DNS Quad9: 9.9.9.9, IPv6 i konfiguracja

Czym jest DNS Quad9?

Quad9 DNS to darmowy publiczny resolver DNS pod adresem 9.9.9.9 (zapasowy 149.112.112.112), który odmawia rozwiązywania domen rozprzestrzeniających malware lub phishing. Wskazujesz go w routerze, komputerze lub telefonie zamiast serwera DNS dostawcy internetu, a każde zapytanie jest sprawdzane na listach zagrożeń od ponad 20 partnerów zajmujących się analizą zagrożeń, zanim dostaniesz odpowiedź. Bez konta, bez aplikacji do zainstalowania i bez opłat.

Prowadzi go Quad9 Foundation, fundacja non-profit z siedzibą w Zurychu w Szwajcarii, założona przez Global Cyber Alliance, IBM i Packet Clearing House (PCH). IBM przekazał projektowi adres 9.9.9.9. Quad9 działa produkcyjnie od sierpnia 2016 roku, a jego strona „o nas” (odczytana 26 października 2026) podaje ponad 230 klastrów resolverów w ponad 110 krajach i średnio ponad 670 mln zablokowanych zapytań dziennie.

Adresy serwerów DNS Quad9 (IPv4 i IPv6)

To adresy zalecanej usługi Quad9, tej, której chce większość osób: blokowanie malware plus weryfikacja DNSSEC. Wpisz wszystkie, na które urządzenie ma miejsce.

Wszystkie cztery prowadzą do tej samej usługi przez anycast: zapytanie trafia do najbliższego punktu Quad9. Każdy zapytany przez nas adres Quad9 odpowiadał przez res700.bom2, resolver w Mumbaju (BOM to kod lotniska w Mumbaju). Quad9 prosi o dodanie pary IPv6 nawet bez IPv6, bo większość systemów ignoruje adresy, których nie może użyć. Dokumentacja Windows od Microsoftu podaje drugi z nich jako 2620:fe::fe:9; oba odpowiedziały w naszym teście.

# Ask Quad9 directly (macOS, Linux, or Windows with BIND tools)
dig @9.9.9.9 example.com +short

# Which Quad9 site answered?
dig @9.9.9.9 id.server CH TXT +short
# "res700.bom2"

# Windows built-in equivalent
nslookup example.com 9.9.9.9

Wszystkie usługi Quad9: 9.9.9.9 vs 9.9.9.10 vs 9.9.9.11

Quad9 uruchamia ten sam resolver pod czterema zestawami adresów. Różnią się dwoma przełącznikami: czy złośliwe domeny są blokowane i czy część twojego adresu IP (EDNS Client Subnet, czyli ECS) jest przekazywana serwerom DNS stron.

9.9.9.12 jest podany tylko w dokumentacji Quad9; w naszym teście odpowiedziały wszystkie cztery. Adres DoH to nazwa hosta plus /dns-query.

ECS wymienia prywatność na szybkość. CDN używają twojej podsieci, by wybrać serwer blisko ciebie. Quad9 uważa to za wyciek prywatności, więc 9.9.9.9 nigdy go nie wysyła; dokumentacja podpowiada 9.9.9.11, jeśli nie masz w pobliżu punktu Quad9 albo strona serwuje treści z niewłaściwego regionu. Różnicę pokazuje nazwa echo Google:

# DNS Robot's test, 26 October 2026 (our real prefix replaced with a documentation one)
dig @9.9.9.9 o-o.myaddr.l.google.com TXT +short
"2620:171:bf:f003:9999::178"           # only Quad9's own server address

dig @9.9.9.11 o-o.myaddr.l.google.com TXT +short
"edns0-client-subnet 203.0.113.0/24"   # our /24 was passed on
"2620:171:bf:f003:9999::178"

Przez IPv6 adres 9.9.9.11 przekazał /48. 9.9.9.9, 9.9.9.10 i 1.1.1.1 Cloudflare nie wysłały podsieci; 8.8.8.8 Google też wysłał /24.

