Server DNS pubblici: confronto e guida alla scelta

1.1 Perché usare un DNS pubblico se Internet funziona già?

Ogni connessione Internet utilizza già uno o più server DNS. Nella maggior parte dei casi vengono assegnati automaticamente dall’operatore tramite il router, senza che sia necessario configurare nulla. Si collega il dispositivo alla rete, si apre il browser e i siti risultano raggiungibili. A prima vista, quindi, cambiare DNS può sembrare inutile.

La domanda è legittima: perché usare un DNS pubblico se la connessione Internet funziona già?

La risposta dipende da ciò che si richiede al servizio DNS. Se l’unico obiettivo è aprire normalmente i siti web, i resolver forniti dall’operatore possono essere sufficienti. Se invece si cercano maggiore controllo, filtri di sicurezza, protocolli cifrati, una gestione diversa dei dati o funzioni dedicate alla famiglia e alle aziende, un DNS pubblico può offrire qualcosa in più.

Non si tratta semplicemente di sostituire due indirizzi IP nelle impostazioni di rete. Cambiando DNS si sceglie quale servizio deve ricevere e gestire le richieste necessarie a individuare i server associati ai nomi di dominio.

Quando si inserisce nel browser un indirizzo come www.example.com, il dispositivo non utilizza direttamente quel nome per stabilire la connessione. Deve prima ottenere l’indirizzo IP del server che ospita il sito. Questa operazione viene affidata a un resolver DNS.

In termini semplici, il resolver riceve una domanda del tipo:

Qual è l’indirizzo IP associato a questo dominio?

Una volta ottenuta la risposta, il browser può contattare il server corretto e richiedere la pagina. Questa procedura avviene continuamente e non riguarda soltanto i siti web. Viene utilizzata anche dalle applicazioni, dai client di posta, dai servizi cloud, dai sistemi di aggiornamento e da molti dispositivi collegati alla rete.

Il resolver dell’operatore svolge quindi un ruolo centrale. Tuttavia, non è obbligatorio utilizzarlo. È possibile sostituirlo con un servizio pubblico gestito da aziende, organizzazioni o progetti indipendenti.

1.1.1 I DNS dell’operatore non sono necessariamente inadeguati

Utilizzare un DNS pubblico non significa che i resolver dell’operatore siano sempre lenti, insicuri o poco affidabili. In molti casi funzionano correttamente e possono offrire buoni tempi di risposta, soprattutto perché si trovano all’interno o vicino alla rete del provider.

La differenza è che il servizio fornito dall’operatore viene normalmente scelto in modo automatico. Le caratteristiche disponibili, le politiche applicate e le eventuali funzioni di filtraggio dipendono quindi dal provider della connessione.

Passando a un DNS pubblico si effettua invece una scelta consapevole. Si può selezionare un resolver in base alle funzioni offerte, al modello di gestione dei dati, alla disponibilità di protocolli cifrati oppure alla capacità di bloccare determinate categorie di domini.

Il vantaggio principale non è quindi quello di “riparare” una connessione che già funziona, ma di decidere come devono essere gestite le richieste DNS.

1.1.2 Un DNS pubblico può offrire funzioni aggiuntive

I primi servizi DNS pubblici venivano utilizzati soprattutto come alternativa ai resolver degli operatori. Oggi il quadro è più ampio. Alcuni servizi continuano a occuparsi esclusivamente della risoluzione dei nomi, mentre altri integrano strumenti di sicurezza e controllo.

Un DNS pubblico può, per esempio, impedire la risoluzione di domini associati a malware, phishing o altre minacce note. Quando un dispositivo tenta di raggiungere uno di questi domini, il resolver può rifiutare la richiesta oppure restituire una risposta differente.

Questo meccanismo aggiunge un livello di protezione a monte. Il collegamento viene bloccato prima che il browser o l’applicazione riescano a contattare il server considerato pericoloso.

Altri resolver possono filtrare domini utilizzati per pubblicità, tracciamento o contenuti non adatti ai minori. Alcuni permettono di creare regole personalizzate, aggiungere domini a una lista di blocco, autorizzare eccezioni e consultare statistiche sulle richieste eseguite dai dispositivi.

Queste funzioni non sono presenti in tutti i DNS pubblici. Alcuni mantengono volutamente un comportamento neutrale e non applicano filtri. La scelta deve quindi essere effettuata in base all’utilizzo previsto.

1.1.3 Cambiare DNS può migliorare i tempi di risposta?

Un DNS pubblico può risultare più rapido di quello fornito dall’operatore, ma non è una regola valida in ogni situazione. I tempi di risposta dipendono dalla distanza dai server, dalla rete utilizzata, dal percorso seguito dai pacchetti, dal carico del resolver e dalla presenza della risposta nella cache.

Un servizio con infrastruttura distribuita può rispondere in pochi millisecondi in una determinata rete e risultare meno efficiente da un’altra posizione. Non esiste quindi un DNS universalmente più veloce.

Va inoltre chiarito un punto spesso frainteso: cambiare DNS non aumenta la velocità nominale della connessione Internet. Una linea da 100 Mbit/s non diventa più veloce modificando il resolver.

Può cambiare il tempo necessario a risolvere un nome di dominio, soprattutto durante il primo accesso. Una risposta DNS più rapida può rendere leggermente più immediata l’apertura iniziale di un sito o il collegamento di un’applicazione. Una volta stabilita la connessione con il server, però, la velocità di trasferimento dipende dalla rete, dal server remoto e da altri fattori che non riguardano il DNS.

1.1.4 Il DNS pubblico non rende automaticamente privata la navigazione

Anche il tema della privacy richiede una distinzione precisa. Sostituire il DNS dell’operatore con un resolver pubblico sposta le richieste verso un altro soggetto. Il gestore della connessione non riceve più necessariamente le query nello stesso modo, ma il provider DNS scelto può comunque elaborarle.

La privacy dipende quindi dalle politiche del servizio, dalla quantità di dati registrati, dai tempi di conservazione, dall’eventuale anonimizzazione e dal protocollo utilizzato.

Con il DNS tradizionale, le richieste vengono normalmente trasmesse senza cifratura. Chi controlla il percorso di rete può potenzialmente osservare o alterare le query. Protocolli come DNS-over-HTTPS e DNS-over-TLS permettono invece di cifrare il traffico tra il dispositivo e il resolver.

La cifratura protegge il contenuto della richiesta durante il trasporto, ma non rende anonima l’intera navigazione. Il resolver continua a ricevere la domanda e il provider della connessione può comunque osservare altri dati, come gli indirizzi IP contattati e il volume del traffico.

Un DNS pubblico orientato alla privacy deve quindi essere valutato nel suo insieme. Non basta che supporti un protocollo cifrato. Occorre considerare anche chi gestisce il servizio e quali dati dichiara di conservare.

1.1.5 Una scelta utile anche per reti con più dispositivi

I DNS pubblici possono essere configurati sul singolo dispositivo oppure direttamente sul router. Nel primo caso la modifica riguarda soltanto il computer, lo smartphone o il tablet interessato. Nel secondo caso il resolver può essere distribuito automaticamente ai dispositivi collegati alla rete.

La configurazione sul router risulta utile quando si desidera applicare una politica uniforme a tutta la rete domestica o professionale. Un resolver con filtri di sicurezza può proteggere contemporaneamente computer, telefoni, televisori, console e dispositivi IoT, senza dover intervenire su ciascuno di essi.

Esistono però alcune eccezioni. Determinate applicazioni e alcuni browser possono utilizzare un proprio DNS cifrato, ignorando in parte la configurazione ricevuta dal router. Anche reti aziendali, VPN e software di sicurezza possono imporre resolver specifici.

1.1.6 Perché non tutti dovrebbero cambiare DNS

Un DNS pubblico non è sempre la scelta migliore. In una rete aziendale, per esempio, il resolver interno può essere necessario per raggiungere server, domini privati e servizi non disponibili su Internet. Sostituirlo senza criterio può rendere irraggiungibili risorse interne.

Anche alcuni operatori utilizzano i propri DNS per servizi specifici, sistemi di autenticazione o portali di accesso. In queste situazioni la modifica può causare comportamenti inattesi.

I resolver con filtri possono inoltre bloccare domini legittimi per errore. Un sito, un servizio di tracciamento necessario al funzionamento di un’applicazione o una risorsa ospitata su un dominio condiviso possono finire in una lista di blocco. Quando succede, il problema può sembrare legato al sito o alla connessione, mentre dipende dal filtro DNS.

Esiste poi il tema della dipendenza dal fornitore. Se il resolver scelto smette di rispondere e non è stato configurato un servizio alternativo affidabile, la navigazione può risultare bloccata anche se la connessione Internet è attiva.

1.1.7 Il motivo corretto per scegliere un DNS pubblico

La scelta di un DNS pubblico dovrebbe partire da un’esigenza concreta. Utilizzarlo soltanto perché un determinato indirizzo è molto conosciuto non garantisce alcun vantaggio reale.

Può avere senso cambiare resolver quando si desidera ottenere una o più delle seguenti caratteristiche:

• una protezione aggiuntiva contro domini associati a malware e phishing;
• il blocco di pubblicità, tracker o contenuti non adatti ai minori;
• il supporto a DNS-over-HTTPS, DNS-over-TLS o DNS-over-QUIC;
• una politica di gestione dei dati considerata più adatta alle proprie esigenze;
• un’infrastruttura più affidabile o più performante sulla rete utilizzata;
• strumenti di controllo, statistiche, liste personalizzate e profili differenti;
• un comportamento uniforme su reti e dispositivi diversi.

Allo stesso modo, può essere preferibile mantenere i DNS dell’operatore quando funzionano correttamente, non sono necessarie funzioni aggiuntive e non sono emersi problemi di affidabilità o risoluzione.

Non esiste quindi una risposta valida per tutti. I DNS pubblici non sono automaticamente migliori, ma offrono la possibilità di scegliere un servizio in base a criteri che normalmente non vengono considerati nella configurazione automatica della connessione.

Per capire quale resolver possa essere più adatto, serve prima chiarire cosa accade quando viene digitato un indirizzo web e quale ruolo svolge il sistema DNS durante la navigazione.

1.2 Chi risponde quando si digita un indirizzo web?

Ogni giorno vengono digitati decine, a volte centinaia, di indirizzi Internet senza soffermarsi su ciò che accade realmente dopo aver premuto il tasto Invio. Si apre il browser, viene inserito un dominio come www.example.com e, nel giro di pochi istanti, la pagina viene visualizzata. Dietro questa operazione apparentemente banale si nasconde però un processo fondamentale per il funzionamento di Internet.

I computer e i server non comunicano utilizzando nomi come www.example.com, ma attraverso indirizzi IP, ovvero identificativi numerici che permettono di individuare un dispositivo collegato alla rete.

Per una persona è semplice ricordare un nome di dominio, mentre sarebbe molto più complicato memorizzare indirizzi come 93.184.216.34 oppure 172.217.22.14. È proprio per questo motivo che è nato il Domain Name System, meglio conosciuto con l’acronimo DNS.

Il DNS svolge un compito molto semplice ma essenziale: traduce i nomi di dominio negli indirizzi IP corrispondenti.

1.2.1 Il DNS è come una rubrica telefonica

L’esempio più utilizzato è quello della rubrica telefonica, e continua a essere uno dei più efficaci.

Quando si desidera telefonare a una persona, normalmente viene cercato il suo nome all’interno della rubrica. Sarà poi quest’ultima a fornire il numero di telefono corretto.

Internet funziona in modo molto simile.

Quando viene richiesto un sito web, il dispositivo conosce solamente il nome del dominio. Per poter stabilire una connessione è però necessario conoscere l’indirizzo IP del server che ospita quel sito.

Il sistema DNS si occupa proprio di effettuare questa ricerca.

In altre parole:

• l’utente conosce il nome del sito;
• il computer ha bisogno dell’indirizzo IP;
• il DNS effettua la traduzione.

Senza questo sistema ogni sito dovrebbe essere raggiunto digitando direttamente il proprio indirizzo IP, rendendo la navigazione decisamente meno pratica.

1.2.2 Cos’è un indirizzo IP?

Ogni dispositivo collegato a una rete utilizza uno o più indirizzi IP. Si tratta di identificativi univoci che permettono ai vari sistemi di individuarsi e comunicare tra loro.

Quando un browser apre una pagina web, non stabilisce una connessione con il nome del dominio, ma con l’indirizzo IP del server che ospita il sito.

Per questo motivo la risoluzione DNS rappresenta quasi sempre il primo passaggio di qualsiasi connessione Internet.

Una volta ottenuto l’indirizzo IP corretto, il browser può iniziare a scaricare la pagina, le immagini, i fogli di stile, gli script e tutte le altre risorse necessarie alla visualizzazione del sito.

1.2.3 Chi effettua realmente la ricerca?

Molti immaginano che sia il browser a conoscere direttamente gli indirizzi dei siti web. In realtà il browser si limita a chiedere al sistema operativo di individuare l’indirizzo IP del dominio richiesto.

A questo punto entra in gioco un componente fondamentale: il resolver DNS.

Il resolver è il servizio incaricato di ricevere la richiesta, cercare la risposta e restituire al dispositivo l’indirizzo IP corretto.

Se il resolver conosce già la risposta, perché presente nella propria cache, può inviarla immediatamente. In caso contrario dovrà interrogare progressivamente i server DNS autorevoli fino a individuare il record corretto.

Questo processo avviene normalmente in pochi millisecondi ed è completamente trasparente per l’utente.

1.2.4 Cos’è un resolver DNS?

Quando si parla di DNS, molto spesso si tende a confondere il protocollo con il servizio che lo utilizza.

Il DNS è il sistema che permette di tradurre i nomi di dominio in indirizzi IP.

Il resolver DNS, invece, è il server che esegue materialmente questa ricerca per conto del dispositivo.

È proprio il resolver che viene configurato quando si inseriscono indirizzi come:

• 8.8.8.8
• 1.1.1.1
• 9.9.9.9

Questi numeri non rappresentano “Internet”, ma semplicemente l’indirizzo dei server incaricati di risolvere le richieste DNS.

Ogni volta che viene configurato un DNS pubblico, in realtà si sta scegliendo quale resolver utilizzare.

1.2.5 Cosa succede quando viene aperto un sito web?

Il processo completo può essere riassunto in pochi passaggi.

1. Nel browser viene digitato un nome di dominio.
2. Il sistema operativo verifica se conosce già l’indirizzo IP.
3. In caso contrario viene interrogato il resolver DNS configurato.
4. Il resolver restituisce l’indirizzo IP corretto.
5. Il browser apre la connessione con il server.
6. Il sito web viene caricato.

Questa sequenza viene ripetuta continuamente durante la navigazione e coinvolge praticamente qualsiasi servizio Internet.

1.2.6 La cache DNS velocizza la navigazione

Per evitare di ripetere la stessa ricerca ogni volta che viene aperto un sito già visitato, sia il sistema operativo sia il resolver mantengono una memoria temporanea chiamata cache DNS.

Quando una risposta è già presente nella cache e non è ancora scaduta, può essere restituita immediatamente senza effettuare nuove interrogazioni.

Questo riduce il numero di richieste inviate ai server DNS e contribuisce a rendere più rapida l’apertura dei siti web visitati frequentemente.

Anche per questo motivo non è corretto valutare un resolver esclusivamente in base alla velocità della prima risposta. La gestione della cache rappresenta infatti un elemento importante dell’intero processo di risoluzione.

1.2.7 Perché è importante capire come funziona il DNS?

Comprendere il ruolo del DNS permette di valutare con maggiore consapevolezza le caratteristiche dei vari resolver pubblici.

Se il DNS ha il compito di tradurre un nome di dominio nel relativo indirizzo IP, il resolver è il servizio che esegue concretamente questa operazione. Cambiando resolver non si modifica il funzionamento di Internet, ma si sceglie chi dovrà gestire tutte le richieste DNS del dispositivo o della rete.

Ed è proprio qui che iniziano a emergere le differenze tra i vari provider. Alcuni privilegiano la privacy, altri la sicurezza, altri ancora integrano sistemi di filtraggio o funzioni aggiuntive che vanno ben oltre la semplice risoluzione dei nomi di dominio.

1.3 Perché non tutti utilizzano gli stessi server DNS?

Dopo aver compreso cos’è un resolver DNS e quale ruolo svolge durante la navigazione, viene naturale porsi un’altra domanda: se il DNS serve semplicemente a tradurre un nome di dominio in un indirizzo IP, perché esistono così tanti provider diversi?

La risposta è semplice: non tutti i resolver offrono lo stesso servizio.

