Danske internetudbydere kan se hver eneste hjemmeside, du besøger, medmindre du krypterer dine DNS-opslag. DNS over HTTPS (DoH) er blevet standardsvaret på det problem, men de fem største udbydere af krypteret DNS, Cloudflare, Google, Quad9, NextDNS og Mullvad, adskiller sig markant på hastighed, logningspolitik, filtrering og pris. Vi har samlet de nyeste tal fra 2025 og 2026, herunder Cloudflares 62 minutters nedbrud i juli 2025, Quad9’s 6,9 milliarder blokerede opslag og Mullvads seneste uafhængige audit, for at afgøre hvilken resolver der reelt passer til danske og nordiske brugere.
Hvad er DNS over HTTPS, og hvorfor betyder det noget i 2026
DNS over HTTPS er en protokol defineret i RFC 8484, der pakker dine DNS-opslag ind i almindelige HTTPS-forespørgsler. I stedet for at sende “hvad er IP-adressen på dr.dk” i klartekst, som enhver på netværket eller din internetudbyder kan læse, sendes forespørgslen krypteret til en resolver som Cloudflare eller Quad9. Cloudflares egen dokumentation beskriver det kort: “DNS over HTTPS (DoH) encrypts your DNS queries by sending them as HTTPS requests,” ifølge Cloudflares officielle dokumentation.
For danske brugere er det ikke kun et teoretisk problem. Almindelig DNS (port 53, ukrypteret) afslører browserhistorik til alle på samme wifi-netværk, til internetudbyderen og til enhver, der kan aflytte trafikken mellem din router og din ISP. Med DoH bliver det opslag skjult inde i almindelig HTTPS-trafik, hvilket gør det svært at skelne fra almindelig websurfing. Firefox og Chrome har begge indbygget understøttelse, og både Windows 10, Windows 11 og de fleste Linux-distributioner kan konfigureres til at bruge DoH som standard.
Det er værd at holde protokollen adskilt fra DNS over TLS (DoT), som gør det samme, men over en dedikeret TLS-forbindelse på port 853 i stedet for at gemme sig i almindelig HTTPS-trafik på port 443. Netværksadministratorer kan derfor nemmere blokere DoT end DoH, fordi DoT bruger en genkendelig port. Begge protokoller understøttes af alle fem resolvere i denne sammenligning.
De fem DNS-udbydere: kort introduktion
Cloudflare 1.1.1.1 lancerede i april 2018 og markedsførte sig fra dag ét som “the Internet’s fastest, privacy-first consumer DNS service,” som Cloudflares medstifter og CEO Matthew Prince formulerede det ved lanceringen, ifølge Cloudflares lanceringsopslag. Google Public DNS (8.8.8.8) er ældre, lanceret i 2009, og er i dag en af verdens mest brugte resolvere, primært fordi den er nem at huske og indbygget i mange routere. Quad9 (9.9.9.9) drives af en non-profit fond med hovedsæde i Schweiz og har fokus på sikkerhed frem for hastighed. NextDNS er en nyere, abonnementsbaseret tjeneste, der giver brugeren fuld kontrol over filtrering per enhed. Mullvad DNS drives af det svenske VPN-selskab Mullvad og er den eneste af de fem, der primært er bygget til at blive brugt sammen med en VPN-forbindelse.
Fælles for alle fem er, at de tilbyder gratis adgang til deres basale DoH-tjeneste. Forskellen ligger i hvad der sker med dine forespørgsler bagefter: bliver de logget, filtreret, solgt videre eller simpelthen glemt inden for få timer.
Specifikationstabel: alle fem DNS-resolvere sammenlignet
Tabellen nedenfor samler de vigtigste tekniske og politiske forskelle mellem Cloudflare, Google, Quad9, NextDNS og Mullvad DNS, baseret på deres officielle dokumentation og de seneste offentliggjorte audits.
