Prywatny DNS: co to jest, co wpisać i jak go włączyć

Czym jest prywatny DNS?

Prywatny DNS to ustawienie Androida dla szyfrowanego DNS: wysyła nazwy stron, o które pyta Twoje urządzenie, zaszyfrowanym połączeniem, więc Twoja sieć Wi-Fi i dostawca internetu nie mogą ich odczytać ani zmienić. Aby go włączyć, wejdź w Ustawienia → Sieć i internet → Prywatny DNS, wybierz Nazwa hosta dostawcy prywatnego DNS i wpisz nazwę hosta, np. dns.google lub one.one.one.one.

Android ma go od wersji 9 (2018) i używa DNS over TLS. Od aktualizacji systemowej Google Play z 2022 roku Android 11 i nowsze przełączają się na DNS over HTTP/3 u dostawców, które Android rozpoznaje: dns.google od Google oraz Cloudflare pod nazwą cloudflare-dns.com (przy one.one.one.one zostaje DNS over TLS). iPhone, Windows, Mac i przeglądarki internetowe oferują tę samą ochronę pod nazwą szyfrowanego DNS.

W sieciach firmowych i chmurowych „prywatny DNS” oznacza coś innego: wewnętrzne strefy DNS, które istnieją tylko wewnątrz danej sieci. To znaczenie omawiamy niżej.

Jak działa zwykłe DNS (i dlaczego to problem)

Tradycyjny DNS wysyła zapytania jawnym tekstem od czasu pierwszych standardów z 1983 roku. Gdy wpisujesz nazwę domeny w przeglądarce, urządzenie wysyła zapytanie DNS przez port UDP 53 do resolwera DNS (zwykle serwera Twojego dostawcy internetu). Resolwer odpowiada adresem IP — wszystko całkowicie bez szyfrowania.

To oznacza, że każdy na trasie Twojego ruchu widzi każdą odwiedzaną domenę. Dostawca internetu może zbudować pełny profil Twojego przeglądania. Atakujący w publicznym Wi-Fi mogą przechwytywać zapytania. Niektórzy dostawcy podmieniali nawet odpowiedzi DNS, by kierować błędnie wpisane adresy na własne strony wyszukiwania i reklam.

DNS jest też podatny na zatruwanie pamięci podręcznej i ataki spoofingowe, w których atakujący wysyła sfałszowane odpowiedzi i bez Twojej wiedzy kieruje Cię na złośliwe strony. Tradycyjny DNS nie ma wbudowanego sposobu, by sprawdzić, czy odpowiedź naprawdę pochodzi od prawdziwego serwera DNS.

Jak działa prywatny DNS

Prywatny DNS opakowuje zapytania DNS w zaszyfrowane połączenie. Zamiast wysyłać jawne zapytanie na port UDP 53, urządzenie najpierw nawiązuje z resolwerem DNS zaszyfrowaną sesję, a dopiero potem wysyła zapytanie tym bezpiecznym tunelem.

Resolwer DNS odszyfrowuje zapytanie, zamienia nazwę domeny na adres IP, szyfruje odpowiedź i odsyła ją. Cała wymiana jest niewidoczna dla każdego, kto obserwuje sieć: widzi, że łączysz się z serwerem DNS, ale nie widzi, o jakie domeny pytasz.

Dziś używane są trzy szyfrowane protokoły DNS ze standardów IETF: DNS over TLS (DoT), DNS over HTTPS (DoH) i DNS over QUIC (DoQ). Każdy na swój sposób szyfruje to samo zapytanie DNS (istnieją też Oblivious DoH i DNSCrypt, ale są rzadsze).

DNS over TLS vs DNS over HTTPS vs DNS over QUIC

DoT (RFC 7858) przesyła DNS w TLS na własnym porcie 853. Prywatny DNS w Androidzie używa go od Androida 9, a ponieważ port jest dedykowany, sieć łatwo go blokuje.

DoH (RFC 8484) wysyła zapytania DNS jako żądania HTTPS na porcie 443, więc wygląda jak zwykły ruch webowy i można go zablokować tylko przez blokowanie znanych serwerów DoH. Chrome, Firefox i Edge mają go wbudowanego, a Windows 11 może używać go w całym systemie. W Androidzie od wersji 11 włącza się DNS over HTTP/3 u dostawców rozpoznawanych przez Androida: dns.google od Google oraz Cloudflare pod nazwą cloudflare-dns.com (przy one.one.one.one zostaje DNS over TLS).