Per molti anni il DNS è stato considerato un’infrastruttura quasi invisibile. Finché un sito si apriva correttamente, nessuno si preoccupava di quale resolver stesse rispondendo alle richieste. Oggi la situazione è cambiata. I moderni DNS pubblici non si limitano più a risolvere i nomi di dominio, ma integrano funzioni dedicate alla sicurezza, alla privacy, al controllo della navigazione e alle prestazioni.

È proprio questa evoluzione ad aver portato alla nascita di numerosi servizi pubblici, ciascuno progettato con obiettivi differenti.

1.3.1 I DNS dell’operatore sono solo una delle possibili scelte

Quando viene attivata una connessione Internet, il provider configura automaticamente uno o più resolver DNS. Nella maggior parte dei casi questa operazione avviene tramite DHCP, senza che l’utente debba inserire alcun indirizzo manualmente.

Si tratta di una soluzione pratica perché permette di iniziare a navigare immediatamente. Tuttavia, il fatto che il resolver venga assegnato automaticamente non significa che sia l’unica opzione disponibile.

Qualsiasi dispositivo permette infatti di sostituire questi indirizzi con quelli di un altro provider, scegliendo liberamente quale servizio utilizzare.

È un po’ come scegliere un browser diverso da quello installato di default o un client di posta differente rispetto a quello fornito dal sistema operativo: il servizio di base funziona già, ma nulla impedisce di adottarne uno che risponda meglio alle proprie esigenze.

1.3.2 Perché sono nati i DNS pubblici?

I primi resolver pubblici sono nati principalmente per offrire un’alternativa ai DNS degli operatori Internet.

Con il tempo, però, il loro ruolo si è evoluto. Oggi molti provider competono non soltanto sulla qualità dell’infrastruttura, ma anche sulle funzionalità offerte agli utenti.

Alcuni investono nella distribuzione geografica dei server per ridurre i tempi di risposta. Altri puntano sulla protezione contro malware e phishing. Altri ancora concentrano l’attenzione sulla privacy, limitando al minimo la raccolta dei dati o supportando protocolli DNS cifrati.

Di conseguenza, scegliere un resolver non significa soltanto decidere quale server risponderà alle richieste DNS, ma anche quali caratteristiche saranno disponibili durante la navigazione.

1.3.3 Ogni provider ha obiettivi differenti

Osservando i principali servizi DNS pubblici emerge subito una differenza importante: non cercano tutti di risolvere lo stesso problema.

Alcuni esempi:

• alcuni provider puntano principalmente sulle prestazioni e sulla disponibilità del servizio;
• altri privilegiano la tutela della privacy e riducono al minimo la conservazione dei log;
• alcuni integrano sistemi di protezione contro domini malevoli;
• altri permettono di bloccare pubblicità, tracker o contenuti per adulti;
• alcuni sono pensati per reti domestiche, altri per aziende o ambienti professionali.

Questo significa che due resolver possono comportarsi in modo differente pur ricevendo la stessa richiesta DNS.

1.3.4 La stessa richiesta può produrre risultati differenti

Immaginiamo che due utenti tentino di visitare lo stesso dominio.

Il primo utilizza un resolver tradizionale che si limita a restituire l’indirizzo IP richiesto.

Il secondo utilizza un resolver con protezione contro malware e phishing.

Se il dominio è stato classificato come dannoso, il comportamento dei due servizi potrebbe essere completamente diverso.

Il primo resolver potrebbe restituire normalmente l’indirizzo IP del sito, consentendo la connessione.

Il secondo potrebbe invece bloccare la richiesta e impedire completamente l’accesso.

Dal punto di vista dell’utente, il sito sembrerebbe semplicemente irraggiungibile, ma in realtà la differenza dipenderebbe esclusivamente dal resolver utilizzato.

1.3.5 La privacy rappresenta un altro elemento di differenziazione

Ogni richiesta DNS contiene informazioni sui domini che un dispositivo tenta di raggiungere.

Per questo motivo molti provider descrivono in modo dettagliato la propria politica relativa ai log, indicando quali dati vengono raccolti, per quanto tempo vengono conservati e con quali finalità vengono utilizzati.

Alcuni resolver eliminano rapidamente le informazioni raccolte, altri le anonimizzano, altri ancora mettono a disposizione statistiche aggregate o servizi personalizzati che richiedono una gestione differente dei dati.

Per questo motivo, quando si confrontano due provider DNS, non è sufficiente osservare gli indirizzi IP o i tempi di risposta. È opportuno valutare anche il modo in cui ciascun servizio gestisce le informazioni relative alle richieste effettuate.

1.3.6 Non esiste il resolver perfetto

Una delle convinzioni più diffuse consiste nel cercare “il miglior DNS”. In realtà questa domanda non ha una risposta valida in ogni situazione.

Un resolver progettato per offrire il massimo livello di protezione potrebbe bloccare alcuni domini considerati sicuri da altri provider.

Un servizio orientato alla privacy potrebbe rinunciare a determinate funzionalità di analisi o personalizzazione.

Un resolver che integra il blocco della pubblicità potrebbe impedire il funzionamento di alcuni siti che dipendono da domini utilizzati anche per finalità di tracciamento.

La scelta dipende quindi dalle esigenze specifiche della rete e non esclusivamente dalla popolarità del provider.

1.3.7 La scelta migliore dipende dall’utilizzo

Un utente domestico potrebbe cercare un resolver semplice, veloce e affidabile.

Una famiglia potrebbe preferire un servizio con filtri dedicati ai contenuti per adulti.

Un’azienda potrebbe privilegiare funzionalità di sicurezza avanzate, protezione dal phishing e protocolli DNS cifrati.

Chi utilizza frequentemente reti Wi-Fi pubbliche potrebbe invece dare maggiore importanza alla cifratura delle richieste DNS e alle politiche sulla privacy.

Proprio perché ogni scenario presenta esigenze differenti, oggi esistono numerosi provider pubblici con caratteristiche molto diverse tra loro.

1.4 I DNS pubblici sono davvero migliori?

È probabilmente la domanda che porta la maggior parte delle persone a cercare informazioni sui DNS pubblici. Dopo aver scoperto che esistono alternative ai resolver forniti dal proprio operatore, viene spontaneo chiedersi se valga davvero la pena sostituirli.

La risposta, però, non può essere ridotta a un semplice “sì” o “no”.

Affermare che un DNS pubblico sia sempre migliore di quello dell’operatore sarebbe tanto scorretto quanto sostenere il contrario. La qualità di un resolver dipende infatti da numerosi fattori: infrastruttura, obiettivi del servizio, funzionalità offerte, posizione geografica, politiche sulla privacy e modalità di gestione delle richieste.

Per questo motivo è più corretto porsi una domanda diversa:

Il DNS che si sta utilizzando è quello più adatto alle proprie esigenze?

Molto spesso la risposta cambia da persona a persona.

1.4.1 Non esiste un DNS pubblico migliore in assoluto

Nel corso degli anni si sono diffuse numerose classifiche che indicano quale sarebbe il “miglior DNS” o il “resolver più veloce”. Sebbene possano rappresentare un utile punto di partenza, non devono essere considerate una verità assoluta.

Le prestazioni di un resolver dipendono infatti da vari elementi:

• la distanza dai server del provider;
• la qualità del collegamento tra le reti;
• la presenza di nodi distribuiti nella propria area geografica;
• la cache del resolver;
• il carico dell’infrastruttura in quel momento.

Un servizio che offre ottimi tempi di risposta in una determinata città potrebbe comportarsi diversamente in un’altra nazione o con un diverso operatore Internet.

Per questo motivo è preferibile valutare un resolver considerando l’insieme delle sue caratteristiche e non esclusivamente qualche millisecondo di differenza durante un benchmark.

1.4.2 Il DNS dell’operatore potrebbe essere già una buona scelta

Esiste la convinzione che i resolver forniti dagli operatori siano necessariamente inferiori rispetto ai servizi pubblici. In realtà non è così.

Molti provider Internet dispongono di infrastrutture moderne, server distribuiti e sistemi di caching efficienti. In condizioni normali possono offrire tempi di risposta assolutamente adeguati alla maggior parte degli utilizzi.

Se la connessione risulta stabile, non sono necessarie funzionalità aggiuntive e non si sono mai riscontrati problemi di risoluzione DNS, potrebbe non esserci alcun motivo concreto per modificare la configurazione.

Cambiare resolver non dovrebbe essere un’abitudine, ma una scelta consapevole.

1.4.3 I DNS pubblici offrono spesso funzioni che gli operatori non mettono a disposizione

Il principale vantaggio dei resolver pubblici non consiste necessariamente nella velocità.

Molti servizi integrano infatti funzionalità che normalmente non sono presenti nei DNS assegnati automaticamente dal provider Internet.

Tra le più comuni si trovano:

• protezione contro domini utilizzati per malware e phishing;
• supporto a DNS-over-HTTPS (DoH), DNS-over-TLS (DoT) e DNS-over-QUIC (DoQ);
• filtri contro pubblicità e sistemi di tracciamento;
• controllo parentale;
• gestione di whitelist e blacklist personalizzate;
• statistiche sulle richieste DNS;
• configurazioni differenziate per reti domestiche e aziendali.

Queste caratteristiche possono rappresentare un valore aggiunto importante, soprattutto quando si desidera aumentare il livello di controllo sulla propria rete.

1.4.4 Esistono anche alcuni svantaggi

Come qualsiasi servizio, anche i DNS pubblici presentano alcuni aspetti che meritano attenzione.

Ad esempio, un resolver che applica filtri molto restrittivi potrebbe bloccare accidentalmente domini perfettamente legittimi. In questi casi un sito potrebbe risultare irraggiungibile pur essendo perfettamente funzionante.

Anche la privacy varia sensibilmente da un provider all’altro. Ogni gestore adotta infatti politiche differenti riguardo alla raccolta dei log, ai tempi di conservazione delle informazioni e alle modalità con cui vengono trattati i dati relativi alle richieste DNS.

Prima di scegliere un servizio è quindi opportuno consultare la relativa documentazione tecnica e l’informativa sulla privacy, soprattutto quando il resolver verrà utilizzato su reti aziendali o professionali.

1.4.5 Attenzione ai falsi miti

Nel tempo si sono diffusi numerosi luoghi comuni sui DNS pubblici. Alcuni sono semplicemente imprecisi, altri sono del tutto errati.

Tra i più frequenti:

• “cambiare DNS rende Internet più veloce”;
• “un DNS pubblico rende anonima la navigazione”;
• “tutti i DNS pubblici sono uguali”;
• “Google DNS è sempre il più veloce”;
• “Cloudflare è sempre la scelta migliore”.

La realtà è decisamente più articolata.

Il DNS interviene esclusivamente nella fase di risoluzione del nome di dominio. La velocità della connessione dipende invece dalla qualità della linea, dal server remoto, dal percorso di rete e da numerosi altri fattori.

Allo stesso modo, utilizzare un resolver pubblico non significa automaticamente navigare in forma anonima. Le richieste DNS continuano infatti a essere gestite dal provider scelto, che applicherà le proprie politiche in materia di privacy e conservazione dei dati.

1.4.6 La domanda corretta da porsi

Più che chiedersi quale sia il miglior DNS pubblico, conviene individuare quali caratteristiche siano realmente importanti per il proprio utilizzo.

Chi desidera una maggiore protezione potrebbe orientarsi verso un resolver con sistemi di blocco contro malware e phishing.

Chi utilizza spesso reti Wi-Fi pubbliche potrebbe preferire un servizio che supporta protocolli DNS cifrati.

Una famiglia potrebbe trovare utile un resolver con controllo parentale, mentre un professionista potrebbe privilegiare stabilità, affidabilità e una politica sulla privacy particolarmente trasparente.

In altre parole, non esiste un resolver perfetto per ogni situazione. Esiste invece quello più adatto allo scenario in cui verrà utilizzato.

1.5 Cosa cambia davvero passando a un DNS pubblico?

Finora si è parlato del funzionamento del sistema DNS e delle differenze tra i resolver forniti dagli operatori e quelli pubblici. Rimane però una domanda fondamentale: cosa cambia realmente dopo aver sostituito il DNS predefinito?

La risposta dipende dal servizio scelto. Non tutti i resolver pubblici offrono le stesse caratteristiche e, di conseguenza, i benefici possono variare sensibilmente da un provider all’altro.

Esistono però alcuni aspetti che meritano di essere analizzati singolarmente, perché rappresentano i principali criteri con cui vengono confrontati i diversi servizi DNS.

Nelle sezioni che seguono verranno approfonditi gli elementi che incidono maggiormente sulla scelta di un resolver pubblico, chiarendo anche alcuni luoghi comuni che spesso portano a conclusioni errate.

1.5.1 Prestazioni e tempi di risposta

Uno degli argomenti più citati quando si parla di DNS pubblici riguarda la velocità.

È normale pensare che un resolver più rapido possa rendere più veloce l’intera navigazione, ma è importante distinguere due concetti completamente diversi: la velocità della connessione Internet e il tempo necessario per risolvere un nome di dominio.

Il DNS interviene esclusivamente nella fase iniziale della comunicazione, cioè quando il dispositivo deve individuare l’indirizzo IP del server da contattare.

Una volta ottenuta questa informazione, il resolver termina il proprio compito e tutta la comunicazione prosegue direttamente tra il dispositivo e il server remoto.

Questo significa che cambiare DNS non aumenta la velocità della linea Internet e non modifica la banda disponibile.

Può però ridurre il tempo necessario per ottenere la risposta DNS, soprattutto quando il resolver dispone di un’infrastruttura distribuita, di una cache efficiente o di nodi particolarmente vicini alla rete utilizzata.

La differenza è spesso misurabile in pochi millisecondi, ma durante una normale navigazione il sistema DNS viene utilizzato continuamente. Per questo motivo un resolver efficiente può contribuire a rendere più immediata l’apertura iniziale di siti web e applicazioni.

Va comunque ricordato che non esiste il DNS più veloce in assoluto. Le prestazioni dipendono dalla posizione geografica, dall’operatore Internet, dal peering tra le reti, dal carico dei server e da molti altri fattori.

Per questo motivo le classifiche basate esclusivamente sulla latenza devono essere interpretate con cautela.

1.5.2 Privacy

Quando si sceglie un DNS pubblico, uno degli aspetti più importanti da valutare riguarda la privacy. Non tutti i resolver adottano infatti le stesse politiche nella gestione delle richieste DNS e le differenze possono essere significative.

Ogni volta che un dispositivo tenta di raggiungere un sito web, un servizio cloud o un’applicazione, viene effettuata almeno una richiesta DNS. Anche se queste richieste non contengono direttamente il contenuto della navigazione, possono comunque rivelare quali domini vengono contattati.

Per questo motivo il resolver utilizzato rappresenta un elemento importante dal punto di vista della riservatezza dei dati.

1.5.2.1 Chi vede le richieste DNS?

Quando si utilizzano i DNS forniti dall’operatore Internet, tutte le richieste vengono generalmente gestite dalla sua infrastruttura.

Configurando un DNS pubblico, invece, tali richieste vengono inoltrate al provider scelto.

Questo non significa che un’opzione sia automaticamente migliore dell’altra, ma semplicemente che il soggetto incaricato della risoluzione cambia.

Di conseguenza è opportuno conoscere chi gestisce il servizio e quali politiche applica nella raccolta e nel trattamento dei dati.

1.5.2.2 I log sono tutti uguali?

Assolutamente no.

Ogni provider adotta una propria politica relativa ai log. Alcuni conservano esclusivamente informazioni tecniche indispensabili al funzionamento del servizio, altri anonimizzano rapidamente le richieste, mentre alcuni possono mantenere determinati dati per periodi più lunghi, ad esempio per finalità statistiche, di sicurezza o di manutenzione.

Per questo motivo, quando si confrontano due resolver pubblici, non è sufficiente osservare gli indirizzi IP o i tempi di risposta.

È sempre consigliabile consultare la documentazione ufficiale del provider per comprendere:

• quali informazioni vengono registrate;
• per quanto tempo vengono conservate;
• se i dati vengono anonimizzati;
• quali finalità vengono dichiarate per il loro utilizzo.

Questi elementi possono incidere sensibilmente sulla scelta del resolver, soprattutto in ambito professionale o aziendale.

1.5.2.3 DNS tradizionale e richieste in chiaro

Un altro aspetto spesso trascurato riguarda il modo in cui le richieste DNS vengono trasmesse sulla rete.

Storicamente il protocollo DNS è stato progettato senza alcun meccanismo di cifratura. Questo significa che le richieste possono viaggiare in chiaro tra il dispositivo e il resolver.