| Egenskab | Cloudflare 1.1.1.1 | Google Public DNS | Quad9 | NextDNS | Mullvad DNS |
|---|---|---|---|---|---|
| DoH-endpoint | cloudflare-dns.com/dns-query | dns.google/dns-query | dns.quad9.net/dns-query | dns.nextdns.io/[ID] | dns.mullvad.net/dns-query |
| DoT-understøttelse | Ja, port 853 | Ja, port 853 | Ja, port 853 | Ja | Ja, port 853 |
| IP-logning | Slettes inden for ca. 25 timer | Midlertidige logs i 24-48 timer | Ingen kilde-IP i logs | Bruger-konfigurerbar retention | Ingen persistent logning |
| Malware/phishing-filtrering | Kun på 1.1.1.2/1.1.1.3 | Nej, ufiltreret | Ja, standard på 9.9.9.9 | Ja, valgfri trusselslister | Ja, blokerer skadelige domæner |
| Reklameblokering | Nej | Nej | Nej | Ja, EasyList/EasyPrivacy | Delvist, via privatlivslister |
| DNSSEC-validering | Ja | Ja | Ja | Ja | Ja |
| Uafhængig audit | KPMG (privatlivsgennemgang) | Ingen offentliggjort ekstern audit fundet | Ingen formel ekstern audit fundet | Ingen offentliggjort ekstern audit fundet | Assured (pentest af DoH-server) |
| Hovedsæde/jurisdiktion | USA | USA | Schweiz | Frankrig/USA | Sverige (EU) |
| Pris | Gratis | Gratis | Gratis | Gratis til 19,90 USD/md. | Cirka 5 EUR/md. via VPN-abonnement |
| Kendt hændelse 2025-2026 | 62 min. nedetid, 14. juli 2025 | Ingen offentliggjort 2025-2026 hændelse | 6,9 mia. blokerede opslag, H1 2025 | Ingen offentliggjort 2025-2026 hændelse | Bestået audit, oktober 2025 |
| Egnet til | Hastighed og global skala | Bred kompatibilitet | Sikkerhedsfokuserede brugere | Familier og avanceret filtrering | Brugere der allerede har VPN |
Hastighed og benchmarks: hvem svarer hurtigst
Cloudflare har længe promoveret sig som verdens hurtigste offentlige resolver med henvisning til målinger fra DNSPerf, hvor 1.1.1.1 er rullet ud i “hundreds of cities worldwide” med direkte adgang til adresserne på millioner af domæner, ifølge Cloudflares udviklerdokumentation. Men den påstand holder ikke uden nuancer, når man kigger på reelle brugertests.
En bruger-drevet måling delt på Hacker News i juli 2025, foretaget over tre måneder, viste følgende gennemsnitlige svartider: Cloudflare 1.1.1.1 og 1.0.0.1 lå på 15,5 millisekunder, Google 8.8.8.8 og 8.8.4.4 lå på 15,0 millisekunder, mens Quad9 9.9.9.9 faktisk var hurtigst med 13,8 millisekunder. Forskellen på 1,7 millisekunder mellem Cloudflare og Quad9 er i praksis umærkelig for de fleste brugere, men den viser, at “hurtigst i verden” afhænger stærkt af, hvor målingen foretages fra, og hvilket øjeblik man måler i.
Cloudflare har også undersøgt meromkostningen ved den mere private variant Oblivious DoH (ODoH), som tilføjer et ekstra krypteringslag, så selv resolveren ikke kan koble din IP-adresse til din forespørgsel. Testen mod 1.1.1.1, 8.8.8.8 og 9.9.9.9 viste, at den ekstra latenstid ved 99-percentilen var under 1 millisekund sammenlignet med almindelig proxied DoH, ifølge Cloudflares tekniske gennemgang. Det bekræfter, at den store hastighedsforskel mellem udbyderne typisk ligger i geografisk afstand til nærmeste server frem for i selve krypteringen.
For danske brugere betyder det i praksis, at alle fem tjenester har velfungerende infrastruktur i Europa, og forskellen på 1-3 millisekunder sjældent er mærkbar i hverdagen. Det, der faktisk påvirker den oplevede hastighed, er om DNS-serveren svarer stabilt under belastning, hvilket bringer os til Cloudflares nedbrud i sommeren 2025.
Uafhængige gennemgange fra siden PublicDNS.info, der løbende tester og dokumenterer offentlige resolvere, bekræfter samme mønster: både Cloudflare og Google klarer sig konsekvent godt på svartid, mens forskellen typisk handler om hvor tæt brugeren sidder på nærmeste datacenter frem for om selve softwaren er hurtigere end konkurrenternes, ifølge PublicDNS.infos gennemgang af Google Public DNS. For en dansk bruger placeret i København eller Aarhus betyder det, at alle fem tjenester i praksis ligger inden for få millisekunder af hinanden, fordi de alle har datacentre eller peering-punkter i Nordeuropa.
Nedetid og driftsstabilitet: Cloudflares 62 minutter i juli 2025
Den 14. juli 2025 lavede Cloudflare en ændring i deres service-topologi, der udløste et nedbrud for 1.1.1.1-resolveren. Ifølge Cloudflares egen hændelsesrapport varede nedbruddet 62 minutter for brugere af den klassiske 1.1.1.1-resolver, med samtidig forringet drift af Gateway DNS, ifølge Cloudflares officielle hændelsesrapport. Cloudflare Radar viste, at DNS-forespørgsler over UDP, TCP og DoT faldt markant og øjeblikkeligt, mens DoH-trafikken forblev relativt stabil.
Forklaringen er teknisk interessant: klienter, der bruger DoH, peger typisk på domænet cloudflare-dns.com i stedet for IP-adressen 1.1.1.1 direkte. Fordi domænenavnet blev routet gennem en anden del af Cloudflares infrastruktur end selve IP-resolveren, blev DoH-brugere langt mindre påvirket end brugere, der havde hardcodet IP-adressen i deres router eller operativsystem. Det er et konkret argument for, at danske brugere bør konfigurere DoH via domænenavn frem for rå IP, hvis muligt, netop for at være mere robust over for den slags infrastrukturændringer.