DoQ (RFC 9250, 2022) przesyła DNS bezpośrednio przez QUIC na porcie UDP 853, co unika blokowania kolejki i szybko wznawia połączenia. Oferuje go niewiele resolwerów: AdGuard DNS i Quad9 (Quad9 podaje go w odpowiedzi DDR, sprawdziliśmy 26 października 2026), natomiast 1.1.1.1 od Cloudflare obsługuje DoT, DoH i Oblivious DoH, ale nie DoQ, a Android go nie używa.

Jak włączyć prywatny DNS na Androidzie

Android ma prywatny DNS od wersji 9 (2018). Działa dla wszystkich aplikacji, w Wi-Fi i w sieci komórkowej, i ma trzy tryby: Wyłączony; Automatyczny (domyślny), który szyfruje DNS, gdy serwer DNS sieci to obsługuje, a w przeciwnym razie używa zwykłego DNS; oraz Nazwa hosta dostawcy prywatnego DNS, który zawsze używa wpisanego dostawcy.

• Krok 1: Otwórz Ustawienia > Sieć i internet (na Samsungu: „Połączenia”)
• Krok 2: Stuknij Prywatny DNS (w niektórych telefonach trzeba najpierw otworzyć „Zaawansowane” lub, na Samsungu, „Więcej ustawień połączeń”)
• Krok 3: Wybierz Nazwa hosta dostawcy prywatnego DNS
• Krok 4: Wpisz nazwę hosta swojego dostawcy. Przykłady: 1dot1dot1dot1.cloudflare-dns.com (Cloudflare), dns.google (Google), dns.quad9.net (Quad9), dns.adguard-dns.com (AdGuard)
• Krok 5: Stuknij Zapisz. Jeśli Android nie może połączyć się z dostawcą, ostrzega: „Brak dostępu do prywatnego serwera DNS”

Jak włączyć prywatny DNS na iPhonie i iPadzie

iPhone i iPad (iOS 14 i nowsze) obsługują DNS over HTTPS i DNS over TLS, ale nie ma jednego przełącznika jak w Androidzie: dodajesz aplikację szyfrowanego DNS albo profil konfiguracyjny.

• Metoda 1: aplikacja DNS — Zainstaluj z App Store aplikację swojego dostawcy (na przykład 1.1.1.1 od Cloudflare, NextDNS lub AdGuard) i włącz ją. Jej ustawienie DNS pojawi się w Ustawienia > Ogólne > VPN i urządzenia zarządzane.
• Metoda 2: profil konfiguracyjny — Pobierz w Safari plik .mobileconfig od dostawcy DNS (lub z zaufanego zbioru, takiego jak repozytorium GitHub paulmillr/encrypted-dns), otwórz Ustawienia > Ogólne > VPN i urządzenia zarządzane, wybierz pobrany profil i stuknij Zainstaluj.
• Metoda 3: DNS dla jednej sieci — Przejdź do Ustawienia > Wi-Fi, stuknij (i) obok swojej sieci, stuknij Konfiguruj DNS, wybierz Ręcznie i dodaj adresy IP serwerów DNS (np. 1.1.1.1, 1.0.0.1). Na iOS 16 i nowszych serwer obsługujący Discovery of Designated Resolvers (1.1.1.1, 8.8.8.8 i 9.9.9.9 go obsługują) sprawia, że iPhone sam przełącza się na szyfrowane DNS; inne serwery pozostają bez szyfrowania.

Jak włączyć DNS over HTTPS na Windows 11

Windows 11 obsługuje DNS over HTTPS natywnie. Ma listę rozpoznawanych dostawców DoH, w tym Cloudflare, Google i Quad9.