Su una rete domestica ben protetta questo comportamento potrebbe non rappresentare un problema rilevante. In altri contesti, come reti Wi-Fi pubbliche, hotspot condivisi o infrastrutture non completamente affidabili, la cifratura delle richieste DNS può invece costituire un livello di protezione aggiuntivo.

Per questo motivo molti provider supportano oggi protocolli moderni come DNS-over-HTTPS (DoH), DNS-over-TLS (DoT) e, più recentemente, DNS-over-QUIC (DoQ), che verranno approfonditi in una sezione dedicata.

1.5.2.4 Privacy non significa anonimato

Uno degli errori più comuni consiste nel pensare che utilizzare un DNS pubblico orientato alla privacy renda automaticamente anonima la navigazione.

In realtà le due cose sono profondamente diverse.

Un resolver può limitare la raccolta dei log, utilizzare protocolli cifrati e adottare politiche particolarmente trasparenti, ma continuerà comunque a ricevere le richieste DNS necessarie alla risoluzione dei domini.

Inoltre il provider della connessione Internet continuerà a vedere altri elementi del traffico di rete, come gli indirizzi IP con cui il dispositivo comunica.

Per questo motivo il DNS rappresenta soltanto uno degli elementi che contribuiscono alla tutela della privacy online e non può essere considerato uno strumento di anonimizzazione.

1.5.2.5 Quando la privacy diventa un criterio di scelta

Per molti utenti domestici le differenze tra le politiche dei vari provider potrebbero non avere un impatto significativo.

In altri contesti, invece, questo aspetto può assumere un’importanza maggiore.

Professionisti, aziende, amministratori di sistema e organizzazioni che trattano dati sensibili tendono spesso a valutare con particolare attenzione la trasparenza del servizio, la documentazione tecnica, la politica relativa ai log e la giurisdizione del gestore.

Per questo motivo alcuni resolver hanno costruito la propria reputazione proprio sulla tutela della privacy, mentre altri concentrano maggiormente l’attenzione su sicurezza, prestazioni o funzionalità di filtraggio.La privacy rappresenta quindi uno dei criteri più importanti nella scelta di un DNS pubblico, ma non è l’unico. Per molti utenti il fattore determinante rimane la capacità del resolver di proteggere la navigazione da malware e phishing.

1.5.3 Sicurezza

La sicurezza è uno dei principali motivi che spingono a scegliere un DNS pubblico invece del resolver fornito automaticamente dall’operatore Internet. Negli ultimi anni, infatti, molti provider hanno trasformato il semplice servizio di risoluzione dei nomi in un primo livello di difesa contro numerose minacce informatiche.

È importante chiarire subito un aspetto: un DNS pubblico non sostituisce un antivirus, un firewall o altri strumenti di sicurezza. Può però contribuire a ridurre il rischio di raggiungere domini noti per attività dannose, bloccando la connessione ancora prima che venga stabilita.

In altre parole, il resolver DNS può rappresentare il primo controllo effettuato prima che il browser o un’applicazione tentino di comunicare con un server remoto.

1.5.3.1 Un livello di protezione che interviene prima della connessione

Ogni collegamento a un sito web inizia con una richiesta DNS.

Se il dominio richiesto risulta associato a malware, campagne di phishing o altre attività considerate pericolose, alcuni resolver pubblici possono interrompere il processo di risoluzione, impedendo al dispositivo di ottenere l’indirizzo IP necessario per proseguire.

Dal punto di vista dell’utente il sito potrebbe semplicemente non aprirsi oppure potrebbe essere visualizzata una pagina di blocco, a seconda del provider utilizzato.

Questo approccio permette di fermare molte minacce prima ancora che venga instaurata la connessione con il server remoto.

1.5.3.2 Come fanno i resolver a riconoscere i domini dannosi?

I provider che offrono funzionalità di sicurezza mantengono database costantemente aggiornati contenenti domini classificati come malevoli.

Questi elenchi possono essere costruiti utilizzando diverse fonti, ad esempio:

• analisi automatiche del traffico;
• segnalazioni provenienti da organizzazioni specializzate;
• ricerche svolte dai team di sicurezza del provider;
• feed di intelligence sulle minacce informatiche.

Quando viene ricevuta una richiesta DNS, il resolver verifica se il dominio compare tra quelli considerati pericolosi. Se il controllo restituisce un esito positivo, il provider può decidere di bloccare la risoluzione oppure restituire una risposta differente.

Naturalmente ogni servizio adotta criteri propri e aggiorna questi elenchi con frequenze differenti.

1.5.3.3 Una protezione utile anche per dispositivi poco aggiornati

Uno dei vantaggi di questo approccio consiste nel fatto che il controllo viene effettuato direttamente dal resolver.

Ciò significa che tutti i dispositivi configurati per utilizzare quel DNS possono beneficiare dello stesso livello di protezione, indipendentemente dal sistema operativo installato.

Computer, smartphone, tablet, Smart TV, console di gioco e dispositivi IoT possono quindi ricevere un primo livello di difesa senza richiedere software specifici.

Questo aspetto risulta particolarmente utile nelle reti domestiche, dove non tutti i dispositivi dispongono di strumenti di sicurezza evoluti o ricevono aggiornamenti con la stessa frequenza.

1.5.3.4 La sicurezza non riguarda soltanto il browser

Quando si pensa alle minacce informatiche viene spontaneo immaginare un sito web dannoso aperto tramite browser.

In realtà molte applicazioni effettuano continuamente richieste DNS per comunicare con servizi esterni, verificare aggiornamenti, sincronizzare dati o stabilire connessioni verso piattaforme cloud.

Un resolver con funzioni di sicurezza può intervenire anche in questi casi, impedendo la risoluzione di domini riconosciuti come malevoli indipendentemente dall’applicazione che ha generato la richiesta.

1.5.3.5 Esistono anche dei limiti

Come qualsiasi sistema di protezione, anche il filtraggio DNS presenta alcuni limiti.

Il resolver può bloccare esclusivamente domini già classificati come dannosi o appartenenti a determinate categorie. Non è invece in grado di analizzare il contenuto di una pagina web, verificare la presenza di vulnerabilità nel browser o impedire l’esecuzione di codice malevolo già presente sul dispositivo.

Inoltre un dominio appena registrato e non ancora identificato come pericoloso potrebbe non comparire immediatamente negli elenchi utilizzati dal provider.

Per questo motivo il DNS rappresenta un livello di protezione aggiuntivo e non un sostituto delle normali misure di sicurezza informatica.

1.5.3.6 La sicurezza è uno dei principali criteri di scelta

Per molti utenti e per numerose organizzazioni la capacità di bloccare preventivamente domini pericolosi costituisce uno dei motivi principali per utilizzare un resolver pubblico.

Esistono infatti provider che hanno costruito la propria reputazione proprio su questo aspetto, aggiornando costantemente i propri database e collaborando con organizzazioni specializzate nella cybersecurity.

Altri servizi, invece, preferiscono mantenere un comportamento completamente neutrale, lasciando all’utente la responsabilità di gestire la sicurezza attraverso strumenti dedicati.

La scelta dipende quindi dal livello di protezione desiderato e dal tipo di rete sulla quale il resolver verrà utilizzato.

Tra le minacce che un DNS pubblico può contribuire a contrastare, due meritano un approfondimento specifico: malware e phishing. Sebbene vengano spesso citati insieme, rappresentano fenomeni differenti e vengono affrontati con modalità diverse.

1.5.4 Protezione da malware e phishing

Quando si parla di sicurezza informatica, i termini malware e phishing vengono spesso utilizzati insieme. Pur essendo strettamente collegati, rappresentano due minacce differenti e richiedono approcci diversi per essere contrastati.

Molti resolver DNS pubblici integrano sistemi specifici per individuare e bloccare entrambe le categorie di minacce. Si tratta di una delle funzionalità che distingue maggiormente i servizi orientati alla sicurezza rispetto ai resolver tradizionali.

1.5.4.1 Cos’è un malware?

Con il termine malware si indica qualsiasi software sviluppato con finalità dannose.

Rientrano in questa categoria virus, ransomware, spyware, trojan, worm e numerose altre tipologie di codice progettate per compromettere un dispositivo, sottrarre dati o consentire accessi non autorizzati.

In molti casi il malware viene distribuito attraverso siti web compromessi, download apparentemente legittimi oppure collegamenti presenti nelle email.

Se il dominio utilizzato per distribuire il software malevolo è già stato identificato come pericoloso, un resolver DNS con funzioni di sicurezza può impedirne la risoluzione, evitando che il dispositivo riesca a raggiungere il server.

È importante sottolineare che il DNS non analizza il contenuto dei file scaricati e non sostituisce un antivirus. Interviene semplicemente prima che venga instaurata la connessione con un dominio già classificato come dannoso.

1.5.4.2 Cos’è il phishing?

Il phishing rappresenta una minaccia differente.

In questo caso l’obiettivo non è infettare il dispositivo, ma convincere l’utente a fornire spontaneamente informazioni riservate come credenziali di accesso, dati bancari, codici OTP o altre informazioni personali.

Per raggiungere questo risultato vengono spesso realizzati siti web che imitano fedelmente quelli di banche, corrieri, social network, servizi cloud o piattaforme di pagamento.

Un collegamento ricevuto tramite email, SMS o messaggistica istantanea può indirizzare verso una pagina apparentemente autentica, ma progettata esclusivamente per raccogliere le informazioni inserite dall’utente.

Anche in questo caso il resolver DNS può contribuire alla protezione impedendo la risoluzione del dominio prima che la pagina venga aperta.

1.5.4.3 Come funziona il blocco a livello DNS?

I resolver che integrano sistemi di sicurezza confrontano ogni richiesta con database costantemente aggiornati contenenti domini associati a malware, phishing e altre attività considerate pericolose.

Quando viene individuata una corrispondenza, il provider può adottare comportamenti differenti.

• Bloccare completamente la risoluzione del dominio.
• Restituire un indirizzo IP differente che mostra una pagina di avviso.
• Rifiutare la richiesta DNS.

La modalità dipende dal provider e dalla politica adottata dal servizio.

Dal punto di vista dell’utente il risultato è comunque lo stesso: il collegamento non viene completato e il dominio non può essere raggiunto.

1.5.4.4 Perché questo tipo di protezione è efficace?

Uno dei principali vantaggi del filtraggio DNS consiste nel fatto che interviene molto presto durante il processo di connessione.

Se il dominio non viene risolto, il browser, il client di posta o qualsiasi altra applicazione non riusciranno a stabilire una connessione con il server remoto.

Questo approccio permette di bloccare numerose minacce senza installare software aggiuntivi su ogni dispositivo della rete.

Configurando il resolver direttamente sul router, la protezione può estendersi automaticamente a computer, smartphone, Smart TV, console di gioco e dispositivi IoT.

1.5.4.5 I database vengono aggiornati continuamente

Internet cambia continuamente e ogni giorno vengono registrati migliaia di nuovi domini.

Per questo motivo un servizio DNS orientato alla sicurezza deve aggiornare costantemente le proprie liste di blocco.

I principali provider utilizzano fonti differenti, combinando attività di ricerca interna, feed di threat intelligence, segnalazioni provenienti da organizzazioni specializzate e sistemi automatici di classificazione.

La qualità e la rapidità con cui questi database vengono aggiornati rappresentano uno degli elementi che distinguono un resolver dall’altro.

1.5.4.6 Il blocco DNS non è infallibile

Sebbene rappresenti un valido livello di protezione, il filtraggio DNS non può intercettare qualsiasi minaccia.

Un dominio appena registrato potrebbe non essere ancora stato classificato come malevolo. Allo stesso modo, un sito legittimo compromesso da poche ore potrebbe non comparire immediatamente nelle liste di blocco.

Possono inoltre verificarsi falsi positivi, con il blocco accidentale di domini perfettamente leciti.

Per questo motivo il DNS deve essere considerato una misura di sicurezza aggiuntiva e non l’unico sistema di protezione disponibile.

1.5.4.7 Una difesa che non sostituisce le buone pratiche

Anche utilizzando un resolver con funzioni avanzate di sicurezza rimane fondamentale mantenere aggiornati sistemi operativi e applicazioni, utilizzare password robuste, attivare l’autenticazione a più fattori quando disponibile e prestare attenzione ai collegamenti ricevuti tramite email o messaggistica.

Il DNS rappresenta il primo filtro durante la navigazione, ma la sicurezza complessiva dipende sempre dalla combinazione di più livelli di protezione.

Oltre alla sicurezza, molti resolver pubblici offrono un’altra funzionalità molto apprezzata: la possibilità di bloccare automaticamente pubblicità, sistemi di tracciamento e altri domini indesiderati direttamente a livello DNS.

1.5.5 Blocco della pubblicità e dei tracker

Non tutti utilizzano un DNS pubblico esclusivamente per motivi di sicurezza. Negli ultimi anni è cresciuto notevolmente anche l’interesse verso resolver in grado di bloccare automaticamente pubblicità, sistemi di tracciamento e altri domini considerati indesiderati.

A differenza delle estensioni installate nel browser, questo tipo di filtraggio avviene direttamente durante la risoluzione DNS e può interessare qualsiasi dispositivo configurato per utilizzare quel resolver.

Si tratta di una soluzione sempre più diffusa nelle reti domestiche e aziendali, soprattutto quando si desidera ridurre il numero di richieste verso domini pubblicitari senza intervenire manualmente su ogni computer o smartphone.

1.5.5.1 Come funziona il blocco tramite DNS?

Molte pagine web non comunicano esclusivamente con il server che ospita il sito visitato.

Durante il caricamento vengono spesso contattati numerosi domini esterni dedicati alla pubblicità, all’analisi del traffico, ai sistemi di monitoraggio delle visite o ad altri servizi di terze parti.

Quando il browser tenta di raggiungere uno di questi domini, deve prima risolverne il nome tramite il DNS.

Un resolver con funzioni di filtraggio confronta ogni richiesta con elenchi contenenti domini utilizzati per la distribuzione della pubblicità o per il tracciamento degli utenti.

Se il dominio compare in una di queste liste, il resolver può impedirne la risoluzione e la connessione non viene mai stabilita.

Di conseguenza il browser non riesce a scaricare il contenuto pubblicitario o gli script destinati al monitoraggio della navigazione.

1.5.5.2 Cosa sono i tracker?

Il termine tracker identifica un insieme di tecnologie utilizzate per raccogliere informazioni sul comportamento degli utenti durante la navigazione.

Tra le informazioni che possono essere registrate rientrano, ad esempio:

• le pagine visitate;
• il tempo trascorso su un sito;
• i collegamenti selezionati;
• il tipo di dispositivo utilizzato;
• il browser impiegato per la navigazione;
• altre informazioni tecniche utili all’analisi statistica o alla profilazione.

Non tutti i sistemi di tracciamento hanno finalità pubblicitarie. Molti vengono utilizzati anche per raccogliere statistiche anonime, monitorare il corretto funzionamento di un sito o analizzare le prestazioni delle applicazioni.

Per questo motivo alcuni resolver permettono di scegliere quali categorie bloccare e quali invece lasciare attive.

1.5.5.3 Quali vantaggi offre questo approccio?

Il principale vantaggio consiste nella semplicità di gestione.

Configurando un resolver con funzioni di blocco direttamente sul router, tutti i dispositivi della rete possono beneficiare dello stesso filtraggio senza installare estensioni o software aggiuntivi.

Computer, smartphone, Smart TV, console di gioco e dispositivi IoT utilizzano infatti lo stesso servizio DNS.

Questo approccio consente inoltre di ridurre il numero di connessioni verso domini pubblicitari e sistemi di tracciamento, contribuendo in alcuni casi a rendere più pulito il caricamento delle pagine.

È però importante evitare un equivoco: il blocco DNS non elimina fisicamente la pubblicità da una pagina web come farebbe un’estensione dedicata. Semplicemente impedisce il caricamento delle risorse provenienti da determinati domini.

1.5.5.4 Il blocco DNS non sostituisce un ad blocker

Le estensioni installate nel browser possono intervenire direttamente sul contenuto della pagina, rimuovendo elementi grafici, modificando il codice HTML o impedendo l’esecuzione di determinati script.

Un resolver DNS non ha questo livello di controllo.

Può esclusivamente decidere se consentire o meno la risoluzione di uno specifico dominio.

Di conseguenza alcune aree pubblicitarie potrebbero semplicemente rimanere vuote oppure il layout del sito potrebbe non adattarsi perfettamente alla mancanza delle risorse bloccate.

I due approcci non sono quindi alternativi, ma complementari.

1.5.5.5 Possono verificarsi effetti indesiderati?

Sì.

Molti siti web utilizzano infrastrutture condivise per distribuire sia contenuti essenziali sia servizi pubblicitari o di monitoraggio.