Ingen af de fire andre resolvere i denne sammenligning, Google, Quad9, NextDNS eller Mullvad, har offentliggjort tilsvarende hændelsesrapporter for 2025-2026 i vores research. Det betyder ikke nødvendigvis, at de aldrig har haft driftsforstyrrelser, men at Cloudflare er den eneste af de fem, der har en tradition for at offentliggøre detaljerede post-mortem-rapporter efter nedbrud, hvilket i sig selv er et transparensargument værd at bemærke.
Logning og privatliv: hvem gemmer hvad, og hvor længe
Logningspolitikken er formentlig det vigtigste kriterie for privatlivsbevidste brugere, og her er der reel forskel mellem de fem tjenester.
Cloudflare beskriver i sin privatlivspolitik for 1.1.1.1, at kilde-IP-adresser anonymiseres og slettes inden for cirka 25 timer, ifølge Cloudflares privatlivsdokumentation. Et lille udsnit af trafikken, op til 0,05 procent, sampler Cloudflare separat til netværksfejlfinding og DDoS-beskyttelse, men den sampling er ikke koblet til de faktiske DNS-opslag. Politikken blev efterprøvet af KPMG i en ekstern privatlivsgennemgang, og Cloudflare har siden fulgt op med nye gennemgange, der bekræfter, at praksis stemmer overens med den offentliggjorte politik.
Google opererer med to logningslag. Midlertidige logs, der indeholder IP-adresser og forespørgselsdetaljer, opbevares i 24-48 timer, mens permanente logs kun indeholder anonymiseret, aggregeret data som by- eller regionsniveau, ifølge Googles officielle privatlivsdokumentation. Det er en anelse længere retention end Cloudflares 25 timer, men stadig markant kortere end traditionel ISP-DNS, der ofte logges i måneder.
Quad9 skiller sig ud ved slet ikke at gemme kilde-IP-adresser i sine driftslogs. I sin transparensrapport skriver Quad9 direkte: “We store no information about end users in the platform, for there are no individual accounts that correlate a person or organization via any means (including by IP address) to resolver queries made to our systems on their behalf,” ifølge Quad9’s transparensrapport. Det er den mest restriktive politik blandt de fem, fordi der reelt ikke findes en bruger-konto at koble data til.
NextDNS er anderledes bygget op, fordi tjenesten kræver en konto med et unikt ID for at kunne levere sin filtrering og statistik. Det betyder, at NextDNS som udgangspunkt kan se, hvilke domæner en given konto har slået op, men brugeren kan selv styre og begrænse logningsperioden i dashboardet. Det er en afvejning: du får detaljeret indsigt i din egen trafik og mulighed for finmasket filtrering, men det kræver tillid til, at NextDNS overholder sin egen politik om ikke at sælge data videre.
Mullvad har historisk haft den mest markante “no logs”-profil af de fem, fordi selskabet er bygget op omkring et VPN-produkt, hvor fravær af logning er selve forretningsmodellen. En uafhængig audit fra oktober 2025 bekræftede, at Mullvad fortsat ikke logger brugerdata, ifølge Yahoo Techs dækning af auditrapporten. Mullvad er samtidig hjemmehørende i Sverige og dermed underlagt EU’s databeskyttelsesregler, hvilket er relevant for danske brugere, der ønsker data holdt inden for EU’s jurisdiktion.
Sikkerhedsaudits: hvem har fået tjekket regnestykket af andre
Det er en ting at love, at man ikke logger. Det er en anden ting at få en uafhængig tredjepart til at bekræfte det. Her er billedet mere ujævnt.
Mullvads DoH-server blev auditeret af det svenske sikkerhedsfirma Assured. Rapporten konkluderede, at de eksponerede tjenester på tidspunktet for auditen kørte på et godt patch-niveau uden kendte sårbarheder, og at fund omkring fejlkonfiguration af Unbound, NTP og iptables blev rettet og efterfølgende verificeret i auditperioden, ifølge Assureds fulde auditrapport. Det er en af de mest konkrete, offentligt tilgængelige tekniske audits blandt de fem tjenester i denne sammenligning.
Cloudflare har fået sin logningspraksis for 1.1.1.1 gennemgået af KPMG som en del af en privatlivsgennemgang, der blev fulgt op med senere revisioner for at bekræfte, at praksis fortsat matcher den offentliggjorte politik. Google, Quad9 og NextDNS har ikke offentliggjort tilsvarende formelle, navngivne tredjeparts-audits af selve DNS-infrastrukturen i vores research for 2025-2026, hvilket ikke nødvendigvis betyder, at de er mindre sikre, men at de er sværere at verificere uafhængigt for en almindelig bruger.