Jak Quad9 blokuje malware (i czego nie blokuje)

Quad9 sam nie poluje na zagrożenia. Bierze listy złośliwych domen (malware, phishing, ransomware, spyware, exploit kity) od partnerów zajmujących się analizą zagrożeń i aktualizuje je kilka razy dziennie lub niemal w czasie rzeczywistym. Gdy zapytasz o domenę z listy, Quad9 odpowiada, jakby nie istniała, więc urządzenie nigdy nie dostaje adresu serwera.

Nie blokuje reklam, trackerów ani treści dla dorosłych, nie planuje filtrowania treści i nie traktuje spamu jako zagrożenia. Do filtra treści dla dorosłych użyj np. 1.1.1.3 od Cloudflare.

Quad9 opisuje domenę testową isitblocked.org, której jego usługi blokujące nie rozwiązują. W teście DNS Robot z 26 października 2026:

Blokada i domena, która naprawdę nie istnieje, zwracają NXDOMAIN. Rozróżnia je liczba rekordów authority: blokada ma AUTHORITY: 0, brakująca domena AUTHORITY: 1 (rekord SOA strefy), co pokazała w naszym teście zmyślona nazwa .com.

dig @9.9.9.9 isitblocked.org | grep -E "status|AUTHORITY"
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 4916
;; flags: qr rd ad; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1

# The same name through the unfiltered service
dig @9.9.9.10 isitblocked.org +short
74.208.236.124

Quad9: DNS przez HTTPS, TLS i QUIC

Zwykły DNS na porcie 53 może przeczytać każdy na trasie, także twój dostawca internetu. Każda usługa Quad9 odpowiada też przez protokoły szyfrowane:

• DNS przez TLS (DoT): dns.quad9.net na porcie 853 (dns10, dns11 lub dns12.quad9.net dla pozostałych usług). To nazwa hosta, której wymaga ustawienie Prywatny DNS w Androidzie.
• DNS przez HTTPS (DoH): https://dns.quad9.net/dns-query. Quad9 zaczął wyłączać HTTP/1.1 dla DoH 15 grudnia 2025, więc potrzebny jest HTTP/2 lub nowszy; Quad9 wymienia MikroTik RouterOS jako klienta, który go nie ma.
• DNS przez QUIC (DoQ) i DoH przez HTTP/3: w każdej usłudze Quad9 od 31 marca 2026. DoQ używa tych samych nazw hostów na porcie 853; klienty takie jak Chrome same przechodzą na HTTP/3. Quad9 obsługuje też DNSCrypt.

# Which protocol did Quad9 receive your query on? (do53-udp, do53-tcp, dot, doh…)
dig +short txt proto.on.quad9.net

# Windows PowerShell
Resolve-DnsName -Type txt proto.on.quad9.net

W teście DNS Robot DoT połączył się przez TLS 1.3 na porcie 853 ze wszystkimi czterema usługami i przez IPv6, z certyfikatem dla dns.quad9.net, a proto.on.quad9.net odpowiedział dot przez TLS i doh przez HTTPS. DoH przez HTTP/1.1 dostał HTTP 505 („requires HTTP/2”), a format JSON ?name=, który oferują Cloudflare i Google, zwrócił HTTP 400: Quad9 obsługuje tylko binarny format z RFC 8484.

Szyfrowanie kosztuje czas głównie przy pierwszym zapytaniu. Nowe połączenie DoH z Quad9 zajęło łącznie medianę 260 ms (Cloudflare 87 ms, Google 150 ms); przy otwartym połączeniu DoT zapytania do 9.9.9.9 zajmowały medianę 48 ms, blisko zwykłego DNS.