Se un dominio viene bloccato, alcune funzionalità potrebbero non essere più disponibili.

Tra gli esempi più comuni rientrano:

• video incorporati che non vengono caricati;
• banner per l’accettazione dei cookie che non funzionano correttamente;
• sistemi di autenticazione esterni;
• chat di assistenza;
• strumenti di analisi delle visite;
• contenuti ospitati su piattaforme di terze parti.

Per questo motivo molti provider consentono di creare whitelist personalizzate oppure di scegliere livelli differenti di filtraggio.

1.5.5.6 Una funzione sempre più richiesta

Il blocco della pubblicità e dei tracker rappresenta oggi una delle funzionalità più apprezzate offerte dai resolver pubblici.

Servizi come AdGuard DNS, NextDNS, Control D e altri provider specializzati permettono di personalizzare il comportamento del filtraggio, attivando o disattivando specifiche categorie di domini in base alle proprie esigenze.

Questa flessibilità rende il DNS non soltanto un sistema di risoluzione dei nomi, ma anche uno strumento di gestione della navigazione sempre più evoluto.

Tra le funzioni aggiuntive offerte da molti resolver pubblici rientra anche il controllo parentale, pensato per limitare l’accesso a determinate categorie di contenuti e rendere la navigazione più adatta ai minori.

1.5.6 Controllo parentale

Tra le funzionalità offerte da alcuni DNS pubblici rientra anche il controllo parentale, una soluzione pensata per limitare l’accesso a determinate categorie di siti web senza dover installare software specifici su ogni dispositivo.

Questo tipo di filtraggio viene utilizzato soprattutto nelle reti domestiche, negli istituti scolastici e negli ambienti in cui si desidera ridurre la possibilità che bambini o ragazzi raggiungano contenuti non adatti alla loro età.

Il principio di funzionamento è lo stesso già visto per il blocco di malware e pubblicità: il controllo viene effettuato durante la risoluzione DNS.

1.5.6.1 Come funziona il controllo parentale tramite DNS?

Ogni volta che un dispositivo tenta di raggiungere un sito Internet, il resolver verifica se il dominio appartiene a una categoria soggetta a restrizioni.

Se il dominio rientra tra quelli bloccati, il resolver può impedire la risoluzione del nome oppure mostrare una pagina informativa, impedendo di fatto il caricamento del sito.

Dal punto di vista dell’utente non cambia nulla nella configurazione del browser o del sistema operativo. Tutto il controllo avviene direttamente sul server DNS.

1.5.6.2 Quali contenuti possono essere filtrati?

Le categorie disponibili variano da provider a provider.

Tra le più comuni si trovano:

• contenuti per adulti;
• siti dedicati al gioco d’azzardo;
• piattaforme note per la distribuzione di malware;
• domini utilizzati per campagne di phishing;
• servizi ritenuti non adatti ai minori.

Alcuni resolver permettono inoltre di creare regole personalizzate, aggiungendo domini da bloccare o da autorizzare indipendentemente dalla categoria di appartenenza.

1.5.6.3 Una sola configurazione per tutta la rete

Uno dei principali vantaggi del controllo parentale tramite DNS consiste nella semplicità di gestione.

Configurando il resolver direttamente sul router, tutti i dispositivi collegati alla rete utilizzeranno automaticamente lo stesso sistema di filtraggio.

Computer, smartphone, tablet, Smart TV, console di gioco e altri dispositivi beneficeranno quindi delle medesime regole senza richiedere configurazioni individuali.

Questo approccio risulta particolarmente utile nelle abitazioni con numerosi dispositivi oppure in ambienti condivisi come scuole, biblioteche o sale studio.

1.5.6.4 Il controllo parentale non sostituisce la supervisione degli adulti

È importante evitare un equivoco piuttosto diffuso.

Il controllo parentale basato sul DNS rappresenta uno strumento tecnico che può limitare l’accesso a determinate categorie di siti, ma non può sostituire l’educazione digitale, il dialogo con i minori o la supervisione da parte degli adulti.

Inoltre nessun sistema di classificazione è perfetto.

Nuovi siti vengono pubblicati ogni giorno e alcuni potrebbero non essere immediatamente inseriti nelle categorie corrette. Allo stesso tempo possono verificarsi falsi positivi, con il blocco accidentale di domini perfettamente legittimi.

Per questo motivo il controllo parentale deve essere considerato un valido supporto, ma non una soluzione definitiva.

1.5.6.5 È possibile aggirare il blocco?

Dipende da come è stata configurata la rete.

Se il dispositivo consente di modificare liberamente il resolver DNS, un utente con sufficienti competenze potrebbe configurarne uno differente e aggirare le restrizioni.

Per questo motivo, quando il controllo parentale rappresenta un requisito importante, è consigliabile applicare le regole direttamente sul router oppure utilizzare firewall e sistemi di gestione della rete che impediscano l’utilizzo di resolver alternativi.

In ambito aziendale e scolastico vengono spesso adottate configurazioni di questo tipo proprio per garantire che tutte le richieste DNS transitino attraverso il resolver previsto dall’amministratore.

1.5.6.6 Una funzione sempre più diffusa

Negli ultimi anni il controllo parentale è diventato una delle funzionalità più richieste nei resolver pubblici.

Provider come CleanBrowsing, AdGuard DNS, NextDNS, Control D e altri servizi analoghi mettono a disposizione profili già configurati oppure consentono di personalizzare il livello di filtraggio in base alle proprie esigenze.

La possibilità di gestire tutto attraverso il DNS rende questa soluzione semplice da implementare e compatibile con la maggior parte dei dispositivi, indipendentemente dal sistema operativo utilizzato.

Oltre alle funzionalità offerte, un altro elemento da valutare nella scelta di un resolver pubblico riguarda la sua affidabilità. Un servizio ricco di caratteristiche risulta infatti poco utile se non garantisce continuità operativa e tempi di risposta costanti.

1.5.7 Affidabilità del servizio

Quando si sceglie un DNS pubblico si tende spesso a confrontare velocità, sicurezza, privacy e funzionalità di filtraggio. Esiste però un altro aspetto che merita la stessa attenzione: l’affidabilità del servizio.

Un resolver DNS viene utilizzato ogni volta che un dispositivo deve raggiungere un dominio Internet. Se il servizio non è disponibile, risponde lentamente oppure restituisce errori, anche una connessione perfettamente funzionante può dare l’impressione di essere completamente inutilizzabile.

Per questo motivo l’affidabilità rappresenta uno dei criteri più importanti nella scelta di un provider DNS.

1.5.7.1 Perché un problema DNS può sembrare un problema di connessione?

Quando il resolver non riesce a rispondere, il browser non è in grado di ottenere l’indirizzo IP del sito richiesto.

Dal punto di vista dell’utente il risultato è semplice: la pagina non si apre.

In molti casi il messaggio visualizzato dal browser riporta errori come:

• impossibile raggiungere il sito;
• errore nella risoluzione DNS;
• server DNS non raggiungibile;
• indirizzo del server non trovato.

È facile pensare che sia assente la connessione Internet, mentre il problema riguarda esclusivamente il servizio incaricato della risoluzione dei nomi.

Per questo motivo un resolver affidabile contribuisce direttamente alla continuità della navigazione.

1.5.7.2 Le infrastrutture dei principali provider

I servizi DNS pubblici più diffusi utilizzano generalmente infrastrutture distribuite a livello mondiale.

Invece di affidarsi a un singolo server, impiegano decine o centinaia di nodi collocati in differenti aree geografiche.

Quando viene inviata una richiesta DNS, questa viene normalmente indirizzata verso il nodo più vicino o comunque verso quello ritenuto più efficiente in quel momento.

Questa architettura distribuita offre diversi vantaggi:

• riduce il rischio che un guasto renda indisponibile l’intero servizio;
• migliora la resilienza dell’infrastruttura;
• consente di distribuire il carico tra numerosi server;
• riduce, in molti casi, i tempi di risposta.

Non tutti i provider dispongono però della stessa estensione geografica o dello stesso numero di punti di presenza.

1.5.7.3 La disponibilità è importante quanto la velocità

Molti benchmark si concentrano esclusivamente sulla latenza, confrontando il tempo impiegato da diversi resolver per rispondere a una richiesta.

Si tratta certamente di un parametro utile, ma non è l’unico da considerare.

Un resolver leggermente più lento ma sempre disponibile risulta spesso preferibile rispetto a uno estremamente rapido che presenta interruzioni frequenti o periodi di indisponibilità.

In altre parole, un servizio DNS deve essere prima di tutto affidabile.

1.5.7.4 Ridondanza e server secondari

Per aumentare la continuità operativa è buona pratica configurare sempre almeno due resolver DNS.

Normalmente vengono indicati come DNS primario e DNS secondario.

Se il primo resolver non risponde oppure risulta temporaneamente irraggiungibile, il dispositivo può tentare automaticamente di utilizzare quello secondario.

Molti provider pubblici mettono a disposizione almeno due indirizzi IPv4 e due indirizzi IPv6 proprio per garantire questo livello di ridondanza.

In alcuni contesti vengono persino utilizzati resolver appartenenti a provider differenti, così da ridurre ulteriormente la dipendenza da un’unica infrastruttura.

1.5.7.5 Anche i DNS pubblici possono avere interruzioni

Le infrastrutture dei principali provider sono progettate per garantire elevati livelli di disponibilità, ma nessun servizio può essere considerato immune da problemi.

Guasti hardware, errori di configurazione, aggiornamenti, attacchi informatici o malfunzionamenti di rete possono causare rallentamenti o temporanee indisponibilità.

Si tratta generalmente di eventi poco frequenti, ma rappresentano un ulteriore motivo per configurare sempre più di un resolver.

1.5.7.6 Come valutare l’affidabilità di un resolver?

Prima di scegliere un DNS pubblico è opportuno considerare alcuni elementi.

• Presenza di un’infrastruttura distribuita.
• Numero di nodi disponibili.
• Continuità operativa dichiarata dal provider.
• Storico degli incidenti pubblicamente documentati.
• Disponibilità di pagine dedicate allo stato del servizio.
• Aggiornamenti e manutenzione dell’infrastruttura.

Molti provider mettono inoltre a disposizione pagine di stato in tempo reale, attraverso le quali è possibile verificare eventuali interruzioni o attività di manutenzione programmate.

1.5.7.7 Una caratteristica spesso sottovalutata

L’affidabilità è probabilmente uno degli aspetti meno discussi quando si confrontano i DNS pubblici, eppure rappresenta uno dei più importanti.

Un resolver veloce, ricco di funzionalità e orientato alla privacy perde gran parte del proprio valore se non è in grado di garantire continuità operativa.

Per questo motivo la scelta di un provider dovrebbe sempre considerare l’equilibrio tra prestazioni, sicurezza, privacy, funzionalità offerte e qualità dell’infrastruttura che sostiene il servizio.

1.6 Quando conviene cambiare DNS… e quando invece non serve

Dopo aver analizzato vantaggi, funzionalità e caratteristiche dei principali resolver pubblici, è naturale chiedersi se abbia davvero senso modificare i DNS configurati automaticamente dal proprio operatore.

La risposta, ancora una volta, dipende dalle esigenze della rete e dal motivo per cui si desidera effettuare questa modifica.

Non esiste infatti una regola valida per tutti. In alcuni casi il passaggio a un DNS pubblico può offrire benefici concreti; in altri, invece, la differenza potrebbe essere minima o addirittura assente.

1.6.1 Quando può essere una buona scelta

Configurare un resolver pubblico può essere utile quando si desidera ottenere funzionalità che il DNS dell’operatore normalmente non mette a disposizione.

Tra le situazioni più comuni rientrano:

• protezione aggiuntiva contro malware e phishing;
• supporto ai protocolli DNS-over-HTTPS (DoH), DNS-over-TLS (DoT) o DNS-over-QUIC (DoQ);
• blocco della pubblicità e dei domini utilizzati per il tracciamento;
• controllo parentale e filtri per categorie di siti;
• politiche sulla privacy considerate più adatte alle proprie esigenze;
• strumenti di gestione avanzata, statistiche o configurazioni personalizzate.

Anche nel caso in cui si riscontrino problemi di affidabilità con i resolver del proprio operatore, provare un servizio pubblico può rappresentare una valida alternativa.

1.6.2 Quando probabilmente non cambierà nulla

Non sempre modificare il DNS produce differenze percepibili durante la navigazione.

Se il resolver dell’operatore è già stabile, veloce e affidabile, e non si ha la necessità di utilizzare funzioni aggiuntive, il passaggio a un altro provider potrebbe non offrire vantaggi concreti.

È importante ricordare che il DNS interviene esclusivamente nella fase di risoluzione del nome di dominio.

Problemi come una connessione lenta, una rete Wi-Fi instabile, un server remoto sovraccarico o una banda insufficiente non possono essere risolti semplicemente cambiando resolver.

1.6.3 Le reti aziendali meritano particolare attenzione

In ambito aziendale la situazione può essere diversa rispetto a una normale rete domestica.

Molte organizzazioni utilizzano server DNS interni per gestire domini privati, server locali, Active Directory, VPN e altri servizi che non sono raggiungibili attraverso Internet.

Sostituire questi resolver con DNS pubblici potrebbe impedire la risoluzione dei nomi interni, causando malfunzionamenti delle applicazioni o l’impossibilità di raggiungere alcune risorse aziendali.

Prima di modificare la configurazione DNS in un ambiente professionale è quindi opportuno verificare come è stata progettata l’infrastruttura di rete.

1.6.4 Anche alcuni servizi domestici possono dipendere dal DNS

Sebbene sia meno frequente, anche alcune reti domestiche possono utilizzare configurazioni DNS particolari.

Router avanzati, NAS, server locali, sistemi di domotica e altri dispositivi possono utilizzare nomi di dominio interni che vengono risolti esclusivamente dal resolver configurato nella rete.

In questi casi la sostituzione del DNS potrebbe impedire il corretto funzionamento di alcuni servizi oppure rendere necessario adottare configurazioni aggiuntive.

1.6.5 Conviene utilizzare sempre lo stesso provider?

Molti utenti configurano sia il DNS primario sia quello secondario utilizzando lo stesso servizio.

Questa scelta garantisce normalmente un comportamento uniforme, poiché entrambi i resolver applicano le stesse politiche di filtraggio, sicurezza e privacy.

In altri casi si preferisce utilizzare provider differenti per aumentare la ridondanza. Si tratta di una soluzione possibile, ma è bene ricordare che i due resolver potrebbero rispondere in modo diverso alla stessa richiesta, soprattutto se utilizzano liste di blocco o criteri di filtraggio differenti.

1.6.6 La scelta dovrebbe partire dalle proprie esigenze

La domanda corretta non è quindi “qual è il DNS migliore?”, ma piuttosto “di quali funzionalità si ha realmente bisogno?”.

Chi desidera semplicemente navigare potrebbe non notare differenze sostanziali rispetto ai resolver dell’operatore.

Chi invece cerca una maggiore protezione, una migliore gestione della privacy, il blocco della pubblicità oppure strumenti di controllo più avanzati potrebbe trovare nei DNS pubblici un servizio decisamente più adatto alle proprie necessità.

1.7 Non tutti i DNS fanno la stessa cosa

Nel linguaggio comune si tende a parlare genericamente di “DNS”, come se tutti i resolver pubblici offrissero lo stesso servizio. In realtà le differenze possono essere molto marcate.

Alcuni provider si limitano a svolgere il compito originario del Domain Name System, ovvero tradurre un nome di dominio nel relativo indirizzo IP nel modo più rapido e affidabile possibile.

Altri, invece, hanno trasformato il resolver DNS in una vera e propria piattaforma di sicurezza e gestione della navigazione, aggiungendo funzionalità che vanno ben oltre la semplice risoluzione dei nomi.

Per questo motivo scegliere un DNS pubblico non significa soltanto decidere quale server utilizzare, ma anche individuare il tipo di servizio più adatto alle proprie esigenze.

1.7.1 Dal semplice resolver ai servizi avanzati

I primi resolver pubblici offrivano essenzialmente un’alternativa ai DNS degli operatori Internet.

L’obiettivo principale era garantire un’infrastruttura stabile, disponibile e con tempi di risposta ridotti.

Negli anni, però, il panorama è cambiato profondamente.

Oggi molti provider integrano strumenti dedicati alla sicurezza informatica, alla tutela della privacy, al controllo parentale, al blocco della pubblicità e alla gestione personalizzata delle richieste DNS.

In alcuni casi è persino possibile creare profili differenti per dispositivi diversi, consultare statistiche dettagliate oppure definire regole specifiche per determinati domini.