Filtrering og reklameblokering: sikkerhed indbygget i DNS’en
Quad9’s kerneværdi er filtrering. Standardprofilen på 9.9.9.9 blokerer kendte malware- og phishing-domæner ved hjælp af trusselsdata fra flere partnere. I sin trend-rapport for første halvår af 2025 oplyser Quad9, at blot fem særligt skadelige domæner alene stod bag 6,9 milliarder blokerede DNS-opslag, ifølge Quad9’s trendrapport for H1 2025. Det tal illustrerer, hvor stor en andel af internettrafikken der reelt forsøger at nå frem til ondsindet infrastruktur, og hvor meget en filtrerende resolver kan stoppe, før det når browseren.
Cloudflare tilbyder samme type filtrering, men ikke på standard-IP’en 1.1.1.1. I stedet skal brugeren aktivt vælge de sikkerhedsfokuserede varianter 1.1.1.2 og 1.1.1.3, hvor sidstnævnte også blokerer voksenindhold. NextDNS går videre end nogen af de andre og lader brugeren selv sammensætte sine blocklister, inklusive velkendte reklameblokeringslister som EasyList og EasyPrivacy, direkte i DNS-laget frem for i browseren. Det betyder, at reklamer og trackere blokeres på tværs af alle apps på en enhed, ikke kun i browseren.
Mullvad blokerer skadelige domæner som en del af sin VPN-tjeneste, men positionerer sig ikke primært som en reklameblokerende resolver. Google Public DNS er den eneste af de fem, der bevidst holder sig helt ufiltreret, fordi tjenesten er designet som en generel, performanceorienteret resolver uden indbygget indholdsvurdering.
Prissammenligning: fra gratis til abonnement
Fire ud af fem tjenester i denne sammenligning er fuldstændig gratis for almindelige brugere. NextDNS er den eneste, der opererer med et decideret betalingslag for avancerede funktioner, mens Mullvad kræver et VPN-abonnement for at give adgang til den fulde pakke.
| Tjeneste | Gratis niveau | Betalt niveau | Pris pr. måned | Ekstra funktioner ved betaling |
|---|---|---|---|---|
| Cloudflare 1.1.1.1 | Fuld adgang, ubegrænset | Ingen forbrugerbetaling | 0 USD | Kun enterprise-tjenester adskilt fra 1.1.1.1 |
| Google Public DNS | Fuld adgang, ubegrænset | Ingen forbrugerbetaling | 0 USD | Ingen forbrugertier findes |
| Quad9 | Fuld adgang, ubegrænset | Ingen forbrugerbetaling | 0 USD | Non-profit, ingen betalingsmodel for privatpersoner |
| NextDNS | Ja, med kvote pr. måned | Ja, ifølge NextDNS’ prisside | 1,99 USD/md. (19,90 USD/år) op til 19,90 USD/md. | Højere opslagskvote, flere profiler, længere loghistorik |
| Mullvad DNS | Nej, kræver VPN-abonnement | Ja | Cirka 5 EUR/md., fast pris | VPN-adgang, adblocking-lister, no-logs-garanti |
Ifølge NextDNS’ egen prisside opererer selskabet med flere niveauer, hvor det gratis niveau har en begrænset månedlig kvote af opslag, mens de betalte planer starter ved 1,99 USD om måneden (eller 19,90 USD årligt) og går op til en udvidet plan på 19,90 USD om måneden for større husstande eller virksomheder, ifølge NextDNS’ prisside. For de fleste danske husstande vil det billigste betalte niveau være mere end rigeligt, medmindre man har mange enheder eller ønsker lang loghistorik til fejlfinding.
Mullvads model er anderledes, fordi DNS-tjenesten ikke sælges separat, men følger med VPN-abonnementet til en fast pris omkring 5 EUR om måneden uanset hvor mange enheder man tilslutter. Det gør Mullvad dyrere end de fire gratis alternativer i ren kroner og øre, men prisen dækker samtidig hele VPN-forbindelsen, ikke kun DNS-opslagene.
Jurisdiktion: hvor ligger dine data juridisk
For danske og nordiske brugere, der bekymrer sig om GDPR og datasuverænitet, er det relevant hvilket land en tjeneste er underlagt. Cloudflare og Google er begge amerikanske selskaber med hovedsæde i USA, hvilket betyder, at data i princippet kan være omfattet af amerikansk lovgivning som CLOUD Act, selvom begge selskaber har europæisk infrastruktur og GDPR-tilpassede politikker for EU-brugere.
Quad9 drives af en non-profit fond med hjemsted i Schweiz, et land uden for EU, men med en dataregulering, der i store træk følger GDPR-standarder. Quad9 har desuden været involveret i juridiske sager i Tyskland om DNS-baseret blokering, hvilket har givet selskabet erfaring med at forsvare sin resolver-model i europæiske domstole. Mullvad er det eneste af de fem selskaber, der er fuldt hjemmehørende inden for EU, i Sverige, hvilket for nogle danske brugere vil veje tungt i valget, netop fordi data dermed er underlagt EU’s egne databeskyttelsesregler uden at skulle krydse Atlanten. NextDNS har rødder i både Frankrig og USA, hvilket gør billedet mere blandet end for de øvrige fire.
