6.

Filtr dla dorosłych ma dwa opublikowane adresy zapasowe. Strona filtrów podaje 185.228.169.11, a przewodnik konfiguracji CleanBrowsing 185.228.169.10. W naszym teście oba działały jako filtr dla dorosłych, ale .10 na zablokowaną nazwę odpowiada NXDOMAIN jak adres główny, a .11 zwraca 185.228.168.254, serwer pokazujący stronę „Website Blocked” CleanBrowsing.

Wszystkie sześć adresów IPv6 odpowiedziało z naszego łącza i filtrowało dokładnie tak jak ich odpowiedniki IPv4.

Rodzinny, dla dorosłych, bezpieczeństwa: co blokuje każdy filtr

Rodzinny blokuje strony dla dorosłych, z mieszaną treścią, VPN i proxy oraz złośliwe oprogramowanie i phishing, z wymuszonym SafeSearch. Dla dorosłych blokuje strony dla dorosłych i zagrożenia, ale zostawia w spokoju Reddit, VPN i YouTube. Bezpieczeństwa blokuje tylko zagrożenia.

Zapytaliśmy każdy filtr o te same nazwy 26 października 2026 z Indii. Haczyk oznacza, że filtr zablokował nazwę (NXDOMAIN) albo przekierował ją do bezpiecznej wersji wyszukiwarki.

Trzy wyniki wykraczają poza własne opisy CleanBrowsing:

• Filtr dla dorosłych wymusza SafeSearch. Strona „darmowy a płatny” CleanBrowsing twierdzi, że nie, strona filtrów, że tak. Przekierował Google, Bing i DuckDuckGo do bezpiecznych wersji, tak jak filtr rodzinny.
• Ustawienie YouTube w filtrze rodzinnym to umiarkowany, a nie ścisły (patrz następna sekcja).
• Aplikacje społecznościowe zostają otwarte w każdym darmowym filtrze. TikTok, Instagram i Discord rozwiązywały się normalnie; zablokowanie mediów społecznościowych lub gier wymaga płatnego planu albo kontroli na urządzeniu.

SafeSearch i YouTube: co naprawdę robi filtr rodzinny

CleanBrowsing wymusza SafeSearch przez DNS: zapytanie o wyszukiwarkę dostaje adres jej wersji z zablokowanym trybem bezpiecznym. Dla Google to forcesafesearch.google.com (216.239.38.120), który zwraca wyniki z zablokowanym SafeSearch bez względu na ustawienia przeglądarki.

Filtry rodzinny i dla dorosłych odpowiedziały 216.239.38.120 dla www.google.com i stron krajowych, takich jak www.google.co.in, a Bing skierowały na strict.bing.com i DuckDuckGo na safe.duckduckgo.com. Filtr bezpieczeństwa zostawił je bez zmian.

Na YouTube deklaracja i pomiar się rozchodzą. Przewodnik po SafeSearch CleanBrowsing mówi, że darmowy filtr rodzinny używa ścisłego trybu ograniczonego dostępu. Metoda DNS Google ma dwa cele: restrict.youtube.com dla trybu ścisłego (216.239.38.120) i restrictmoderate.youtube.com dla umiarkowanego (216.239.38.119). Filtr rodzinny odpowiedział 216.239.38.119, czyli umiarkowany, dla wszystkich pięciu nazw hostów YouTube wymienionych przez Google, w tym youtubei.googleapis.com używanej przez aplikację. Filtr dla dorosłych nie ogranicza YouTube.

# Family filter: Google SafeSearch, Bing and YouTube (DNS Robot, 26 Oct 2026)
dig @185.228.168.168 www.google.com +short
# 216.239.38.120   <- forcesafesearch.google.com

dig @185.228.168.168 www.bing.com +short | head -1
# strict.bing.com.

dig @185.228.168.168 www.youtube.com +short
# 216.239.38.119   <- restrictmoderate.youtube.com (Moderate)

Test szybkości CleanBrowsing: nasze wyniki z Indii

Zmierzyliśmy każdy adres 26 października 2026 z domowego łącza Jio w Indiach: mediana pięciu zapytań o popularną nazwę (z pamięci podręcznej) i pięciu zupełnie nowych nazw (bez pamięci podręcznej), plus 20 zapytań, by policzyć, jak często serwer nie odpowiedział w ciągu 2 sekund. Filtry rodzinne Cloudflare i OpenDNS mierzyliśmy obok.

Dwa adresy filtra nie są równe. CleanBrowsing podaje nazwę odpowiadającego serwera (dig @185.228.168.168 id.server CH TXT): z naszego łącza każdy adres 185.228.168.x odpowiadał w Singapurze, a każdy 185.228.169.x w Londynie, co mniej więcej podwoiło czasy z cache (63–79 ms wobec 152–166 ms) i zgubiło więcej zapytań. Adresy IPv6 przełączały się między dwoma miastami z zapytania na zapytanie.