1.7.2 Un resolver può avere obiettivi molto diversi

Osservando i principali servizi disponibili emerge subito un aspetto interessante: ogni provider nasce con una filosofia differente.

Alcuni concentrano gran parte delle proprie risorse sulla velocità di risposta e sulla distribuzione geografica dei server.

Altri investono principalmente nella protezione contro malware e phishing.

Altri ancora pongono particolare attenzione alla privacy, limitando la raccolta dei log oppure implementando protocolli DNS cifrati.

Esistono inoltre resolver progettati specificamente per bloccare la pubblicità, limitare il tracciamento online o rendere più semplice il controllo parentale nelle reti domestiche.

Queste differenze spiegano perché non esista un provider universalmente migliore degli altri.

1.7.3 Le funzionalità aggiuntive possono fare la differenza

Due resolver possono restituire esattamente lo stesso indirizzo IP per un dominio perfettamente legittimo.

Le differenze emergono invece quando entrano in gioco servizi aggiuntivi.

Un provider potrebbe impedire la risoluzione di un dominio classificato come malevolo.

Un altro potrebbe consentire normalmente l’accesso, lasciando il controllo esclusivamente agli strumenti di sicurezza installati sul dispositivo.

Allo stesso modo, alcuni resolver bloccano automaticamente domini pubblicitari, mentre altri preferiscono mantenere un comportamento completamente neutrale.

La scelta dipende quindi non soltanto dal funzionamento del DNS, ma soprattutto dai servizi che il provider decide di integrare.

1.7.4 Esistono diverse categorie di resolver

Per facilitare il confronto è possibile suddividere i DNS pubblici in alcune grandi categorie, pur sapendo che molti servizi appartengono contemporaneamente a più di una.

Ad esempio, un resolver può offrire sia protocolli DNS cifrati sia sistemi di protezione contro malware e phishing, oltre a funzioni di blocco della pubblicità.

Non si tratta quindi di categorie rigide, ma di un modo pratico per comprendere quale sia l’obiettivo principale di ciascun servizio.

1.7.5 Resolver tradizionali

I resolver tradizionali rappresentano la forma più semplice di servizio DNS. Il loro compito consiste esclusivamente nel tradurre un nome di dominio nel relativo indirizzo IP, senza applicare filtri, blocchi o altre elaborazioni sulle richieste ricevute.

Quando viene interrogato un dominio, il resolver verifica la presenza della risposta nella propria cache. Se l’informazione è disponibile e ancora valida, la restituisce immediatamente. In caso contrario avvia il normale processo di risoluzione interrogando i server DNS autorevoli fino a ottenere il record richiesto.

L’obiettivo principale di questa tipologia di servizio è garantire una risoluzione dei nomi affidabile, stabile e conforme agli standard del Domain Name System.

1.7.5.1 Come si comporta un resolver tradizionale?

Un resolver tradizionale non cerca di interpretare la richiesta dell’utente.

Se il dominio richiesto esiste ed è raggiungibile, il servizio restituisce semplicemente l’indirizzo IP associato.

Non verifica se il sito contiene malware, non blocca campagne di phishing, non filtra pubblicità e non applica restrizioni legate ai contenuti.

Dal suo punto di vista ogni dominio viene trattato allo stesso modo, purché la richiesta sia tecnicamente valida.

Questo comportamento viene spesso definito neutrale, proprio perché il resolver non interviene sulla navigazione.

1.7.5.2 Perché scegliere un resolver senza filtri?

Potrebbe sembrare una scelta limitante, ma in molti contesti rappresenta ancora l’opzione preferibile.

Chi utilizza già firewall, sistemi di sicurezza dedicati, proxy aziendali o altre soluzioni di filtraggio potrebbe non avere alcun interesse a delegare questi controlli al servizio DNS.

Anche gli amministratori di sistema preferiscono spesso utilizzare resolver che si limitano esclusivamente alla risoluzione dei nomi, lasciando ad altri componenti dell’infrastruttura il compito di gestire sicurezza e controllo degli accessi.

In questo modo ogni livello della rete mantiene responsabilità ben definite e facilmente gestibili.

1.7.5.3 I vantaggi dei resolver tradizionali

Un resolver che non applica filtri offre alcuni vantaggi che meritano di essere considerati.

• Restituisce normalmente tutti i domini presenti nel DNS pubblico.
• Riduce il rischio di falsi positivi dovuti a blocchi automatici.
• Garantisce un comportamento prevedibile durante la risoluzione.
• Risulta adatto ad ambienti tecnici nei quali il filtraggio viene gestito da altri strumenti.

Queste caratteristiche rendono i resolver tradizionali particolarmente apprezzati in molti contesti professionali.

1.7.5.4 Esistono anche alcuni limiti

L’assenza di filtri comporta inevitabilmente anche alcuni svantaggi.

Un resolver tradizionale non è in grado di impedire il raggiungimento di domini noti per attività di phishing, malware o altre minacce informatiche.

Non blocca la pubblicità, non limita il tracciamento online e non offre strumenti di controllo parentale.

In pratica tutta la responsabilità della sicurezza viene demandata al browser, all’antivirus, al firewall o ad altri sistemi installati nella rete.

1.7.5.5 Chi utilizza normalmente questa tipologia di resolver?

I resolver tradizionali vengono utilizzati in numerosi scenari.

Sono spesso la scelta preferita da utenti esperti che desiderano un comportamento completamente neutrale, da amministratori di sistema che gestiscono autonomamente la sicurezza della rete e da organizzazioni che adottano soluzioni dedicate per il filtraggio del traffico.

Anche molti provider Internet utilizzano resolver di questo tipo per i propri clienti, limitandosi a fornire il servizio di risoluzione DNS senza introdurre modifiche alle richieste.

1.7.5.6 Neutralità non significa assenza di qualità

Un resolver tradizionale non deve essere considerato un servizio “meno evoluto”.

Molti dei provider più affidabili mettono infatti a disposizione resolver completamente neutrali, progettati per garantire prestazioni elevate, disponibilità continua e piena conformità agli standard DNS.

La scelta tra un resolver tradizionale e uno dotato di funzioni avanzate dipende esclusivamente dalle esigenze dell’utente e dal livello di controllo che si desidera affidare al servizio DNS.

Se i resolver tradizionali puntano sulla neutralità, altri provider seguono una filosofia completamente diversa, ponendo al centro del proprio servizio la tutela dei dati personali e la riduzione delle informazioni raccolte durante la navigazione. Sono i cosiddetti resolver orientati alla privacy.

1.7.6 Resolver orientati alla privacy

Negli ultimi anni la tutela della privacy è diventata uno degli aspetti più considerati nella scelta di un DNS pubblico. Molti provider hanno quindi sviluppato resolver progettati per ridurre al minimo la raccolta delle informazioni, limitare la conservazione dei log e rendere più trasparente la gestione delle richieste DNS.

È importante chiarire subito un concetto: un resolver orientato alla privacy non rende anonima la navigazione. Il suo obiettivo è offrire un trattamento delle richieste DNS che privilegi la riservatezza dei dati rispetto ad altri servizi.

La differenza può sembrare sottile, ma è fondamentale per comprendere il ruolo di questa categoria di resolver.

1.7.6.1 Cosa distingue un resolver orientato alla privacy?

A differenza di un resolver tradizionale, un servizio orientato alla privacy dedica particolare attenzione al modo in cui vengono gestite le richieste DNS.

Ogni provider adotta politiche differenti, ma gli elementi più comuni riguardano:

• riduzione della quantità di dati registrati;
• conservazione dei log per periodi limitati;
• anonimizzazione delle informazioni raccolte;
• maggiore trasparenza sulle modalità di trattamento dei dati;
• supporto ai protocolli DNS cifrati.

Queste caratteristiche consentono all’utente di valutare il servizio non soltanto dal punto di vista tecnico, ma anche sotto il profilo della gestione delle informazioni personali.

1.7.6.2 La trasparenza è un elemento importante

Uno degli aspetti che caratterizza molti provider orientati alla privacy è la disponibilità di documentazione dettagliata sulle modalità di funzionamento del servizio.

Le informative descrivono generalmente:

• quali dati vengono raccolti;
• per quale motivo vengono trattati;
• per quanto tempo vengono conservati;
• se vengono anonimizzati;
• quali informazioni non vengono registrate.

Questa trasparenza permette agli utenti di confrontare i diversi provider sulla base di informazioni concrete e non soltanto delle dichiarazioni presenti nelle pagine promozionali.

1.7.6.3 La cifratura delle richieste DNS

Quasi tutti i resolver orientati alla privacy supportano oggi protocolli moderni come DNS-over-HTTPS (DoH) e DNS-over-TLS (DoT), ai quali in alcuni casi si aggiunge anche DNS-over-QUIC (DoQ).

Questi protocolli permettono di cifrare le richieste DNS tra il dispositivo e il resolver, riducendo il rischio che possano essere osservate o modificate durante il tragitto sulla rete.

È però importante ricordare che la cifratura protegge il trasporto delle richieste, ma non elimina la necessità di affidarsi al provider DNS scelto.

Il resolver continuerà infatti a ricevere le richieste necessarie per effettuare la risoluzione dei nomi.

1.7.6.4 Privacy non significa assenza di log

Un altro equivoco piuttosto diffuso riguarda i cosiddetti “resolver senza log”.

In pratica qualunque servizio necessita almeno di alcune informazioni tecniche per garantire il corretto funzionamento dell’infrastruttura, individuare anomalie, prevenire abusi o gestire eventuali problemi operativi.

La vera differenza riguarda piuttosto:

• la quantità di dati raccolti;
• la tipologia delle informazioni registrate;
• la durata della conservazione;
• le finalità dichiarate dal provider.

Per questo motivo è sempre consigliabile leggere attentamente la documentazione ufficiale del servizio invece di basarsi esclusivamente su slogan come “no log” o “privacy totale”.

1.7.6.5 Quando scegliere un resolver orientato alla privacy

Questa categoria di servizi può rappresentare una scelta interessante per chi desidera affidare le proprie richieste DNS a provider che dedicano particolare attenzione alla gestione dei dati personali.

Professionisti, aziende, sviluppatori e utenti particolarmente sensibili agli aspetti legati alla riservatezza possono trovare in questi resolver caratteristiche che vanno oltre la semplice velocità di risposta.

Naturalmente la privacy non è l’unico criterio da considerare. Prestazioni, affidabilità, sicurezza e funzionalità aggiuntive continuano a rappresentare elementi altrettanto importanti nella valutazione complessiva del servizio.

1.7.6.6 Alcuni esempi di resolver orientati alla privacy

Tra i provider maggiormente conosciuti per l’attenzione dedicata alla privacy si possono citare, ad esempio, Mullvad DNS, alcuni profili offerti da NextDNS e altri servizi che pongono particolare enfasi sulla trasparenza nella gestione dei dati e sul supporto ai protocolli DNS cifrati.

Accanto ai servizi orientati alla privacy esiste un’altra categoria molto diffusa: i resolver progettati principalmente per aumentare il livello di sicurezza, attraverso il blocco preventivo di domini associati a malware, phishing e altre minacce informatiche.

1.7.7 Resolver con protezione da malware e phishing

Tra le categorie di DNS pubblici più diffuse rientrano i resolver progettati per aumentare il livello di sicurezza della navigazione. A differenza dei resolver tradizionali, questi servizi non si limitano a restituire l’indirizzo IP richiesto, ma verificano preventivamente se il dominio appartiene a una lista di siti considerati pericolosi.

L’obiettivo non è sostituire antivirus, firewall o altri strumenti di sicurezza, ma aggiungere un primo livello di protezione che interviene ancora prima che il dispositivo tenti di stabilire una connessione con il server remoto.

1.7.7.1 Come funziona questa tipologia di resolver?

Ogni volta che un computer, uno smartphone o qualsiasi altro dispositivo invia una richiesta DNS, il resolver controlla se il dominio richiesto compare all’interno dei propri database di sicurezza.

Se il dominio risulta associato a malware, phishing, botnet o altre attività dannose, il provider può impedire la risoluzione del nome oppure reindirizzare la richiesta verso una pagina di avviso.

In questo modo il collegamento viene interrotto prima che il browser riesca a raggiungere il sito.

Il controllo avviene in pochi millisecondi ed è completamente trasparente per l’utente.

1.7.7.2 Da dove arrivano le informazioni sui domini malevoli?

I provider specializzati nella sicurezza mantengono database costantemente aggiornati che raccolgono informazioni provenienti da diverse fonti.

Tra le principali si trovano:

• analisi svolte dai team di cybersecurity del provider;
• feed di threat intelligence;
• collaborazioni con organizzazioni specializzate nella sicurezza informatica;
• analisi automatiche del traffico;
• segnalazioni provenienti dalla comunità o da enti di ricerca.

Queste informazioni vengono continuamente aggiornate per intercettare nuovi domini utilizzati nelle campagne di phishing o nella distribuzione di malware.

1.7.7.3 Quali vantaggi offre un resolver di questo tipo?

Il principale punto di forza consiste nella semplicità.

Una volta configurato il resolver, la protezione viene applicata automaticamente a tutti i dispositivi che lo utilizzano, senza installare software aggiuntivi.

Configurando il DNS direttamente sul router, il controllo può estendersi contemporaneamente a computer, smartphone, tablet, Smart TV, console di gioco e dispositivi IoT.

Questo approccio risulta particolarmente utile nelle reti domestiche e nei piccoli uffici, dove spesso convivono dispositivi con livelli di aggiornamento e sicurezza molto differenti.

1.7.7.4 Un aiuto, non una protezione assoluta

Sebbene questi resolver rappresentino un valido livello di difesa, è importante comprenderne i limiti.

Il DNS può bloccare soltanto domini già classificati come dannosi oppure riconducibili a specifiche categorie di minacce.

Non è invece in grado di analizzare il contenuto di un file scaricato, verificare la presenza di vulnerabilità nel browser o impedire l’esecuzione di codice malevolo già presente sul dispositivo.

Allo stesso modo un dominio registrato da poche ore potrebbe non essere ancora presente nei database del provider.

Per questo motivo il filtraggio DNS deve essere considerato una misura preventiva che integra, ma non sostituisce, gli altri strumenti di sicurezza.

1.7.7.5 Possono verificarsi falsi positivi?

Sì.

La classificazione automatica dei domini non è infallibile.

Può accadere che un sito perfettamente legittimo venga temporaneamente inserito in una lista di blocco oppure che un dominio recentemente compromesso non sia ancora stato identificato.

I provider più strutturati mettono generalmente a disposizione procedure per segnalare eventuali errori e richiedere una revisione della classificazione.

1.7.7.6 Quando conviene utilizzare questa categoria di resolver?

I resolver con protezione da malware e phishing rappresentano una scelta particolarmente indicata quando si desidera aumentare il livello di sicurezza della rete senza intervenire sulla configurazione di ogni singolo dispositivo.

Possono risultare utili in ambito domestico, nelle piccole imprese, negli studi professionali e in tutte quelle situazioni in cui si desidera aggiungere un ulteriore livello di difesa contro le minacce più comuni.

Tra i provider che hanno costruito gran parte della propria reputazione su questo approccio rientrano, ad esempio, Quad9 e altri servizi specializzati nella protezione preventiva della navigazione.

Naturalmente la sicurezza non è l’unico ambito nel quale un resolver può intervenire. Alcuni provider sono stati progettati con un obiettivo completamente diverso: ridurre il numero di domini pubblicitari e di tracciamento raggiunti durante la navigazione. Questa è la categoria dei resolver dedicati al blocco della pubblicità.

1.7.8 Resolver con blocco della pubblicità

Negli ultimi anni è aumentato il numero di resolver DNS progettati non soltanto per risolvere i nomi di dominio, ma anche per ridurre il traffico generato da pubblicità, sistemi di tracciamento e altri servizi ritenuti non indispensabili durante la navigazione.

Questa categoria di resolver nasce con un obiettivo preciso: impedire il caricamento di determinati domini ancora prima che il browser tenti di contattarli.

Il principio è molto semplice. Se un dominio non può essere risolto tramite DNS, il dispositivo non sarà in grado di stabilire alcuna connessione verso quel server.

1.7.8.1 Come viene bloccata la pubblicità?

Molti siti Internet non caricano i contenuti pubblicitari direttamente dal proprio server.

Banner, script di monitoraggio, pixel di tracciamento e altri elementi vengono spesso scaricati da domini differenti rispetto a quello del sito visitato.

Quando il browser tenta di contattare uno di questi domini, deve prima richiederne la risoluzione al resolver DNS.

Se il dominio compare in una lista di blocco mantenuta dal provider, il resolver impedisce la risoluzione del nome e il browser non riesce più a scaricare quella specifica risorsa.