Sådan konfigurerer du DNS over HTTPS i praksis
Opsætningen adskiller sig lidt afhængigt af, om du vil aktivere DoH på browserniveau eller på hele operativsystemet. Her er de mest almindelige metoder for danske brugere.
Firefox: indbygget DoH-vælger
Firefox har haft DoH indbygget siden 2020 og lader dig vælge mellem flere udbydere direkte i indstillingerne under Netværksindstillinger, uden at du behøver installere noget ekstra. Du kan vælge mellem Cloudflare og NextDNS som forudvalgte muligheder, eller angive en brugerdefineret DoH-URL for at bruge Quad9, Google eller Mullvad.
Windows 10 og 11: systemdækkende DoH
Fra Windows 10 (build 1903 og nyere) og Windows 11 kan du aktivere DoH systemdækkende under Netværksindstillinger, ved at ændre DNS-serveren til en af de understøttede IP-adresser, for eksempel 1.1.1.1, 8.8.8.8 eller 9.9.9.9, og derefter slå “DNS over HTTPS kryptering” til for den pågældende adapter. Det kræver, at operativsystemet allerede genkender IP-adressen som en kendt DoH-udbyder, hvilket alle fire af Cloudflare, Google, Quad9 og NextDNS understøtter.
Router-niveau: beskyt hele hjemmenetværket
Den mest omfattende løsning er at konfigurere DoH direkte på routeren, hvis den understøtter det, eller ved at sætte en lille DNS-proxy som dnscrypt-proxy op på en Raspberry Pi eller lignende enhed på netværket. Det sikrer, at alle enheder i hjemmet, inklusive smart-tv, spillekonsoller og IoT-enheder, automatisk får krypteret DNS uden individuel konfiguration. NextDNS tilbyder en dedikeret router-guide til dette formål, mens Mullvad typisk håndterer det automatisk, når VPN-appen er aktiv.
# Eksempel: Firefox custom DoH med Quad9 via about:config
network.trr.mode = 3
network.trr.uri = "https://dns.quad9.net/dns-query"
network.trr.custom_uri = "https://dns.quad9.net/dns-query"# Eksempel: Linux systemd-resolved med Cloudflare DoT (DNS over TLS)
# /etc/systemd/resolved.conf
[Resolve]
DNS=1.1.1.1#cloudflare-dns.com 1.0.0.1#cloudflare-dns.com
DNSOverTLS=yesAndroid og iOS: mobil DNS over HTTPS
På Android finder du “Privat DNS” under Netværk og internet i systemindstillingerne, hvor du kan angive hostnavnet for din foretrukne udbyder, for eksempel cloudflare-dns.com, dns.google eller dns.quad9.net. Android bruger DNS over TLS til denne funktion frem for DoH, men resultatet, krypterede opslag, er det samme for slutbrugeren. iOS kræver typisk en konfigurationsprofil eller en app, fordi Apple ikke har en indbygget systemmenu til DoH på samme måde som Android. Både Cloudflares 1.1.1.1-app og Mullvads app kan generere og installere den nødvendige profil automatisk, hvilket gør opsætningen til et spørgsmål om få minutter frem for manuel konfiguration.
Chrome følger en lidt anden model end Firefox. Browseren kalder funktionen “Sikker DNS” og forsøger som udgangspunkt automatisk at opgradere din eksisterende DNS-udbyder til en krypteret variant, hvis udbyderen understøtter det. Bruger du allerede 1.1.1.1 eller 8.8.8.8 som systemets DNS, vil Chrome typisk selv skifte til den krypterede udgave uden yderligere indgriben. Vil du bruge en anden udbyder end din systemkonfiguration, kan du vælge “Vælg en anden udbyder” under Sikkerhedsindstillinger og indsætte DoH-adressen manuelt, for eksempel Quad9’s eller NextDNS’ endpoint.
Kan du kombinere DNS over HTTPS med en VPN
Et spørgsmål, der ofte dukker op blandt danske brugere, er om det giver mening at køre DoH oven på en VPN-forbindelse. Svaret er nuanceret. Bruger du allerede en VPN-tjeneste som Mullvad, ProtonVPN eller NordVPN, sender VPN-klienten som regel automatisk dine DNS-opslag gennem VPN-udbyderens egen resolver, hvilket i praksis giver samme beskyttelse mod din lokale internetudbyder, som DoH ville. At tilføje en ekstern DoH-udbyder oven i en VPN-forbindelse kan i visse tilfælde skabe en DNS-lækage, hvis browseren insisterer på sin egen DoH-konfiguration i stedet for VPN-tunnelens DNS, fordi opslagene så går uden om VPN’ens krypterede tunnel.
Den sikreste kombination er derfor enten at lade VPN-appen styre DNS fuldt ud, som Mullvad gør automatisk, eller aktivt at konfigurere browserens DoH til at pege på samme udbyder som VPN-tjenesten, så der ikke opstår modstridende ruter for DNS-trafikken. Det er værd at teste sin opsætning med en DNS-lækagetest efter enhver ændring, netop fordi fejlkonfigurerede kombinationer af VPN og DoH er en af de mest almindelige kilder til utilsigtede lækager blandt privatlivsbevidste brugere.