Szybkość i DNSSEC Quad9: test DNS Robot

Zmierzyliśmy każdy adres Quad9 z domowego łącza Jio w Indiach 26 października 2026, obok Cloudflare i Google: pięć przeplatanych rund na serwer, każda z nazwą w pamięci podręcznej (example.com) i zupełnie nową nazwą w naszej własnej strefie testowej. Tabela pokazuje medianę z pięciu.

Cloudflare był najszybszy w obu pomiarach, jego zapytania z cache mieściły się w 26–31 ms. Mediany Quad9 były w porządku, ale rozrzut duży: pojedyncze zapytania z cache do 9.9.9.9 i 149.112.112.112 zajęły 316 ms i 563 ms, a jedno zapytanie IPv6 przekroczyło limit czasu. Google był najwolniejszy przy nowych nazwach. Twoje liczby będą inne, więc przed zmianą uruchom Test szybkości DNS na własnym urządzeniu.

DNSSEC: każdy adres Quad9 weryfikuje. Wszystkie, także niefiltrowany 9.9.9.10 i 9.9.9.12, zwróciły SERVFAIL dla celowo zepsutych dnssec-failed.org i brokendnssec.net oraz ustawiły flagę ad dla poprawnie podpisanej domeny. Zgadza się to ze stroną usługi Quad9; jego FAQ („two out of three” usług) i profile Apple („No DNSSEC” dla 9.9.9.10) nie zgadzają się z tym, co zmierzyliśmy.

Kto prowadzi Quad9 i czy jest prywatny?

Quad9 prowadzi Quad9 Foundation, fundacja pożytku publicznego non-profit w Zurychu, finansowana przez sponsorów i darowizny. Jej polityka prywatności mówi:

• Adresy IP są danymi osobowymi według najostrzejszej z definicji: szwajcarskiej (FADP), amerykańskiej i unijnej (RODO), dla każdego użytkownika, gdziekolwiek mieszka.
• Twój adres IP nigdy nie jest zapisywany. Zostaje w pamięci tylko na mikrosekundy do milisekund potrzebnych do odpowiedzi i nigdy nie jest powiązany z nazwami, o które pytasz.
• Zachowuje tylko liczniki: punkt obsługi, prefiks sieci (nie dokładniejszy niż /24 dla IPv4 lub /56 dla IPv6) i numer AS, region, typ zapytania, protokół oraz liczbę zapytań na nazwę domeny. Mogą być archiwizowane, ale polityka mówi, że żaden nie zawiera danych osobowych.
• Nic nie jest sprzedawane ani przekazywane marketerom. Partnerzy zajmujący się analizą zagrożeń dostają liczniki dla dostarczonych przez siebie domen, nigdy źródłowych adresów IP.
• Jurysdykcja szwajcarska: Quad9 realizuje tylko żądania zatwierdzone przez władze szwajcarskie, a szwajcarska służba nadzoru potwierdziła, że jej ustawa o inwigilacji (SPTA) nie dotyczy resolvera, więc nie ma obowiązku przechowywania metadanych użytkowników.

Żaden resolver nie jest jednak anonimowy: Quad9 nadal widzi każde zapytanie, a zwykły DNS pozostaje czytelny na trasie, dopóki nie użyjesz DoT lub DoH.

Quad9 vs Cloudflare vs Google DNS

Wszystkie trzy są darmowe i weryfikują DNSSEC. Prawdziwe różnice to blokowanie, prywatność i prawo, któremu podlega każdy operator:

Wybierz Quad9, jeśli chcesz ochrony przed malware na każdym urządzeniu i najsilniejszych warunków prywatności. Wybierz Cloudflare, jeśli najważniejsza jest szybkość (z naszego łącza był najszybszy) albo potrzebujesz filtra treści dla dorosłych. Wybierz Google dla odpowiedzi dokładnych dla CDN, bo wysyła ECS. Nasze poradniki o DNS Cloudflare i Google DNS omawiają oba równie szczegółowo.