• Krok 1: Otwórz „Ustawienia > Sieć i Internet > Wi-Fi > Zarządzaj znanymi sieciami” i wybierz swoją sieć (dla kabla: „Ethernet” → Twoja sieć)
• Krok 2: Znajdź na tej stronie „Przypisanie serwera DNS”
• Krok 3: Kliknij „Edytuj” obok „Przypisanie serwera DNS”
• Krok 4: Wybierz „Ręcznie” i włącz „IPv4”
• Krok 5: Wpisz główny serwer DNS (np. 1.1.1.1) i ustaw „DNS przez HTTPS” na „Włączone (szablon automatyczny)”
• Krok 6: Wpisz zapasowy serwer DNS (np. 1.0.0.1) i ustaw DoH również na „Włączone”
• Krok 7: Kliknij „Zapisz”. Wpis DNS powinien teraz pokazywać etykietę „Encrypted”

# View the DoH providers Windows 11 already knows (Cloudflare, Google, Quad9…)
netsh dns show encryption

# Add a provider that isn't on that list, via PowerShell (AdGuard shown)
Add-DnsClientDohServerAddress -ServerAddress '94.140.14.14' -DohTemplate 'https://dns.adguard-dns.com/dns-query' -AllowFallbackToUdp $False -AutoUpgrade $True

Jak włączyć prywatny DNS na macOS

macOS (Big Sur 11 i nowsze) obsługuje szyfrowane DNS przez profile konfiguracyjne, tak jak iOS, lub przez aplikacje DNS.

• Metoda 1: aplikacja DNS — Zainstaluj aplikację Cloudflare 1.1.1.1 (lub podobną) i włącz ją. Aplikacja konfiguruje DoH lub DoT na poziomie systemu.
• Metoda 2: profil konfiguracyjny — Pobierz plik .mobileconfig, kliknij go dwukrotnie i zatwierdź w Ustawienia systemowe → Ogólne → Zarządzanie urządzeniami (w starszych wersjach macOS: wyszukaj w Ustawieniach systemowych „Profile”).
• Metoda 3: Terminal (zaawansowana) — networksetup -setdnsservers Wi-Fi 1.1.1.1 1.0.0.1 zmienia serwery DNS. W macOS Ventura i nowszych serwer obsługujący DDR (1.1.1.1, 8.8.8.8, 9.9.9.9) jest automatycznie przełączany na szyfrowane DNS; inne pozostają bez szyfrowania.

Najlepsi dostawcy prywatnego DNS (2026)

Cloudflare 1.1.1.1 obsługuje DoT i DoH (oraz Oblivious DoH) i ma warianty z filtrowaniem: security.cloudflare-dns.com (złośliwe oprogramowanie) oraz family.cloudflare-dns.com (złośliwe oprogramowanie i treści dla dorosłych). Nie zapisuje na dysku źródłowego adresu IP, usuwa logi w ciągu 25 godzin, a zewnętrzny audytor sprawdza te zobowiązania.

Google Public DNS obsługuje DoT i DoH. Jego tymczasowe logi zawierają Twój pełny adres IP i są usuwane w ciągu 24–48 godzin; stała próbka zachowuje tylko lokalizację z dokładnością do miasta. Jeśli najważniejsze jest dla Ciebie minimalne logowanie, lepiej pasują Cloudflare lub Quad9.

Quad9 prowadzi szwajcarska fundacja non-profit, nie przechowuje adresów IP i blokuje znane złośliwe domeny dzięki danym o zagrożeniach od partnerów z branży bezpieczeństwa: dobry wybór dla osób stawiających na bezpieczeństwo.

AdGuard DNS blokuje reklamy i trackery na poziomie DNS, więc reklamy znikają na całym urządzeniu bez osobnego blokera reklam. Oferuje też DNS over QUIC.

NextDNS daje najwięcej kontroli. Dostajesz własną nazwę hosta, konfigurowalne listy blokad, statystyki dla każdego urządzenia, kontrolę rodzicielską i panel pokazujący dokładnie, co jest blokowane. Plan bezpłatny obejmuje 300 000 zapytań miesięcznie.

Szybkość zależy od lokalizacji, więc nie wybieraj na ślepo: uruchom bezpłatny Test szybkości DNS, aby porównać Cloudflare, Google i Quad9 przez szyfrowane DNS-over-HTTPS z Twojej sieci, a potem włącz prywatny DNS u dostawcy, który u Ciebie naprawdę wygrywa.