Questo meccanismo può ridurre sensibilmente il numero di richieste effettuate verso piattaforme pubblicitarie e sistemi di tracciamento.

1.7.8.2 Quali domini vengono generalmente filtrati?

Ogni provider utilizza criteri differenti, ma le categorie più comuni comprendono:

• piattaforme pubblicitarie;
• domini dedicati al tracciamento degli utenti;
• servizi di analytics di terze parti;
• pixel di monitoraggio;
• script utilizzati esclusivamente per finalità pubblicitarie.

Alcuni resolver consentono inoltre di personalizzare completamente le liste di blocco, permettendo di aggiungere o rimuovere categorie specifiche in base alle proprie esigenze.

1.7.8.3 Quali vantaggi offre un resolver di questo tipo?

Il principale vantaggio consiste nella centralizzazione della gestione.

Configurando il resolver direttamente sul router, il filtraggio viene applicato automaticamente a tutti i dispositivi collegati alla rete.

Non è necessario installare estensioni nel browser, software aggiuntivi o configurazioni differenti per computer, smartphone, tablet e Smart TV.

Un ulteriore beneficio riguarda la riduzione del numero di connessioni verso servizi esterni utilizzati esclusivamente per finalità pubblicitarie o di profilazione.

In alcuni casi questo può contribuire anche a diminuire il traffico complessivo generato durante il caricamento delle pagine.

1.7.8.4 Resolver DNS e ad blocker non sono la stessa cosa

È importante non confondere un resolver DNS con un’estensione per il blocco della pubblicità installata nel browser.

Un ad blocker agisce direttamente sul contenuto della pagina web. Può modificare il codice HTML, rimuovere elementi grafici, impedire l’esecuzione di determinati script e adattare il layout del sito.

Il resolver DNS, invece, non vede il contenuto della pagina.

Il suo compito termina nel momento in cui decide se risolvere oppure no un determinato nome di dominio.

Di conseguenza alcuni spazi pubblicitari potrebbero semplicemente rimanere vuoti oppure alcuni elementi della pagina potrebbero continuare a essere visualizzati pur non riuscendo a caricare i contenuti associati.

I due strumenti non sono concorrenti, ma complementari.

1.7.8.5 Ci sono controindicazioni?

Sì, ed è opportuno conoscerle.

Molti siti moderni utilizzano domini condivisi che ospitano contemporaneamente contenuti essenziali e servizi di monitoraggio.

Se uno di questi domini viene bloccato, alcune funzionalità potrebbero non essere più disponibili.

Tra gli esempi più comuni si trovano:

• video incorporati che non vengono caricati;
• sistemi di autenticazione tramite provider esterni;
• chat di assistenza online;
• moduli di contatto;
• strumenti statistici integrati nei siti.

Per questo motivo i resolver più evoluti permettono normalmente di creare whitelist personalizzate oppure di selezionare il livello di filtraggio desiderato.

1.7.8.6 Quando scegliere un resolver con blocco della pubblicità

Questa categoria di resolver rappresenta una soluzione particolarmente interessante per chi desidera ridurre il numero di richieste verso domini pubblicitari senza installare software su ogni dispositivo.

Può risultare utile nelle reti domestiche, nei piccoli uffici e in tutti gli ambienti nei quali si preferisce gestire il filtraggio in un unico punto della rete.

Tra i servizi più conosciuti che offrono questo tipo di funzionalità rientrano AdGuard DNS, NextDNS, Control D e altri resolver che consentono di personalizzare le liste di blocco e il comportamento del servizio.

Accanto ai resolver dedicati alla pubblicità esiste un’altra categoria molto utilizzata nelle abitazioni e nelle scuole: i resolver progettati specificamente per il controllo parentale, che consentono di limitare l’accesso a determinate categorie di contenuti direttamente a livello DNS.

1.7.9 Resolver per il controllo parentale

Non tutti i resolver pubblici hanno come obiettivo principale la velocità, la privacy o la sicurezza. Alcuni servizi sono stati progettati specificamente per aiutare famiglie, scuole e organizzazioni a limitare l’accesso a determinate categorie di contenuti attraverso il sistema DNS.

Questa categoria prende il nome di resolver per il controllo parentale e rappresenta una soluzione semplice da implementare, poiché non richiede l’installazione di software su ogni singolo dispositivo.

È sufficiente configurare il resolver sul router oppure sui dispositivi interessati affinché tutte le richieste DNS vengano sottoposte alle stesse regole di filtraggio.

1.7.9.1 Un approccio diverso rispetto ai software di parental control

I software dedicati al controllo parentale possono offrire numerose funzionalità: limiti di utilizzo, controllo degli orari, monitoraggio delle applicazioni, report sull’attività e molto altro.

Un resolver DNS opera invece in modo molto più semplice.

Il suo compito consiste esclusivamente nel decidere se un dominio possa essere risolto oppure debba essere bloccato.

Non monitora l’attività dell’utente, non registra il tempo trascorso sui siti e non controlla ciò che accade dopo che la connessione è stata autorizzata.

Per questo motivo viene spesso utilizzato come primo livello di protezione, da affiancare eventualmente ad altri strumenti dedicati al controllo parentale.

1.7.9.2 Il filtraggio avviene per categorie

I resolver di questa categoria mantengono database nei quali milioni di domini vengono classificati in base alla tipologia di contenuto.

Tra le categorie più comuni si trovano:

• contenuti per adulti;
• siti dedicati al gioco d’azzardo;
• violenza esplicita;
• malware e phishing;
• proxy e servizi utilizzati per aggirare i filtri;
• altre categorie configurabili dal provider.

Quando un dispositivo tenta di raggiungere uno di questi domini, il resolver può impedirne la risoluzione, rendendo di fatto impossibile stabilire la connessione.

1.7.9.3 Una configurazione valida per tutta la rete

Uno dei maggiori vantaggi dei resolver per il controllo parentale consiste nella possibilità di applicare le stesse regole a tutti i dispositivi collegati alla rete.

Configurando il DNS direttamente sul router, computer, smartphone, tablet, Smart TV, console e dispositivi IoT utilizzeranno automaticamente il medesimo sistema di filtraggio.

Questo approccio semplifica notevolmente la gestione della rete domestica, evitando di dover configurare ogni dispositivo singolarmente.

1.7.9.4 Il controllo parentale non è perfetto

Come qualsiasi sistema di classificazione automatica, anche il filtraggio DNS presenta alcuni limiti.

Nuovi siti web vengono pubblicati ogni giorno e la loro classificazione richiede tempo.

Può quindi accadere che un dominio non ancora catalogato rimanga temporaneamente accessibile oppure che un sito perfettamente legittimo venga classificato in modo errato.

I provider più evoluti aggiornano continuamente i propri database proprio per ridurre al minimo queste situazioni.

1.7.9.5 Può essere aggirato?

Sì, almeno in alcuni casi.

Se un utente dispone dei privilegi necessari per modificare manualmente la configurazione DNS del dispositivo, potrebbe impostare un resolver differente e aggirare il filtraggio.

Per evitare questa possibilità è consigliabile applicare le restrizioni direttamente sul router oppure utilizzare firewall e sistemi di gestione della rete che impediscano l’utilizzo di resolver alternativi.

Nelle reti scolastiche e aziendali questo tipo di configurazione rappresenta una pratica piuttosto comune.

1.7.9.6 Quando scegliere questa categoria di resolver

I resolver dedicati al controllo parentale risultano particolarmente indicati nelle reti domestiche con bambini o ragazzi, negli istituti scolastici, nelle biblioteche e in tutti gli ambienti in cui si desidera limitare l’accesso a specifiche categorie di contenuti senza ricorrere a soluzioni software più complesse.

Tra i servizi più conosciuti rientrano CleanBrowsing, alcuni profili di AdGuard DNS, NextDNS e altri provider che consentono di personalizzare il livello di filtraggio.

1.8 DNS tradizionale, DNS-over-HTTPS, DNS-over-TLS e DNS-over-QUIC

Per molti anni il protocollo DNS è rimasto praticamente invariato. Ogni richiesta di risoluzione veniva inviata in chiaro attraverso la rete e questo comportamento è rimasto lo standard per decenni.

Con l’aumento dell’attenzione verso la sicurezza e la tutela della privacy sono però nati nuovi protocolli che permettono di cifrare le richieste DNS durante il tragitto tra il dispositivo e il resolver.

Oggi, quando si confrontano i principali DNS pubblici, è sempre più frequente trovare riferimenti a sigle come DoH, DoT e DoQ. Comprendere cosa rappresentano e quali differenze esistono permette di scegliere il resolver più adatto alle proprie esigenze.

1.8.1 DNS tradizionale

Il protocollo DNS tradizionale utilizza normalmente la porta 53 e trasmette le richieste senza applicare alcun meccanismo di cifratura.

Questo significa che il contenuto delle query DNS può essere osservato lungo il percorso di rete da soggetti che hanno la possibilità di analizzare il traffico.

È importante precisare che questo comportamento non rende automaticamente insicura la navigazione. Per molti anni Internet ha funzionato proprio in questo modo.

Tuttavia, in reti condivise o non completamente affidabili, la mancanza di cifratura può rappresentare un limite, soprattutto quando si desidera impedire che le richieste DNS vengano intercettate o modificate durante il trasporto.

Nonostante la diffusione dei protocolli moderni, il DNS tradizionale continua ancora oggi a essere ampiamente utilizzato per la sua semplicità, compatibilità e ridotto overhead.

1.8.2 DNS-over-HTTPS (DoH)

DNS-over-HTTPS, abbreviato in DoH, incapsula le richieste DNS all’interno del protocollo HTTPS.

Dal punto di vista della rete, le query DNS vengono trasmesse come normale traffico HTTPS cifrato, utilizzando generalmente la porta 443, la stessa impiegata dalla maggior parte dei siti web moderni.

Questo approccio offre diversi vantaggi.

• Le richieste DNS vengono cifrate durante il trasporto.
• Il traffico DNS utilizza la stessa porta del traffico HTTPS.
• È supportato dalla maggior parte dei browser moderni.
• Può risultare particolarmente utile nelle reti pubbliche o condivise.

Proprio perché utilizza HTTPS, DoH risulta spesso difficile da distinguere dal normale traffico Web.

Questa caratteristica rappresenta un vantaggio per la privacy, ma può complicare alcune attività di monitoraggio nelle reti aziendali dove si desidera controllare separatamente il traffico DNS.

1.8.3 DNS-over-TLS (DoT)

DNS-over-TLS, abbreviato in DoT, adotta un approccio differente.

Anche in questo caso le richieste DNS vengono cifrate, ma utilizzano un canale TLS dedicato anziché essere incapsulate nel traffico HTTPS.

Generalmente il protocollo utilizza la porta 853.

Dal punto di vista funzionale DoT offre un livello di protezione analogo a quello di DoH, ma mantiene il traffico DNS separato dal normale traffico Web.

Questa caratteristica può risultare particolarmente apprezzata negli ambienti aziendali e nelle reti gestite da amministratori di sistema che desiderano identificare facilmente il traffico DNS.

1.8.4 DNS-over-QUIC (DoQ)

DNS-over-QUIC, abbreviato in DoQ, rappresenta l’evoluzione più recente tra i protocolli dedicati al trasporto delle richieste DNS.

Si basa sul protocollo QUIC, sviluppato per migliorare efficienza, tempi di connessione e gestione della latenza rispetto ai protocolli tradizionali basati su TCP.

DoQ utilizza normalmente la porta 853, come DoT, ma sfrutta il protocollo UDP insieme alle caratteristiche offerte da QUIC.

Tra i principali vantaggi si possono citare:

• riduzione dei tempi necessari per instaurare la connessione;
• migliore gestione delle perdite di pacchetti;
• maggiore efficienza nelle connessioni ripetute;
• richieste DNS cifrate.

Si tratta comunque di un protocollo ancora meno diffuso rispetto a DoH e DoT, anche se il numero di provider che lo supportano è in costante crescita.

1.8.5 Quale protocollo è migliore?

Non esiste una risposta valida in ogni situazione.

Dal punto di vista della sicurezza, sia DoH sia DoT e DoQ permettono di cifrare le richieste DNS durante il trasporto.

Le principali differenze riguardano soprattutto il modo in cui il traffico viene gestito dalla rete, la compatibilità con i dispositivi e gli scenari di utilizzo.

In linea generale:

• DoH è molto diffuso nei browser e nei sistemi operativi moderni.
• DoT mantiene il traffico DNS separato dal traffico Web.
• DoQ introduce ottimizzazioni pensate per ridurre la latenza e migliorare l’efficienza delle connessioni.

La scelta dipende quindi sia dal supporto offerto dal resolver sia dalle caratteristiche della rete nella quale verrà utilizzato.

1.8.6 Il supporto ai protocolli rappresenta ormai un criterio di scelta

Fino a pochi anni fa era sufficiente verificare gli indirizzi IPv4 e IPv6 messi a disposizione dal provider.

Oggi, invece, il supporto ai protocolli moderni è diventato uno degli elementi più importanti durante il confronto tra i diversi servizi DNS.

Molti provider mettono a disposizione contemporaneamente DNS tradizionale, DoH, DoT e DoQ, lasciando all’utente la possibilità di scegliere il protocollo più adatto al proprio ambiente.

1.9 Confronto tra i principali DNS pubblici

Dopo aver analizzato il funzionamento del sistema DNS, le caratteristiche dei resolver pubblici e le principali funzionalità offerte dai vari provider, è il momento di confrontare concretamente i servizi oggi più diffusi.

Negli ultimi anni il numero di resolver pubblici è aumentato sensibilmente. Alcuni sono gestiti da grandi aziende del settore tecnologico, altri da organizzazioni indipendenti, fondazioni o società specializzate nella sicurezza informatica.

Nonostante tutti svolgano lo stesso compito di base, le differenze possono essere significative.

Un provider può privilegiare la privacy, un altro la sicurezza, un altro ancora la possibilità di personalizzare il filtraggio o di bloccare pubblicità e tracker.

Per questo motivo non avrebbe molto senso confrontare esclusivamente gli indirizzi IP o la velocità di risposta. È più utile valutare ogni resolver considerando l’insieme delle funzionalità che mette a disposizione.

1.9.1 I criteri utilizzati per il confronto

Per ciascun resolver verranno riportate informazioni relative a:

• gestore del servizio;
• indirizzi IPv4 e IPv6;
• supporto a DNS-over-HTTPS (DoH);
• supporto a DNS-over-TLS (DoT);
• supporto a DNS-over-QUIC (DoQ), se disponibile;
• presenza di filtri contro malware e phishing;
• funzioni di blocco della pubblicità e dei tracker;
• controllo parentale;
• politiche sulla privacy;
• eventuali funzionalità aggiuntive.

In questo modo sarà possibile confrontare rapidamente le caratteristiche dei vari servizi senza dover consultare separatamente la documentazione ufficiale di ogni provider.

1.9.2 Le prestazioni non raccontano tutta la storia

Molti confronti disponibili online ordinano i resolver esclusivamente in base alla velocità di risposta.

Sebbene la latenza rappresenti un parametro importante, non dovrebbe mai essere l’unico elemento preso in considerazione.

Un resolver leggermente più lento potrebbe offrire una migliore tutela della privacy, sistemi di sicurezza più evoluti oppure funzionalità di filtraggio assenti in altri servizi.

Allo stesso modo, un provider estremamente rapido potrebbe limitarsi alla semplice risoluzione dei nomi, senza offrire alcun servizio aggiuntivo.

Per questo motivo la scelta finale dovrebbe sempre tenere conto dell’utilizzo previsto e non esclusivamente dei risultati ottenuti durante un benchmark.

1.9.3 Le caratteristiche dei provider possono cambiare nel tempo

I servizi DNS pubblici sono in continua evoluzione.

Nuovi protocolli vengono introdotti, le infrastrutture vengono ampliate, vengono aggiunti sistemi di filtraggio oppure vengono modificate le politiche relative alla privacy e alla gestione dei dati.

Anche gli indirizzi dedicati a specifici profili di sicurezza o controllo parentale possono essere aggiornati nel corso del tempo.

Per questo motivo è sempre consigliabile verificare periodicamente la documentazione ufficiale del provider, soprattutto prima di implementare il servizio in ambienti aziendali o professionali.

1.9.4 I provider analizzati nella guida

Tra questi rientrano:

• Cloudflare DNS;
• Google Public DNS;
• Quad9;
• AdGuard DNS;
• NextDNS;
• Mullvad DNS;
• OpenDNS;
• CleanBrowsing;
• Control D;
• Comodo Secure DNS;
• DNS.WATCH;
• UncensoredDNS;
• Verisign Public DNS;
• Yandex DNS;
• SafeDNS;
• OpenNIC;
• altri resolver pubblici di particolare interesse.