Jak skonfigurować DNS Quad9

Ustaw Quad9 w routerze, by objąć od razu wszystkie urządzenia w twoim Wi-Fi, albo na samym urządzeniu, dla telefonów i laptopów, które wychodzą z domu.

Na Androidzie (Prywatny DNS)

• Otwórz Ustawienia i wyszukaj Prywatny DNS (w Pixelu jest w Sieć i internet; w Samsungu: „Connections” → „More connection settings”).
• Wybierz Nazwa hosta dostawcy prywatnego DNS.
• Wpisz dns.quad9.net (lub dns10.quad9.net / dns11.quad9.net dla pozostałych usług) i stuknij Zapisz.
• Otwórz w przeglądarce on.quad9.net, by potwierdzić, że zadziałało.

Prywatny DNS szyfruje każde zapytanie przez DoT, także w danych komórkowych; nasz poradnik o prywatnym DNS wyjaśnia, co ukrywa.

Na iPhonie i iPadzie

• Szybko, jedna sieć Wi-Fi (bez szyfrowania): wejdź w Ustawienia → Wi-Fi, stuknij (i) obok swojej sieci, potem Konfiguruj DNS → Ręcznie. Usuń stare serwery, dodaj 9.9.9.9, 149.112.112.112, 2620:fe::fe i 2620:fe::9 i stuknij Zachowaj.
• Szyfrowane, w każdej sieci: otwórz poradnik konfiguracji iOS od Quad9 w Safari (inne przeglądarki nie zadziałają) i pobierz profil (Quad9 zaleca HTTPS). Następnie wejdź w Ustawienia → Profil pobrany → Zainstaluj i wpisz kod.
• Sprawdź wynik na on.quad9.net.

W Windows 11 i 10

• Windows 11: otwórz Ustawienia → Sieć i Internet, wybierz Wi-Fi lub Ethernet, kliknij Edytuj obok Przypisanie serwera DNS i wybierz Ręcznie.
• Włącz IPv4: preferowany 9.9.9.9, alternatywny 149.112.112.112, każdy z DNS przez HTTPS ustawionym na Włączone (szablon automatyczny); Windows zna już adres DoH Quad9.
• Włącz IPv6, jeśli go masz (2620:fe::fe i 2620:fe::9, DoH włączony), potem Zapisz. Wbudowana lista DoH w Windows ma 2620:fe::fe:9 zamiast 2620:fe::9, więc użyj go jako alternatywnego, jeśli Włączone (szablon automatyczny) nie jest dostępne. Laptopy, które trafiają do sieci blokujących DoH, mogą potrzebować „Fallback to plaintext”.
• Windows 10: naciśnij Win + R, uruchom ncpa.cpl, kliknij prawym przyciskiem myszy kartę sieciową i otwórz Właściwości → Protokół internetowy w wersji 4 (TCP/IPv4) → Właściwości → Użyj następujących adresów serwerów DNS. Powtórz dla IPv6.

# PowerShell (as administrator): set Quad9 on the active adapter
$if = (Get-NetAdapter | Where-Object Status -eq 'Up' | Select-Object -First 1).Name
Set-DnsClientServerAddress -InterfaceAlias $if -ServerAddresses 9.9.9.9,149.112.112.112,2620:fe::fe,2620:fe::9
ipconfig /flushdns

# "doh" means encrypted, "do53-udp" means plain DNS
Resolve-DnsName -Type txt proto.on.quad9.net

W macOS

• Otwórz Ustawienia systemowe → Sieć, wybierz Wi-Fi (lub Ethernet) i kliknij Szczegóły.
• Otwórz DNS, kliknij + i dodaj 9.9.9.9, 149.112.112.112, 2620:fe::fe i 2620:fe::9. Usuń stare wpisy przyciskiem –, a potem kliknij OK.
• Dla szyfrowanego DNS w macOS Big Sur lub nowszym zainstaluj zamiast tego profil Quad9: pobierz go w Safari, a potem zatwierdź w Ustawieniach systemowych.