Wszystkie adresy i kroki konfiguracji dla dwóch największych znajdziesz w naszych poradnikach o serwerach DNS Cloudflare i serwerach DNS Google.

Nazwa hosta prywatnego DNS (kod): co wpisać w polu na Androidzie

Nazwa hosta prywatnego DNS, czasem nazywana kodem prywatnego DNS, to adres wpisywany na Androidzie w Ustawienia → Sieć i internet → Prywatny DNS → „Nazwa hosta dostawcy prywatnego DNS”.

Skopiuj dowolną z tych nazw do pola. To oficjalne nazwy hostów głównych dostawców:

Po zapisaniu sprawdź, czy ustawienie zadziałało: DNS Leak Test od DNS Robot powinien pokazać serwery Twojego dostawcy DNS, a nie Twojego operatora. Jeśli ustawienie zawodzi w jednej sieci, powód wyjaśnia niżej sekcja o zablokowanym szyfrowanym DNS.

Publiczny a prywatny DNS: znaczenie w firmach

Co mylące, „prywatny DNS” ma w środowiskach firmowych i chmurowych drugie znaczenie, które nie ma nic wspólnego z ustawieniem szyfrowanego DNS w telefonie.

W tym świecie prywatny DNS oznacza prywatne strefy DNS: wewnętrzne rekordy nazw, takie jak intranet.corp.local czy db1.internal, hostowane na serwerach dostępnych tylko wewnątrz sieci firmy lub chmurowej sieci VPC. AWS nazywa je private hosted zones w Route 53, Azure ma Azure Private DNS, a Oracle i Google Cloud oferują odpowiedniki. Rekordy nigdy nie są publikowane w publicznym internecie: publiczne resolwery po prostu ich nie widzą.

Szybki test: jeśli wpisujesz nazwę hosta w ustawieniach telefonu lub laptopa, chodzi o szyfrowane DNS (ten artykuł). Jeśli o prywatnym DNS mówi Twój dział IT lub konsola chmurowa, chodzi o strefy wewnętrzne. To, co publiczny internet widzi dla dowolnej nazwy, sprawdzisz zapytaniem DNS: rekordy z prywatnej strefy w ogóle się nie pojawią.

Korzyści z używania prywatnego DNS

Włączenie prywatnego DNS na Twoich urządzeniach od razu poprawia bezpieczeństwo i prywatność.

• Kończy podglądanie przez dostawcę internetu — Dostawca nie widzi już, o jakie domeny pytasz, i nie zbuduje profilu Twojego przeglądania z ruchu DNS
• Chroni przed podszywaniem się pod DNS po drodze — certyfikat TLS potwierdza, że rozmawiasz z prawdziwym dostawcą DNS, więc nikt pomiędzy nie sfałszuje odpowiedzi
• Chroni w publicznym Wi-Fi — Inni użytkownicy tej samej sieci nie mogą przechwycić Twoich zapytań DNS
• Blokuje przechwytywanie DNS — Twoje zapytania nie mogą zostać po cichu przekierowane przez zainfekowany router lub złośliwą sieć
• Omija przezroczyste proxy DNS — Niektórzy dostawcy przechwytują DNS na porcie 53, nawet gdy używasz serwerów zewnętrznych. Szyfrowane DNS używa innych portów i omija takie proxy
• Opcjonalne blokowanie reklam i złośliwych stron — Dostawcy tacy jak AdGuard, NextDNS i Quad9 mogą blokować reklamy, trackery i złośliwe domeny na poziomie DNS
• Działa w całym systemie — Po włączeniu prywatny DNS chroni wszystkie aplikacje na urządzeniu, nie tylko przeglądarkę

Potencjalne wady prywatnego DNS

Prywatny DNS nie jest doskonały. Oto kompromisy, o których warto wiedzieć.