Hvordan danske internetudbydere håndterer DNS som standard
De fleste danske internetudbydere leverer som standard deres egen, ukrypterede DNS-resolver via DHCP, når du tilslutter en ny router. Det betyder, at hver eneste hjemmeside, du forsøger at besøge, som udgangspunkt sendes i klartekst til udbyderens DNS-servere, før du overhovedet har lavet en HTTPS-forbindelse til selve hjemmesiden. Nogle udbydere bruger den information til fejlsøgning og netværksstyring, mens andre historisk har brugt DNS-baseret omdirigering til at vise fejlsider med reklamer, når man taster en forkert adresse.
Fordi hverken Cloudflare, Google, Quad9, NextDNS eller Mullvad er danske selskaber, er der ingen af de fem tjenester i denne sammenligning, der er underlagt danske teleregler på samme måde som en lokal ISP. Det er en dobbeltkantet fordel: du slipper for eventuel dansk DNS-baseret blokering af domæner pålagt af danske myndigheder eller rettighedshavere, men du placerer samtidig dine opslag hos en udenlandsk aktør, hvilket for nogle brugere er præcis pointen, og for andre er en bekymring i sig selv, særligt hvis man ønsker data holdt inden for dansk eller nordisk infrastruktur.
Migrationsguide: skift fra din nuværende DNS-udbyder
Hvis du i dag bruger din internetudbyders standard-DNS, som langt de fleste danskere gør uden at vide det, følger her en trinvis migration til krypteret DNS.
- Trin 1: Test din nuværende DNS-opsætning på en side som Mullvads lækagetest, så du har en baseline at sammenligne med bagefter.
- Trin 2: Vælg udbyder ud fra dit primære behov, hastighed (Quad9 eller Cloudflare), filtrering (Quad9 eller NextDNS), fuld kontrol (NextDNS) eller EU-jurisdiktion (Mullvad).
- Trin 3: Aktiver DoH i din browser først som en lavrisiko-test, da det ikke påvirker resten af systemet.
- Trin 4: Kør en DNS-lækagetest for at bekræfte, at opslagene reelt går gennem den nye resolver og ikke stadig lækker til din ISP.
- Trin 5: Udvid til systemniveau på Windows, macOS eller Linux, når du er tilfreds med browser-testen.
- Trin 6: Konfigurer routeren eller en central DNS-proxy, hvis du vil dække alle enheder på hjemmenetværket samtidig.
- Trin 7: Gem den oprindelige DNS-konfiguration et sted, så du hurtigt kan rulle tilbage, hvis en tjeneste, du bruger dagligt, pludselig ikke virker korrekt.
- Trin 8: Genstart routeren og de vigtigste enheder for at sikre, at DNS-cachen er ryddet og den nye konfiguration er aktiv overalt.
En almindelig faldgrube er at glemme, at nogle apps og enheder har deres egen hardcodede DNS-konfiguration uafhængig af operativsystemet, særligt smart-tv og streaming-bokse. Her er en router- eller netværksbaseret DoH-løsning ofte mere robust end at konfigurere hver enhed for sig.
Fejlfinding: almindelige problemer efter skift af DNS-udbyder
De fleste problemer efter et DNS-skift falder i et af tre mønstre, og alle tre er hurtige at diagnosticere, hvis du kender symptomerne.
Det første er lokale netværksressourcer, der pludselig ikke kan findes. Hvis du har en router, en netværksprinter eller en NAS-boks, der løses via et lokalt hostnavn i stedet for en IP-adresse, vil den forbindelse ofte fejle, når du skifter fra din routers indbyggede DNS til en ekstern resolver som Quad9 eller Cloudflare, fordi den eksterne resolver naturligvis ikke kender dit lokale netværk. Løsningen er enten at bruge IP-adressen direkte til de lokale enheder eller at beholde routerens egen DNS til det lokale segment og kun pege internettrafikken mod den eksterne resolver.
Det andet er dobbeltkonfiguration, hvor både browseren og operativsystemet forsøger at styre DoH samtidig med forskellige udbydere. Det giver ikke fejl i sig selv, men kan gøre fejlfinding forvirrende, fordi det ikke altid er tydeligt, hvilken af de to konfigurationer der reelt bliver brugt for en given forespørgsel. Tjek altid begge steder, hvis noget opfører sig uventet efter et skift.
Det tredje er caching. Gamle DNS-svar kan ligge cachet lokalt i op til flere timer efter et skift, både i operativsystemet og i selve routeren. Hvis en hjemmeside stadig loader forkert eller langsomt efter et skift, er det ofte tilstrækkeligt at rydde den lokale DNS-cache og genstarte netværksadapteren, før man antager, at selve den nye resolver er årsagen.
Fem konkrete brugsscenarier: hvilken resolver passer til dig
Valget af DNS-resolver afhænger i høj grad af, hvem du er, og hvad du prioriterer. Her er fem konkrete profiler og vores anbefaling til hver.