# Terminal alternative (use "Ethernet" if wired)
networksetup -setdnsservers Wi-Fi 9.9.9.9 149.112.112.112 2620:fe::fe 2620:fe::9

# Flush the macOS DNS cache
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

Na routerze

• Otwórz panel administracyjny routera (często 192.168.0.1 lub 192.168.1.1) i zaloguj się.
• Znajdź ustawienia DNS, zwykle w sekcji Internet, WAN lub DHCP, i przełącz z automatycznych na ręczne.
• Wpisz 9.9.9.9 i 149.112.112.112, a także 2620:fe::fe i 2620:fe::9 w sekcji IPv6, jeśli taka jest. Zapisz, a potem połącz urządzenia ponownie.
• Jeśli twój router obsługuje szyfrowany DNS dla zapytań wychodzących (np. pfSense i OPNsense), wskaż mu dns.quad9.net; dokumentacja Quad9 ma dla nich poradniki.

Jak sprawdzić, czy używasz Quad9

Otwórz w przeglądarce on.quad9.net: odpowie zwykłym Yes lub No. Dwa testy w terminalu idą dalej:

# 1. Did Quad9 get the query, and over which protocol?
dig +short txt proto.on.quad9.net
# "do53-udp" (plain DNS), "dot" or "doh"; no answer = not Quad9

# 2. Is your ISP intercepting queries to 9.9.9.9?
dig +short ch txt id.server @9.9.9.9
# "res700.bom2": a Quad9 resolver name. Nothing, or something else = redirected

Quad9 podaje, że niektórzy dostawcy internetu, najczęściej w Azji, Afryce i na Bliskim Wschodzie, po cichu przekierowują zapytania do 9.9.9.9 na własne serwery. Dokumentacja Quad9 pokazuje nazwy kończące się na .rrdns.pch.net; nasza była krótsza, res700.bom2, a proto.on.quad9.net potwierdził, że odpowiedział Quad9. Jeśli test 2 nic nie zwróci albo zwróci niepowiązaną nazwę, przejdź na DoT lub DoH, których nie da się tak przekierować. Potem uruchom nasz Test wycieku DNS: każdy znaleziony resolver powinien należeć do sieci używanej przez Quad9, jak PCH (WoodyNet), Equinix czy i3D, a żaden do twojego dostawcy.

Quad9 nie działa? Częste przyczyny

• Potrzebna ci strona jest zablokowana. Wyszukaj domenę na stronie zablokowanych domen Quad9 i zgłoś fałszywy alarm do wsparcia Quad9. W międzyczasie DNS Lookup pokaże prawdziwe rekordy domeny.
• VPN lub przeglądarka to nadpisuje. Aplikacje VPN używają własnego DNS, a Quad9 ostrzega, że Firefox w niektórych regionach domyślnie używa DoH od Cloudflare. Ustaw Quad9 we własnym ustawieniu DNS VPN-a lub przeglądarki.
• Twój klient DoH jest za stary. DoH Quad9 wymaga teraz HTTP/2. Użyj DoT albo forwardera, takiego jak dnscrypt-proxy, AdGuard Home lub Unbound.
• Dostawca internetu blokuje port. Quad9 odpowiada też na zwykły DNS na porcie 9953, który działał z naszego łącza. Jeśli port 853 dla DoT też jest zablokowany, użyj DoH, który działa na porcie 443.
• Filmy lub pliki idą z odległego serwera. Przyczyną może być brak ECS: spróbuj 9.9.9.11 albo 9.9.9.12 bez blokowania.
• Stare odpowiedzi po zmianie. Quad9 nie ma publicznego narzędzia do czyszczenia własnej pamięci podręcznej, ale możesz wyczyścić pamięć swojego urządzenia: zobacz jak wyczyścić cache DNS.