Cloudflare i OpenDNS odpowiadały na nazwy z cache mniej więcej dwa razy szybciej, bo oba odpowiadały z Indii; dla zupełnie nowych nazw różnica była mała (52–68 ms wobec 66–75 ms). W Europie lub Ameryce Północnej kolejność może się zmienić, więc zmierz to na własnym łączu.

CleanBrowsing przez DNS over HTTPS i DNS over TLS

Wszystkie trzy darmowe filtry odpowiadają szyfrowanym DNS. Dzięki temu operator lub właściciel Wi-Fi nie może czytać ani przepisywać zapytań, a na telefonach filtr działa dalej w mobilnej transmisji danych.

• DNS over TLS (DoT): nazwa hosta filtra na porcie 853, na przykład family-filter-dns.cleanbrowsing.org; używa jej prywatny DNS Androida. Wszystkie trzy nazwy hostów ukończyły uzgadnianie TLS 1.3 z ważnym certyfikatem *.cleanbrowsing.org i filtrowały jak zwykły DNS; przez jedno otwarte połączenie mediana filtra rodzinnego wyniosła od 78 do 89 ms w trzech przebiegach.
• DNS over HTTPS (DoH): https://doh.cleanbrowsing.org/doh/family-filter/ (lub adult-filter, security-filter). Odpowiadał na standardowe zapytania RFC 8484, mediana 83 ms dla filtra rodzinnego. Używaj go w Windows 11, przeglądarkach i profilach Apple.
• Płatne plany dostają własne nazwy hostów DoT i ścieżki DoH z kodem konta, widoczne w panelu CleanBrowsing.

# curl can resolve through a DoH server: allowed sites load, blocked ones don't resolve
curl -sI --doh-url https://doh.cleanbrowsing.org/doh/family-filter/ https://example.com | head -1
# HTTP/2 200

curl -sSI --doh-url https://doh.cleanbrowsing.org/doh/family-filter/ https://www.reddit.com
# curl: (6) Couldn't resolve host name

Czy CleanBrowsing jest bezpieczny? Prywatność, logi i DNSSEC

Dla darmowych filtrów polityka prywatności CleanBrowsing mówi, że nie rejestruje ani nie przechowuje danych osobowych, takich jak Twój adres IP, i nie sprzedaje, nie wynajmuje ani nie udostępnia danych osobowych. Przechowuje jednak zanonimizowane dane zapytań (żądane domeny), może je trzymać bezterminowo i udostępnia je w formie zanonimizowanej markom siostrzanym NOC, DNSArchive i Trunc.

Nie przekazuje też Twojej sieci innym serwerom DNS: test Google o-o.myaddr.l.google.com widział tylko serwery CleanBrowsing i żadnego EDNS Client Subnet, tak jak w przypadku Cloudflare. OpenDNS FamilyShield przekazał naszą podsieć /24 w jednej z dwóch prób.

Słabym punktem jest DNSSEC. Resolver walidujący musi odrzucić domenę z uszkodzonymi podpisami (domeny testowe, takie jak dnssec-failed.org, powinny dostać SERVFAIL). Odpowiedź CleanBrowsing zależała od serwera: węzły z wersją oprogramowania v1.6a zwróciły adres dla uszkodzonej domeny w 27 z 27 zapytań, a węzły v1.7a, w tym każda odpowiedź z Londynu, ją odrzuciły. Cloudflare 1.1.1.3 i OpenDNS FamilyShield odrzuciły wszystkie 20 zapytań. Dopóki starsze węzły nie zostaną zaktualizowane, CleanBrowsing nie chroni Cię niezawodnie przed sfałszowanymi odpowiedziami.

Jak ustawić CleanBrowsing DNS

Przy kontroli rodzicielskiej zacznij od routera: każde urządzenie w Twoim Wi-Fi jest filtrowane, także konsole i smart TV, a na urządzeniu dziecka nie ma nic do wyłączenia. Potem ustaw go na każdym telefonie i laptopie, które opuszczają dom, bo ustawienie routera nie działa w mobilnej transmisji danych ani w innym Wi-Fi.

Na routerze (najlepsze do kontroli rodzicielskiej)

• Otwórz stronę administracyjną routera, zwykle pod adresem 192.168.1.1 lub 192.168.0.1. Nasz przewodnik logowania do routera podaje domyślny adres i hasło dla każdej marki i operatora.
• Znajdź pola DNS w sekcji Internet, WAN lub DHCP. CleanBrowsing zaleca ustawienie ich w ustawieniach WAN, żeby obejmowały całą sieć.
• Zastąp istniejące serwery adresami 185.228.168.168 i 185.228.169.168. W sekcji IPv6 wpisz 2a0d:2a00:1:: i 2a0d:2a00:2:: albo wyłącz DNS IPv6, jeśli router nie przyjmuje własnych serwerów IPv6.
• Zapisz, uruchom router ponownie i połącz urządzenia jeszcze raz, żeby przyjęły zmianę.