Per ciascun servizio verranno evidenziati punti di forza, eventuali limitazioni, funzionalità disponibili e scenari di utilizzo consigliati.

1.10 Quale DNS scegliere?

Dopo aver analizzato le caratteristiche dei resolver pubblici, è naturale chiedersi quale sia la scelta migliore.

La risposta dipende però da un aspetto fondamentale: non esiste un DNS pubblico adatto a qualsiasi situazione.

Ogni provider nasce con obiettivi differenti. Alcuni privilegiano la privacy, altri la sicurezza, altri ancora mettono a disposizione strumenti avanzati di personalizzazione oppure servizi dedicati al blocco della pubblicità e dei contenuti indesiderati.

Per questo motivo scegliere un resolver significa prima di tutto individuare quali siano le proprie esigenze.

Una rete domestica, uno studio professionale, un’azienda o un dispositivo utilizzato principalmente per il gaming possono avere necessità completamente diverse.

1.10.1 Non lasciarsi guidare soltanto dalla velocità

Molti confronti disponibili online classificano i DNS pubblici esclusivamente in base alla latenza.

Si tratta certamente di un parametro importante, ma non dovrebbe rappresentare l’unico criterio di scelta.

Una differenza di pochi millisecondi nella risposta DNS risulta spesso impercettibile durante la normale navigazione, mentre caratteristiche come la sicurezza, la privacy, la disponibilità del servizio o il supporto ai protocolli moderni possono avere un impatto molto più significativo nell’utilizzo quotidiano.

È quindi consigliabile valutare il resolver nel suo complesso, considerando l’equilibrio tra tutte le funzionalità offerte.

1.10.2 Ogni esigenza ha il proprio resolver

I principali provider si sono progressivamente specializzati in ambiti differenti.

Alcuni puntano sulla massima trasparenza nella gestione dei dati personali.

Altri investono principalmente nella protezione contro malware e phishing.

Altri ancora permettono di bloccare automaticamente pubblicità, sistemi di tracciamento oppure categorie specifiche di contenuti.

Esistono inoltre servizi particolarmente adatti ad ambienti aziendali, nei quali risultano importanti la continuità operativa, la possibilità di creare politiche personalizzate e l’integrazione con altre soluzioni di sicurezza.

La scelta dovrebbe quindi partire sempre dall’utilizzo previsto e non dalla popolarità del provider.

1.10.3 Un solo resolver oppure più servizi?

Non è obbligatorio utilizzare sempre lo stesso resolver in qualsiasi situazione.

Molti utenti preferiscono configurare un determinato servizio sulla rete domestica e utilizzare un resolver differente sui dispositivi mobili oppure nei computer destinati all’attività lavorativa.

Allo stesso modo alcune organizzazioni utilizzano resolver differenti per ambienti di produzione, reti guest e dispositivi dedicati alla navigazione pubblica.

Questa flessibilità permette di adottare configurazioni specifiche in base alle reali esigenze di ogni contesto.

1.10.4 Anche il supporto ai protocolli è importante

Prima di scegliere un provider è opportuno verificare anche il supporto ai protocolli moderni.

Non tutti i resolver mettono infatti a disposizione DNS-over-HTTPS (DoH), DNS-over-TLS (DoT) e DNS-over-QUIC (DoQ).

Se il dispositivo o la rete prevedono l’utilizzo di questi protocolli, è consigliabile verificare preventivamente la compatibilità del servizio.

Lo stesso vale per il supporto a IPv6, ai profili dedicati al controllo parentale e alle eventuali funzionalità di personalizzazione.

1.10.5 La scelta migliore dipende sempre dal contesto

Più che individuare un vincitore assoluto, è preferibile scegliere il resolver che risponde meglio alle proprie necessità.

1.10.6 Per chi cerca la massima privacy

Per alcuni utenti la caratteristica più importante di un resolver DNS non è la velocità né il numero di funzionalità disponibili, ma il modo in cui vengono gestite le richieste DNS e le informazioni associate alla navigazione.

In questi casi è consigliabile orientarsi verso provider che pongono particolare attenzione alla tutela della privacy, adottando politiche trasparenti sulla raccolta dei dati e supportando i protocolli DNS cifrati.

Naturalmente è bene ricordare che nessun resolver può rendere anonima la navigazione Internet. Anche il servizio più attento alla privacy continuerà comunque a ricevere le richieste DNS necessarie per tradurre i nomi di dominio negli indirizzi IP corrispondenti.

La differenza riguarda soprattutto il modo in cui queste informazioni vengono gestite.

1.10.6.1 Quali caratteristiche valutare?

Quando la privacy rappresenta il criterio principale di scelta, è opportuno considerare diversi aspetti oltre alla semplice reputazione del provider.

Tra gli elementi più importanti si possono citare:

• politica relativa alla conservazione dei log;
• trasparenza nella documentazione tecnica;
• supporto a DNS-over-HTTPS (DoH), DNS-over-TLS (DoT) e DNS-over-QUIC (DoQ);
• eventuali audit indipendenti sul servizio;
• giurisdizione nella quale opera il provider;
• chiarezza dell’informativa sul trattamento dei dati.

Questi elementi permettono di valutare il servizio in maniera molto più completa rispetto al semplice confronto tra gli indirizzi IP disponibili.

1.10.6.2 Privacy e funzionalità possono convivere

Fino a qualche anno fa molti resolver orientati alla privacy offrivano un numero limitato di funzionalità aggiuntive.

Oggi la situazione è cambiata.

Diversi provider consentono infatti di utilizzare protocolli DNS cifrati, applicare filtri personalizzati, creare whitelist e blacklist oppure consultare statistiche aggregate senza rinunciare a una gestione trasparente delle richieste DNS.

Naturalmente ogni servizio adotta un approccio differente ed è sempre opportuno consultare la documentazione ufficiale per comprendere quali dati vengano effettivamente trattati.

1.10.6.3 Alcuni resolver particolarmente orientati alla privacy

Tra i servizi maggiormente apprezzati da chi attribuisce grande importanza alla riservatezza dei dati si possono citare, ad esempio, Mullvad DNS, alcuni profili di NextDNS, DNS.WATCH e UncensoredDNS, ciascuno con caratteristiche e politiche differenti.

Anche Cloudflare DNS dedica particolare attenzione a questo aspetto, pubblicando informazioni dettagliate sulle modalità di gestione delle richieste e supportando i principali protocolli DNS cifrati.

1.10.6.4 Quando rappresenta la scelta più indicata?

Un resolver orientato alla privacy può rappresentare una buona scelta per chi utilizza frequentemente reti Wi-Fi pubbliche, per professionisti che desiderano limitare la quantità di informazioni trattate dal provider DNS oppure per utenti che preferiscono affidarsi a servizi particolarmente trasparenti nella gestione dei dati.

Naturalmente la privacy non è sempre il criterio principale.

In molti casi l’esigenza più importante consiste invece nel ridurre il rischio di raggiungere siti malevoli o campagne di phishing. In questo scenario diventano particolarmente interessanti i resolver che privilegiano la sicurezza della navigazione.

1.10.7 Per una maggiore sicurezza

Chi considera il DNS un semplice strumento per tradurre i nomi di dominio negli indirizzi IP tende spesso a sottovalutarne il contributo in termini di sicurezza.

In realtà molti resolver pubblici sono progettati proprio con l’obiettivo di ridurre il rischio che un dispositivo raggiunga domini utilizzati per distribuire malware, campagne di phishing, botnet o altre minacce informatiche.

Pur non sostituendo un antivirus o un firewall, questi servizi possono rappresentare un efficace primo livello di difesa, intervenendo prima ancora che venga stabilita la connessione con il server remoto.

1.10.7.1 Perché scegliere un resolver orientato alla sicurezza?

Ogni volta che un browser, un client di posta o qualsiasi altra applicazione tenta di raggiungere un dominio, la richiesta passa dal resolver DNS.

Se il provider dispone di sistemi di classificazione delle minacce, può verificare se il dominio richiesto è stato identificato come pericoloso.

In caso positivo, la risoluzione può essere bloccata, impedendo al dispositivo di conoscere l’indirizzo IP del server.

Questo meccanismo consente di interrompere molte connessioni indesiderate ancora prima che venga instaurato qualsiasi scambio di dati.

1.10.7.2 Una protezione valida per tutti i dispositivi

Uno dei principali vantaggi di questi resolver consiste nella loro indipendenza dal sistema operativo.

Una volta configurato il servizio sul router, la protezione viene applicata automaticamente a tutti i dispositivi collegati alla rete.

Computer Windows, sistemi Linux, macOS, smartphone Android, iPhone, Smart TV, console di gioco e dispositivi IoT possono così beneficiare dello stesso livello di controllo senza richiedere software specifici.

Questa caratteristica risulta particolarmente utile quando nella rete sono presenti dispositivi che non permettono l’installazione di soluzioni di sicurezza tradizionali.

1.10.7.3 La qualità degli aggiornamenti è fondamentale

La reale efficacia di un resolver orientato alla sicurezza dipende in larga misura dalla qualità dei database utilizzati per classificare i domini.

I provider più affidabili aggiornano continuamente queste informazioni attraverso feed di threat intelligence, analisi automatiche, attività di ricerca interna e collaborazioni con organizzazioni specializzate nella cybersecurity.

Più rapido è il processo di aggiornamento, maggiore sarà la probabilità di intercettare tempestivamente nuovi domini utilizzati per attività malevole.

1.10.7.4 Non tutte le minacce possono essere bloccate

È importante mantenere aspettative realistiche.

Un resolver DNS può impedire la risoluzione di domini già classificati come pericolosi, ma non è in grado di analizzare il contenuto di una pagina web, verificare il comportamento di un’applicazione o individuare vulnerabilità presenti sul dispositivo.

Inoltre un dominio appena registrato oppure compromesso da poche ore potrebbe non essere ancora presente nei database del provider.

Per questo motivo il DNS deve essere considerato parte di una strategia di sicurezza più ampia, nella quale continuano a svolgere un ruolo fondamentale gli aggiornamenti software, gli antivirus, i firewall e l’autenticazione a più fattori.

1.10.7.5 Quali resolver prendere in considerazione?

Tra i servizi maggiormente orientati alla sicurezza si distinguono Quad9, che basa gran parte del proprio funzionamento sul blocco preventivo dei domini malevoli, e alcuni profili offerti da CleanBrowsing, NextDNS, Control D e AdGuard DNS, che integrano diversi livelli di filtraggio e protezione.

Le caratteristiche di ciascun provider verranno analizzate dettagliatamente nella sezione dedicata al confronto dei singoli resolver.

1.10.7.6 Quando rappresentano la scelta migliore?

Questa categoria di DNS pubblici è particolarmente indicata per utenti domestici, professionisti e piccole imprese che desiderano aumentare il livello di protezione della rete senza introdurre infrastrutture di sicurezza più complesse.

Pur non sostituendo gli altri strumenti di difesa, questi resolver possono contribuire a ridurre l’esposizione verso alcune delle minacce più comuni presenti su Internet.

Per molti utenti, però, la sicurezza non è l’unico obiettivo. Una delle richieste più frequenti riguarda infatti la possibilità di ridurre pubblicità invasive e sistemi di tracciamento direttamente a livello DNS. In questi casi risultano particolarmente interessanti i resolver specializzati nel blocco della pubblicità e dei tracker.

1.10.8 Per bloccare pubblicità e tracker

Per molti utenti uno dei principali motivi che spinge a cambiare resolver DNS non riguarda la velocità o la sicurezza, ma la possibilità di ridurre la quantità di pubblicità e di sistemi di tracciamento durante la navigazione.

Negli ultimi anni sono infatti nati numerosi servizi che integrano liste di blocco dedicate ai domini utilizzati per distribuire banner pubblicitari, raccogliere statistiche o tracciare il comportamento degli utenti.

Si tratta di una soluzione semplice da configurare e che può essere applicata contemporaneamente a tutti i dispositivi presenti nella rete.

1.10.8.1 Quando conviene scegliere questa tipologia di resolver?

Un resolver con blocco della pubblicità può risultare particolarmente interessante quando si desidera ridurre il numero di connessioni verso domini esterni dedicati esclusivamente alla distribuzione di contenuti pubblicitari o al tracciamento.

Configurando il servizio direttamente sul router, il filtraggio viene applicato automaticamente a computer, smartphone, tablet, Smart TV, console di gioco e a qualsiasi altro dispositivo collegato alla rete.

Questo evita di dover installare estensioni o applicazioni dedicate su ogni singolo dispositivo.

1.10.8.2 Ridurre il tracciamento durante la navigazione

Molti siti Internet utilizzano servizi di terze parti per raccogliere informazioni statistiche, misurare le visite oppure creare profili pubblicitari.

Un resolver con funzioni di filtraggio può impedire la risoluzione di numerosi domini utilizzati esclusivamente per queste finalità.

Di conseguenza il browser non riesce a stabilire la connessione con tali server e una parte delle attività di tracciamento viene automaticamente limitata.

È comunque importante ricordare che il DNS rappresenta soltanto uno dei livelli coinvolti nella tutela della privacy online.

1.10.8.3 Non elimina tutta la pubblicità

Un errore piuttosto comune consiste nel pensare che un resolver DNS possa sostituire completamente un’estensione per il blocco della pubblicità.

In realtà i due strumenti operano in modo completamente diverso.

Il resolver può impedire la connessione verso determinati domini, ma non è in grado di modificare il codice HTML di una pagina, rimuovere elementi grafici oppure intervenire sul layout del sito.

Per questo motivo alcuni banner potrebbero continuare a essere visualizzati se vengono distribuiti direttamente dal dominio principale del sito visitato.

Allo stesso modo potrebbero rimanere aree vuote nei punti in cui il browser non è riuscito a caricare le risorse bloccate.

1.10.8.4 Possibili effetti collaterali

Il blocco di domini pubblicitari può talvolta avere conseguenze inattese.

Molti servizi online utilizzano infatti infrastrutture condivise nelle quali convivono componenti pubblicitarie e funzionalità essenziali.

In alcuni casi potrebbero quindi verificarsi:

• video incorporati che non vengono caricati;
• chat di assistenza non disponibili;
• strumenti di autenticazione che funzionano solo parzialmente;
• funzionalità dei siti che richiedono domini presenti nelle liste di blocco.

I resolver più evoluti consentono normalmente di creare whitelist personalizzate oppure di modificare il livello di filtraggio proprio per gestire queste situazioni.

1.10.8.5 Quali provider sono maggiormente indicati?

Tra i servizi più apprezzati per il blocco della pubblicità e dei tracker si possono citare AdGuard DNS, NextDNS e Control D, tutti caratterizzati da un elevato livello di personalizzazione delle liste di filtraggio.

Anche altri provider mettono a disposizione profili dedicati oppure consentono di attivare il blocco di specifiche categorie di domini.

Le differenze tra i vari servizi verranno analizzate dettagliatamente nella sezione dedicata al confronto dei singoli resolver.

1.10.8.6 Quando rappresentano la scelta migliore?

Questa categoria di DNS pubblici è particolarmente indicata per chi desidera ridurre il numero di richieste verso piattaforme pubblicitarie senza intervenire manualmente su ogni dispositivo della rete.

Si tratta di una soluzione semplice, efficace e facilmente centralizzabile, soprattutto quando il resolver viene configurato direttamente sul router.

In alcuni contesti, però, l’obiettivo principale non è la pubblicità ma la protezione dei minori durante la navigazione. In questi casi risultano generalmente più adatti i resolver che integrano funzionalità dedicate al controllo parentale.

1.10.9 Per famiglie e minori

Quando il DNS viene configurato all’interno di una rete domestica, le esigenze possono essere molto diverse rispetto a quelle di un singolo utente. In presenza di bambini o ragazzi, infatti, uno degli obiettivi principali consiste nel limitare l’accesso a contenuti non adatti alla loro età senza dover configurare manualmente ogni dispositivo.

In questo scenario i resolver pubblici che integrano funzionalità di controllo parentale rappresentano una soluzione semplice ed efficace.

Una sola configurazione sul router può infatti estendere automaticamente le stesse regole di navigazione a tutti i dispositivi collegati alla rete.

1.10.9.1 Protezione centralizzata per tutta la casa

Uno dei principali vantaggi dei resolver dedicati alle famiglie consiste nella possibilità di gestire il filtraggio da un unico punto.

Configurando il DNS direttamente sul router, computer, smartphone, tablet, Smart TV, console di gioco e altri dispositivi utilizzeranno automaticamente il medesimo servizio.

Questo evita di installare software differenti su ogni dispositivo e semplifica notevolmente la gestione della rete domestica.