Familien med børn på hjemmenetværket bør kigge mod NextDNS, fordi den lader forældre opsætte separate profiler per enhed med indholdsfiltrering og detaljeret statistik over, hvilke domæne børnenes enheder forsøger at kontakte. Den betalte plan giver mulighed for at sætte tidsbegrænsninger og blokere kategorier af indhold direkte i DNS-laget.
Den privatlivsbevidste enkeltbruger, der allerede betaler for en VPN, vinder mest ved at bruge Mullvad DNS som en del af sit eksisterende abonnement, fordi det holder både VPN-trafik og DNS-opslag inden for samme svenske, EU-baserede infrastruktur med dokumenteret no-logs-praksis.
Small business eller hjemmekontor uden budget til ekstra abonnementer bør vælge Quad9, fordi den gratis, sikkerhedsfiltrerede standardprofil blokerer kendte malware- og phishing-domæner uden nogen konfiguration, hvilket giver et ekstra beskyttelseslag mod ransomware-angreb, der ofte starter med et phishing-klik.
Den tekniske bruger, der vil have maksimal hastighed og allerede bruger Cloudflare-tjenester i andre sammenhænge, får den bedste integration og de laveste svartider fra Cloudflares globale netværk, særligt hvis vedkommende bor i en større dansk by tæt på et Cloudflare-datacenter.
Brugeren der bare vil have “det, alle andre bruger” uden at tænke videre over det, ender ofte med Google Public DNS, simpelthen fordi 8.8.8.8 er den mest udbredte og velkendte offentlige resolver, indbygget i mange routere og forklaret i utallige online-guides. Det er ikke den mest privatlivsvenlige løsning, men den er den mest kompatible.
Fordele og ulemper ved hver DNS-resolver
Cloudflare 1.1.1.1: Fordel er lav svartid globalt og en dokumenteret, KPMG-gennemgået logningspolitik. Ulempe er den offentliggjorte 62-minutters nedetid i juli 2025 og amerikansk jurisdiktion.
Google Public DNS: Fordel er den bredeste kompatibilitet og indbygget understøttelse i næsten alle enheder. Ulempe er den længere logningsperiode på 24-48 timer og at selskabet grundlæggende lever af annoncedata, selvom DNS-logs ifølge Google ikke bruges til det formål.
Quad9: Fordel er den strengeste no-logs-politik af de fire gratis tjenester og indbygget malware-filtrering uden ekstra konfiguration. Ulempe er, at der ikke findes en offentliggjort ekstern teknisk audit på samme niveau som Mullvads eller Cloudflares.
NextDNS: Fordel er den mest granulære kontrol over filtrering og reklameblokering på tværs af alle apps. Ulempe er, at gratis-niveauet har en opslagskvote, og at tjenesten kræver en konto, hvilket i sagens natur giver mere data at beskytte end de kontoløse alternativer.
Mullvad DNS: Fordel er EU-jurisdiktion, dokumenteret audit fra Assured og en no-logs-kultur bygget ind i selve forretningsmodellen. Ulempe er, at den reelt ikke er gratis som selvstændig DNS-tjeneste, men kræver et fuldt VPN-abonnement.
Verdikt: hvilken DNS over HTTPS-udbyder bør danskere vælge
Der findes ikke ét entydigt svar, fordi de fem tjenester reelt løser lidt forskellige problemer. Men baseret på data fra 2025 og 2026 kan vi konkludere følgende: hvis du vil have den bedste balance mellem gratis, sikker og filtreret DNS uden at oprette en konto, er Quad9 det stærkeste valg med sin dokumenterede blokering af 6,9 milliarder skadelige opslag i H1 2025 alene fra fem domæner og en logningspolitik uden individuel kontokobling.
Hvis du prioriterer den laveste og mest konsistente svartid, og du kan leve med amerikansk jurisdiktion, er Cloudflare 1.1.1.1 fortsat konkurrencedygtig, selv efter nedbruddet i juli 2025, fordi DoH-trafikken viste sig markant mere robust end den klassiske IP-baserede resolvertrafik under selve hændelsen. Hvis EU-jurisdiktion og en fuld VPN-pakke er vigtigere end at spare penge, er Mullvad DNS det eneste af de fem valg, der kombinerer begge dele med en uafhængigt bekræftet audit fra Assured. Og hvis du har børn, flere enheder eller bare vil have finmasket kontrol over, hvad der blokeres i dit hjem, er NextDNS’ betalte plan pengene værd sammenlignet med tidsforbruget ved at konfigurere reklameblokering manuelt på hver enhed.
For de fleste danske husstande, der bare vil have et hurtigt, gratis skifte væk fra internetudbyderens standard-DNS uden at oprette konti eller betale noget, er Quad9 eller Cloudflare de mest praktiske startpunkter i 2026.