• Wolniejsze pierwsze zapytanie — nawiązanie szyfrowanego połączenia dodaje jedną lub dwie wymiany w obie strony przed pierwszym zapytaniem. Potem połączenie jest używane ponownie.
• Portale logowania mogą się nie otworzyć — Wi-Fi w hotelach, na lotniskach i w kawiarniach ze stroną logowania często wymaga niezaszyfrowanego DNS, by Cię przekierować. Prywatny DNS może uniemożliwić załadowanie takich portali.
• Sieci firmowe mogą go blokować — Działy IT potrzebują wglądu w DNS do monitorowania bezpieczeństwa. Wiele sieci firmowych celowo blokuje szyfrowane DNS do zewnętrznych resolwerów.
• Obawa o centralizację — Szyfrowane DNS zachęca do korzystania z kilku dużych resolwerów (Cloudflare, Google), co skupia ruch DNS u mniejszej liczby firm.
• Nie szyfruje wszystkiego — Prywatny DNS szyfruje Twoje zapytania, ale dostawca internetu nadal widzi adresy IP, z którymi się łączysz, i zwykle nazwę strony w handshake TLS (SNI), chyba że strona używa Encrypted Client Hello.
• Problemy z DNS typu split-horizon — Organizacje używające innego DNS wewnętrznego niż zewnętrznego mogą mieć problemy, gdy urządzenia omijają wewnętrzny resolwer.

„Ta sieć blokuje zaszyfrowany ruch DNS” — co to oznacza

Na iPhonie, iPadzie i Macu ustawienia Wi-Fi mogą pokazać pod nazwą sieci komunikat „Ta sieć blokuje zaszyfrowany ruch DNS”. Oznacza on, że urządzenie próbowało użyć szyfrowanego DNS, a sieć je powstrzymała, więc nazwy, o które tam pytasz, są widoczne dla sieci.

To częste w sieciach firmowych i szkolnych, w hotelach i na lotniskach ze stroną logowania oraz w niektórych domowych routerach. Nasz pełny poradnik, Ta sieć blokuje zaszyfrowany ruch DNS, omawia każdą przyczynę; oto szybkie poprawki:

• Wyłącz to, co włącza szyfrowane DNS w tej sieci — „Ograniczaj śledzenie adresu IP” (Przekazywanie prywatne iCloud) dla tej sieci Wi-Fi, aplikację lub profil DNS albo ręcznie ustawiony serwer DNS (przywróć „Konfiguruj DNS” na „Automatycznie”)
• Zapomnij sieć Wi-Fi i połącz się ponownie — Przejdź do ustawień Wi-Fi, zapomnij sieć, a potem dołącz do niej ponownie
• Użyj VPN — VPN szyfruje cały ruch, w tym DNS, i omija każde blokowanie DNS na poziomie sieci
• Zaakceptuj to w sieciach zarządzanych — W sieciach firmowych i szkolnych blokowanie szyfrowanego DNS jest często celowe, ze względu na monitorowanie bezpieczeństwa. Możesz nie być w stanie go obejść

Jak zweryfikować, czy prywatny DNS działa

Po włączeniu prywatnego DNS sprawdź, czy zapytania naprawdę trafiają do wybranego dostawcy. Samo urządzenie testuj w przeglądarce; polecenia terminala poniżej testują dostawcę.

• DNS Leak Test od DNS Robot — uruchom DNS Leak Test na urządzeniu: pokazuje, które resolwery naprawdę odpowiadają na Twoje zapytania. Zobaczysz wybranego dostawcę, a nie swojego operatora
• Strona diagnostyczna Cloudflare — jeśli używasz Cloudflare, 1.1.1.1/help pokazuje, czy Twoje zapytania idą przez DoH, DoT czy zwykły DNS
• Android — przy ustawionej nazwie hosta Android ostrzega „Brak dostępu do prywatnego serwera DNS”, gdy nie może się połączyć; brak ostrzeżenia oznacza, że działa
• Windows 11 — we właściwościach połączenia każdy serwer DNS ma dopisek (Encrypted), gdy DoH jest włączony

# Test DNS over TLS with kdig
kdig -d @1.1.1.1 +tls-ca +tls-host=cloudflare-dns.com example.com

# Which resolver does dig use? (DNS Robot's test nameserver replies with its IP; a DoH profile may not apply to dig)
dig +short TXT whoami.leak.dnsrobot.net

# Test DNS over HTTPS with curl
curl -s -H 'accept: application/dns-json' \
  'https://cloudflare-dns.com/dns-query?name=example.com&type=A'