Android: prywatny DNS (Wi-Fi i mobilna transmisja danych)

Android 9 lub nowszy może wysyłać wszystkie zapytania do CleanBrowsing przez DoT dzięki prywatnemu DNS, w każdej sieci:

• Przejdź do Ustawienia → Sieć i internet → Prywatny DNS (na niektórych telefonach w sekcji Zaawansowane; na Samsungu Połączenia → Więcej ustawień połączeń → Prywatny DNS).
• Wybierz Nazwa hosta dostawcy prywatnego DNS i wpisz family-filter-dns.cleanbrowsing.org (albo adult-filter-dns.cleanbrowsing.org / security-filter-dns.cleanbrowsing.org).
• Stuknij Zapisz. Jeśli pojawi się „Nie udało się połączyć”, sprawdź pisownię; niektóre sieci szkolne i firmowe blokują port 853.

iPhone i iPad

• Najlepiej: profil szyfrowanego DNS. Na iPhonie otwórz stronę profili Apple CleanBrowsing, wybierz filtr rodzinny i pobierz profil (iOS 14 lub nowszy). Następnie otwórz Ustawienia → Profil pobrany → Zainstaluj. Używa DoH w każdej sieci, w Wi-Fi i komórkowej.
• Tylko jedna sieć Wi-Fi: przejdź do Ustawienia → Wi-Fi, stuknij (i) obok sieci, a potem Konfiguruj DNS → Ręcznie. Usuń istniejące serwery i dodaj 185.228.168.168 oraz 185.228.169.168.
• Profil można usunąć w Ustawieniach, a aplikacja VPN omija każdy filtr DNS. Użyj Czas przed ekranem → Ograniczaj treść i prywatność, żeby zablokować instalowanie nowych aplikacji, z hasłem funkcji Czas przed ekranem znanym tylko Tobie.

W Windows 11 i 10

• Otwórz Ustawienia → Sieć i Internet, wybierz Wi-Fi (potem Właściwości sprzętu) lub Ethernet.
• Obok Przypisanie serwera DNS kliknij Edytuj, wybierz Ręcznie i włącz IPv4.
• Wpisz 185.228.168.168 jako preferowany i 185.228.169.168 jako alternatywny. W Windows 11 ustaw DNS przez HTTPS na Włączone (szablon ręczny) i wpisz https://doh.cleanbrowsing.org/doh/family-filter/ dla obu.
• Włącz IPv6, dodaj 2a0d:2a00:1:: i 2a0d:2a00:2::, a potem kliknij Zapisz. W Windows 10 użyj Panel sterowania → Centrum sieci i udostępniania → Zmień ustawienia karty sieciowej albo wiersza PowerShell poniżej.

# PowerShell as administrator (use "Ethernet" for a wired connection)
Set-DnsClientServerAddress -InterfaceAlias "Wi-Fi" -ServerAddresses 185.228.168.168,185.228.169.168,2a0d:2a00:1::,2a0d:2a00:2::
ipconfig /flushdns

W macOS

• Otwórz Ustawienia systemowe → Sieć, wybierz Wi-Fi (lub Ethernet) i kliknij Szczegóły.
• Na karcie DNS usuń stare serwery, kliknij + i dodaj 185.228.168.168, 185.228.169.168, 2a0d:2a00:1:: i 2a0d:2a00:2::, a potem kliknij OK.
• Aby szyfrowany DNS towarzyszył MacBookowi w innych sieciach, zainstaluj zamiast tego ten sam profil Apple (macOS 11 Big Sur lub nowszy).

# Terminal alternative, then clear the DNS cache
networksetup -setdnsservers Wi-Fi 185.228.168.168 185.228.169.168 2a0d:2a00:1:: 2a0d:2a00:2::
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

Jak dzieci omijają filtry DNS (i jak je powstrzymać)

Filtr DNS działa tylko dopóty, dopóki urządzenie go pyta. Oto typowe sposoby ominięcia CleanBrowsing i to, co powstrzymuje każdy z nich:

• Wpisanie innego serwera DNS, na przykład 8.8.8.8. Rozwiązanie: na routerze zezwól na port 53 tylko do zakresu CleanBrowsing, 185.228.168.0/23, a resztę przekieruj lub zablokuj (reguły poniżej).
• DNS over HTTPS w przeglądarce. Filtr rodzinny odpowiedział NXDOMAIN dla dns.google, cloudflare-dns.com, mozilla.cloudflare-dns.com, dns.quad9.net, dns.nextdns.io i innych nazw hostów DoH oraz dla use-application-dns.net, domeny-kanarka, która powstrzymuje Firefoksa przed samodzielnym włączeniem DoH. Serwer DoH wpisany przez adres IP nadal przechodzi, bo przeglądarka nie potrzebuje zapytania, żeby do niego dotrzeć; na zarządzanych przez Ciebie komputerach wyłącz więc bezpieczny DNS zasadą.
• Prywatny DNS Androida ustawiony na dns.google: filtr rodzinny nie rozwiąże tej nazwy hosta w Twoim Wi-Fi, ale w mobilnej transmisji danych to działa. Zablokuj wychodzący port TCP 853 oprócz CleanBrowsing i ustaw prywatny DNS samego telefonu na CleanBrowsing.
• Aplikacje VPN i proxy webowe. Filtr rodzinny zablokował każdą wypróbowaną stronę VPN i proxy, co zatrzymuje proxy webowe. Aplikacja VPN ze sklepu nadal może się połączyć, a wtedy DNS działa wewnątrz tunelu, gdzie żaden filtr DNS go nie widzi, więc kontroluj instalowanie aplikacji przez Google Family Link lub Czas przed ekranem.
• IPv6 i inne sieci. DNS IPv6 operatora, Wi-Fi sąsiada lub mobilna transmisja danych omijają ustawienie routera: ustaw serwery IPv6 i zainstaluj na telefonie dziecka prywatny DNS albo profil Apple.

# Linux/OpenWrt router (iptables; br-lan = your LAN interface)
# Redirect every plain DNS query from the LAN to CleanBrowsing Family
iptables -t nat -A PREROUTING -i br-lan -p udp --dport 53 ! -d 185.228.168.0/23 -j DNAT --to-destination 185.228.168.168:53
iptables -t nat -A PREROUTING -i br-lan -p tcp --dport 53 ! -d 185.228.168.0/23 -j DNAT --to-destination 185.228.168.168:53

# Block DNS over TLS to anyone but CleanBrowsing
iptables -A FORWARD -i br-lan -p tcp --dport 853 ! -d 185.228.168.0/23 -j REJECT

Potem sprawdź każde urządzenie w DNS Leak Test DNS Robot: każdy wymieniony resolver powinien należeć do CleanBrowsing. Jeśli na liście pojawi się Google, Cloudflare lub Twój operator, coś na tym urządzeniu omija filtr. Gdy szyfrowany DNS jest zablokowany, niektóre iPhone'y ostrzegają, że sieć blokuje szyfrowany DNS; oto, co to znaczy.

CleanBrowsing vs Cloudflare 1.1.1.3 vs OpenDNS FamilyShield

Cloudflare 1.1.1.3 i OpenDNS FamilyShield to dwa pozostałe duże darmowe filtry rodzinne. Te same testy przeprowadziliśmy na każdym 26 października 2026; adresy pochodzą z dokumentacji Cloudflare i strony FamilyShield OpenDNS.

Wybierz CleanBrowsing Rodzinny dla młodszych dzieci: jako jedyny z trzech blokuje mieszaną treść w stylu Reddita i ogranicza YouTube, a do tego blokuje strony VPN i serwery DoH, których dzieci używają do omijania filtrów. Wybierz Cloudflare 1.1.1.3, jeśli chcesz blokady stron dla dorosłych i malware z SafeSearch i szybkimi odpowiedziami, a Reddit i YouTube mogą zostać otwarte; zobacz nasz przewodnik po DNS Cloudflare. OpenDNS FamilyShield blokuje strony dla dorosłych, VPN i proxy, ale nie wymusza SafeSearch i przepuszcza testową stronę z malware.

Jak sprawdzić, czy CleanBrowsing działa

Domena testowa samego CleanBrowsing, badexample.com, jest blokowana przez wszystkie trzy filtry, ale w innych resolverach rozwiązuje się normalnie. Zapytaj o nią przez swój zwykły DNS, bez podawania serwera: NXDOMAIN oznacza, że Twoje zapytania docierają do CleanBrowsing.

# Through your device's normal DNS (Windows, macOS, Linux)
nslookup badexample.com
# ** server can't find badexample.com: NXDOMAIN

# Which CleanBrowsing server answered? Ask one directly
dig @185.228.168.168 id.server CH TXT +short
# "CleanBrowsing v1.6a - dns-edge-asia-singapore10"

Jeśli badexample.com zwraca adres, Twoje urządzenie nie używa CleanBrowsing: poszukaj VPN, ustawienia bezpiecznego DNS w przeglądarce lub drugiego serwera DNS. Aby zobaczyć, na co naprawdę wskazuje zablokowana domena, sprawdź ją w DNS Lookup DNS Robot, który pyta niefiltrowane publiczne resolvery.