Det er også værd at huske, at valget ikke behøver at være permanent eller eksklusivt. Fordi opsætningen tager få minutter, kan du sagtens teste Quad9 en uge, skifte til NextDNS den næste for at prøve dens filtreringsfunktioner, og derefter lande på den løsning, der passer bedst til din husstand. Den lave omkostning ved at skifte, både i tid og i penge, er en af de reelle fordele ved, at fire ud af fem tjenester i denne sammenligning er gratis. Det eneste, du binder dig til ved et skifte, er den tillid du lægger i udbyderens logningspolitik, og den kan du altid trække tilbage ved simpelthen at pege dine enheder mod en anden resolver.
Ofte stillede spørgsmål om DNS over HTTPS
Er DNS over HTTPS det samme som en VPN?
Nej. DoH krypterer kun selve DNS-opslaget, altså oversættelsen fra domænenavn til IP-adresse. Din faktiske trafik til den besøgte hjemmeside er stadig synlig for internetudbyderen, medmindre siden i forvejen bruger HTTPS. En VPN krypterer al din trafik og skjuler samtidig din IP-adresse for den hjemmeside, du besøger.
Kan min internetudbyder stadig se, hvilke sider jeg besøger, hvis jeg bruger DoH?
Udbyderen kan stadig se, hvilken IP-adresse din trafik går til, medmindre du også bruger en VPN eller Tor. Men de kan ikke længere se domænenavnet direkte i dine DNS-opslag, fordi de er krypteret og sendt til en tredjeparts-resolver som Cloudflare eller Quad9 i stedet for udbyderens egen DNS-server.
Hvorfor er der forskel på DNS over HTTPS og DNS over TLS?
Begge krypterer DNS-opslag, men DoT bruger en dedikeret forbindelse på port 853, mens DoH gemmer sig inden i almindelig HTTPS-trafik på port 443. Det gør DoH sværere at blokere selektivt på netværksniveau, fordi det ligner almindelig websurfing, mens DoT er nemmere at genkende og potentielt blokere ud fra portnummeret.
Er det lovligt at bruge udenlandske DNS-resolvere i Danmark?
Ja, det er fuldt lovligt for private brugere at vælge en anden DNS-resolver end den, internetudbyderen leverer som standard. Der findes ingen dansk lovgivning, der forbyder brug af Cloudflare, Google, Quad9, NextDNS eller Mullvad DNS.
Påvirker DNS over HTTPS min internethastighed?
Forskellen er typisk under 2 millisekunder mellem de bedste udbydere ifølge målinger foretaget i 2025, hvilket ikke er mærkbart for almindelig browsing. Den reelle risiko for langsommere oplevelse opstår kun, hvis den valgte resolver har en dårlig forbindelse til dit område, eller under sjældne driftsforstyrrelser som Cloudflares nedbrud i juli 2025.
Kan jeg bruge flere DNS-resolvere samtidig som backup?
Ja, både browsere og operativsystemer lader dig som regel angive en primær og en sekundær DNS-server. Hvis den primære ikke svarer, falder systemet automatisk tilbage på den sekundære, hvilket er en god praksis for at undgå total afbrydelse under enkeltstående nedbrud.
Blokerer nogen af disse tjenester lovligt indhold i Danmark?
Nej, ingen af de fem resolvere i denne sammenligning blokerer generelt lovligt indhold for danske brugere. Filtreringen i Quad9, NextDNS og Cloudflares sikkerhedsvarianter retter sig specifikt mod kendte malware-, phishing- og i visse tilfælde voksendomæner, ikke mod almindeligt lovligt webindhold.
Hvilken DNS-resolver logger mindst?
Baseret på offentliggjort dokumentation har Quad9 den mest restriktive politik, fordi tjenesten ikke kobler kilde-IP-adresser til individuelle konti overhovedet. Mullvad ligger tæt efter med sin no-logs-kultur bekræftet af en ekstern audit i oktober 2025, mens Cloudflare og Google begge sletter IP-data inden for henholdsvis cirka 25 og 24-48 timer.
Skal jeg vælge samme DNS-udbyder på alle mine enheder?
Det er ikke strengt nødvendigt, men det gør fejlfinding og konfiguration langt enklere. Hvis din telefon, computer og router peger på tre forskellige resolvere, kan du opleve inkonsistente resultater, for eksempel hvis en af tjenesterne filtrerer et domæne, som en anden lader passere. De fleste danske brugere vil få den mest forudsigelige oplevelse ved at standardisere på én udbyder på tværs af router, computer og mobil.
Virker DNS over HTTPS sammen med forældrekontrol og virksomhedsfirewalls?
Det kan give konflikter. Fordi DoH skjuler DNS-opslag inde i almindelig HTTPS-trafik, kan traditionel netværksbaseret forældrekontrol eller firewallfiltrering, der er bygget til at aflæse DNS på port 53, blive omgået utilsigtet. Virksomheder løser typisk det ved enten at blokere kendte DoH-endpoints eksplicit eller ved at kræve, at alle enheder bruger en central, virksomhedsstyret DoH-resolver som eneste tilladte krypterede DNS-vej.