1.10.9.2 Quali contenuti vengono normalmente filtrati?

I provider dedicati al controllo parentale mantengono database costantemente aggiornati nei quali milioni di domini vengono classificati per categoria.

Tra quelle più comuni si trovano:

• contenuti per adulti;
• siti dedicati al gioco d’azzardo;
• domini utilizzati per malware e phishing;
• contenuti violenti o espliciti;
• proxy e servizi utilizzati per aggirare i filtri.

Alcuni provider consentono inoltre di creare whitelist e blacklist personalizzate oppure di scegliere livelli di protezione differenti in base all’età degli utilizzatori.

1.10.9.3 Non è necessario modificare ogni dispositivo

Una delle caratteristiche più apprezzate di questa categoria di resolver è la semplicità di implementazione.

Una volta configurato il DNS sul router, qualsiasi nuovo dispositivo che si collega alla rete utilizza automaticamente le stesse regole di filtraggio.

Questo rappresenta un vantaggio soprattutto nelle abitazioni dove convivono numerosi smartphone, tablet, notebook, console e dispositivi intelligenti.

1.10.9.4 Non sostituisce il dialogo e l’educazione digitale

Per quanto evoluti possano essere, i resolver DNS non devono essere considerati uno strumento educativo.

Il loro compito consiste esclusivamente nel limitare l’accesso a determinati domini.

Non possono insegnare un utilizzo consapevole di Internet, né sostituire il dialogo tra genitori e figli oppure le attività di educazione digitale svolte in ambito scolastico.

Per questo motivo il controllo parentale dovrebbe sempre essere visto come uno strumento di supporto e non come l’unica misura adottata per proteggere i minori durante la navigazione.

1.10.9.5 Possono verificarsi errori di classificazione

Come tutti i sistemi basati su database, anche i resolver dedicati alle famiglie possono commettere errori.

Un sito perfettamente legittimo potrebbe essere classificato nella categoria sbagliata e risultare temporaneamente irraggiungibile.

Al contrario, un dominio appena pubblicato potrebbe non essere ancora stato inserito nelle liste di filtraggio.

I provider più affidabili aggiornano continuamente i propri database e mettono a disposizione strumenti per segnalare eventuali errori di classificazione.

1.10.9.6 Quali resolver risultano più indicati?

Tra i servizi maggiormente orientati alle famiglie si possono citare CleanBrowsing, AdGuard DNS, NextDNS e Control D, tutti caratterizzati dalla presenza di profili dedicati al controllo parentale oppure da sistemi di filtraggio altamente personalizzabili.

La scelta dipenderà principalmente dal livello di configurazione desiderato e dalle funzionalità aggiuntive che si intendono utilizzare.

1.10.9.7 Quando rappresentano la scelta migliore?

I resolver dedicati alle famiglie sono particolarmente indicati quando si desidera applicare regole di navigazione uniformi a tutta la rete domestica senza introdurre infrastrutture complesse.

Consentono di aumentare il livello di protezione dei minori con una configurazione relativamente semplice e facilmente gestibile anche nel tempo.

Esiste però uno scenario completamente diverso nel quale le priorità cambiano radicalmente: il gaming online. In questo caso gli utenti tendono a privilegiare soprattutto latenza, stabilità e continuità del servizio piuttosto che le funzionalità di filtraggio.

1.10.10 Per gaming e bassa latenza

Tra le convinzioni più diffuse nel mondo del gaming c’è quella secondo cui cambiare DNS possa ridurre il ping e migliorare sensibilmente le prestazioni durante le partite online.

In realtà si tratta di un argomento sul quale circolano numerose informazioni imprecise.

Il resolver DNS interviene esclusivamente nella fase iniziale della connessione, cioè quando il dispositivo deve individuare l’indirizzo IP del server di gioco. Una volta stabilita la connessione, il DNS non partecipa più allo scambio dei dati tra il client e il server.

Di conseguenza, cambiare DNS non riduce direttamente il ping durante una partita online.

1.10.10.1 Perché molti giocatori cambiano comunque DNS?

Pur non influenzando direttamente la latenza durante il gioco, un resolver efficiente può contribuire a rendere più rapide alcune operazioni preliminari.

Ad esempio:

• avvio dei launcher dei giochi;
• connessione ai servizi online;
• accesso agli store digitali;
• download di aggiornamenti;
• autenticazione degli account.

In questi casi la risoluzione DNS rappresenta il primo passaggio necessario per raggiungere i server del servizio utilizzato.

Una risposta più rapida può quindi ridurre leggermente il tempo necessario ad avviare queste operazioni, anche se la differenza è generalmente limitata a pochi millisecondi.

1.10.10.2 Da cosa dipende realmente il ping?

La latenza durante una partita online dipende principalmente da fattori completamente diversi rispetto al resolver DNS.

Tra i più importanti si possono citare:

• la qualità della connessione Internet;
• la distanza geografica dal server di gioco;
• il percorso seguito dai pacchetti sulla rete;
• la qualità del peering tra gli operatori;
• l’eventuale congestione della rete;
• le prestazioni del server di gioco.

Una volta risolto il nome del dominio, il traffico di gioco viene infatti inviato direttamente al server remoto senza coinvolgere ulteriormente il resolver DNS.

1.10.10.3 La stabilità è più importante della velocità

Per chi gioca online, la continuità del servizio rappresenta spesso un elemento più importante della differenza di pochi millisecondi nella risoluzione DNS.

Un resolver stabile, con un’infrastruttura distribuita e un’elevata disponibilità, riduce il rischio di problemi durante la fase di connessione ai servizi online.

Per questo motivo molti giocatori preferiscono affidarsi a provider particolarmente affidabili piuttosto che inseguire benchmark che mostrano differenze spesso impercettibili nell’utilizzo reale.

1.10.10.4 Conviene utilizzare un DNS con filtri?

Dipende dalle proprie esigenze.

Resolver che integrano blocchi contro malware, pubblicità o tracker possono rappresentare un vantaggio durante la normale navigazione, ma non offrono benefici specifici durante una sessione di gioco.

In alcuni casi un filtraggio particolarmente aggressivo potrebbe addirittura interferire con launcher, sistemi di autenticazione o servizi di telemetria utilizzati dai giochi online.

Per questo motivo molti giocatori preferiscono utilizzare resolver neutrali oppure servizi che consentono di personalizzare facilmente le liste di blocco.

1.10.10.5 Quali provider risultano generalmente indicati?

Per il gaming vengono spesso scelti resolver caratterizzati da un’infrastruttura distribuita, tempi di risposta contenuti e un’elevata affidabilità.

Tra quelli maggiormente utilizzati si trovano Cloudflare DNS, Google Public DNS e, in alcuni contesti, Quad9, soprattutto quando si desidera affiancare alle prestazioni anche un livello di protezione contro domini malevoli.

La scelta migliore dipenderà comunque dalla posizione geografica, dal provider Internet utilizzato e dalla qualità del collegamento verso il resolver.

1.10.10.6 Vale la pena cambiare DNS per giocare?

Se l’obiettivo è ridurre il ping durante una partita online, nella maggior parte dei casi il cambio del resolver non produrrà differenze apprezzabili.

Può invece avere senso scegliere un provider affidabile, con una buona distribuzione geografica e tempi di risposta contenuti, così da rendere più efficiente la fase iniziale di connessione ai servizi online.

Chi utilizza il DNS anche in ambito professionale o aziendale, però, ha spesso esigenze completamente differenti. In questi scenari entrano in gioco aspetti come affidabilità, gestione centralizzata, sicurezza avanzata e controllo delle policy di rete.

1.10.11 Per aziende e professionisti

In ambito aziendale la scelta del resolver DNS segue criteri molto diversi rispetto a quelli di una normale rete domestica. Velocità e latenza rimangono elementi importanti, ma vengono spesso superati da esigenze come continuità operativa, sicurezza, gestione centralizzata e controllo dell’infrastruttura.

Un’interruzione del servizio DNS può infatti impedire l’accesso a siti web, piattaforme cloud, servizi di posta elettronica, VPN, applicazioni gestionali e numerose altre risorse indispensabili per l’attività quotidiana.

Per questo motivo il DNS rappresenta uno dei servizi fondamentali di qualsiasi infrastruttura IT.

1.10.11.1 Affidabilità prima di tutto

In un ambiente professionale il resolver deve garantire continuità operativa anche in presenza di guasti o picchi di traffico.

Per questo motivo molte aziende scelgono provider che dispongono di infrastrutture distribuite a livello internazionale, sistemi di ridondanza e monitoraggio continuo del servizio.

La disponibilità dell’infrastruttura assume spesso un’importanza maggiore rispetto a differenze di pochi millisecondi nei tempi di risposta.

1.10.11.2 La sicurezza diventa un requisito

Le reti aziendali sono frequentemente esposte a tentativi di phishing, malware e campagne di compromissione che sfruttano domini appositamente registrati.

L’utilizzo di resolver che integrano sistemi di protezione può contribuire a ridurre il rischio di raggiungere tali domini, bloccando la richiesta DNS prima che venga stabilita la connessione.

Naturalmente il resolver non sostituisce firewall, sistemi EDR, antivirus o altre soluzioni di sicurezza, ma rappresenta un ulteriore livello di difesa facilmente implementabile.

1.10.11.3 Gestione centralizzata delle policy

Molti provider dedicati agli ambienti professionali permettono di definire regole differenti per gruppi di utenti, sedi aziendali o reti specifiche.

In questo modo è possibile applicare criteri di filtraggio personalizzati, creare whitelist e blacklist, limitare l’accesso a determinate categorie di siti oppure generare report sull’attività DNS della rete.

Queste funzionalità risultano particolarmente utili nelle organizzazioni che desiderano mantenere un controllo uniforme sulla navigazione Internet.

1.10.11.4 Attenzione ai DNS interni

Molte aziende utilizzano server DNS interni per gestire domini locali, Active Directory, server applicativi, NAS, stampanti di rete, VPN e numerosi altri servizi non pubblicati su Internet.

In questi casi sostituire indiscriminatamente i resolver aziendali con DNS pubblici potrebbe causare malfunzionamenti anche importanti.

È quindi fondamentale distinguere tra:

• resolver interni utilizzati per i servizi aziendali;
• resolver pubblici utilizzati per la navigazione Internet.

Molte infrastrutture combinano entrambe le soluzioni, demandando ai DNS interni la gestione dei domini locali e inoltrando verso resolver pubblici soltanto le richieste destinate a Internet.

1.10.11.5 Supporto ai protocolli moderni

Anche negli ambienti professionali stanno diventando sempre più diffusi protocolli come DNS-over-TLS (DoT), DNS-over-HTTPS (DoH) e DNS-over-QUIC (DoQ).

Prima di adottarli è però opportuno verificare la compatibilità con firewall, sistemi di monitoraggio e policy di sicurezza già presenti nell’infrastruttura.

In alcune organizzazioni il traffico DNS deve infatti essere analizzato o registrato per esigenze operative o normative.

1.10.11.6 Quali provider possono risultare più adatti?

Non esiste un resolver universalmente migliore per tutte le aziende.

La scelta dipende principalmente dalla dimensione dell’infrastruttura, dalle esigenze di sicurezza e dal livello di personalizzazione richiesto.

Servizi come NextDNS, Control D, Quad9, Cloudflare DNS e altri provider orientati al mondo professionale offrono caratteristiche differenti che possono adattarsi a scenari molto diversi tra loro.

Per le organizzazioni di dimensioni maggiori può inoltre essere opportuno valutare soluzioni DNS gestite internamente oppure servizi commerciali con funzionalità avanzate di amministrazione.

1.10.11.7 La scelta dipende sempre dal contesto

Una rete domestica, uno studio professionale e una grande azienda presentano esigenze completamente differenti.

Per questo motivo non esiste un provider consigliato in assoluto.

L’approccio migliore consiste nell’individuare le funzionalità realmente necessarie e scegliere il resolver che offre il miglior equilibrio tra affidabilità, sicurezza, privacy, prestazioni e possibilità di gestione.

Dopo aver analizzato gli scenari di utilizzo più comuni, è possibile passare al confronto dettagliato dei principali servizi disponibili, esaminando uno per uno i resolver pubblici più utilizzati e mettendone a confronto caratteristiche, protocolli supportati e funzionalità offerte.

1.11 Tabella comparativa dei principali DNS pubblici

Non esiste un DNS pubblico migliore in assoluto. Ogni resolver è stato progettato con obiettivi differenti: alcuni privilegiano la velocità, altri la privacy, altri ancora integrano sistemi di protezione contro malware, phishing, pubblicità o contenuti indesiderati.

La tabella seguente mette a confronto i principali provider utilizzando gli stessi criteri, così da individuare rapidamente il servizio più adatto alle proprie esigenze.

1.11.1 Come leggere la tabella

La presenza di una funzionalità non implica necessariamente che sia attiva per impostazione predefinita. Alcuni provider mettono a disposizione più profili DNS oppure consentono di attivare filtri specifici attraverso un pannello di configurazione.

Anche le politiche relative alla privacy e alla conservazione dei log possono cambiare nel tempo. Prima di adottare un resolver in ambito professionale è quindi consigliabile consultare sempre la documentazione ufficiale del provider.

1.12 Cloudflare DNS

Cloudflare DNS, conosciuto soprattutto attraverso l’indirizzo 1.1.1.1, è uno dei resolver pubblici più diffusi. Il servizio è stato lanciato nel 2018 come alternativa gratuita ai DNS forniti dagli operatori Internet, con particolare attenzione alle prestazioni, alla disponibilità dell’infrastruttura e alla gestione delle richieste DNS.

Cloudflare utilizza una rete Anycast distribuita in numerose città. Le richieste vengono quindi instradate verso uno dei punti di presenza disponibili, in base al percorso stabilito dalla rete.

1.12.1 Gli indirizzi di Cloudflare DNS

Il resolver standard, privo di filtri sui contenuti, utilizza i seguenti indirizzi IPv4:

1.1.1.1
1.0.0.1

Per le connessioni IPv6 sono disponibili:

2606:4700:4700::1111
2606:4700:4700::1001

Il primo indirizzo può essere configurato come DNS principale e il secondo come DNS alternativo. Entrambi appartengono alla stessa infrastruttura Cloudflare.

1.12.2 DNS-over-HTTPS e DNS-over-TLS

Cloudflare supporta DNS-over-HTTPS e DNS-over-TLS. Questi protocolli cifrano le richieste tra il dispositivo e il resolver, riducendo la possibilità che vengano osservate o modificate durante il trasporto.

L’endpoint principale per DNS-over-HTTPS è:

https://cloudflare-dns.com/dns-query

Per DNS-over-TLS viene utilizzato il nome host:

one.one.one.one

La cifratura riguarda il collegamento tra il dispositivo e Cloudflare. Non rende anonima la navigazione e non impedisce al resolver di elaborare le richieste ricevute.

1.12.3 Cloudflare DNS per la protezione dai domini malevoli

Il resolver standard 1.1.1.1 non applica filtri. Cloudflare mette però a disposizione indirizzi separati destinati al blocco dei domini associati a malware e phishing.

Gli indirizzi IPv4 sono:

1.1.1.2
1.0.0.2

Gli equivalenti IPv6 sono:

2606:4700:4700::1112
2606:4700:4700::1002

Quando un dominio viene classificato come pericoloso, il resolver può restituire l’indirizzo 0.0.0.0 al posto di quello reale, impedendo al dispositivo di stabilire la connessione.

1.12.4 Cloudflare DNS per le famiglie

Per le reti nelle quali si desidera bloccare sia i domini malevoli sia i contenuti per adulti, Cloudflare offre un secondo profilo denominato 1.1.1.1 for Families.

Gli indirizzi IPv4 sono:

1.1.1.3
1.0.0.3

Per IPv6 vengono utilizzati:

2606:4700:4700::1113
2606:4700:4700::1003

Questa configurazione aggiunge il filtraggio dei contenuti per adulti alla protezione contro malware e phishing. Non mette però a disposizione regole personalizzabili, profili individuali o una dashboard dalla quale modificare le categorie bloccate.

1.12.5 Riepilogo degli indirizzi Cloudflare

1.12.6 Prestazioni e rete Anycast

Cloudflare distribuisce il resolver attraverso la propria rete Anycast. Lo stesso indirizzo IP viene annunciato da più punti di presenza e il traffico viene instradato verso uno dei nodi raggiungibili attraverso il percorso scelto dalla rete.

Questo approccio contribuisce alla disponibilità del servizio e consente generalmente di ottenere tempi di risposta contenuti. Le prestazioni effettive dipendono comunque dalla posizione geografica, dall’operatore Internet e dagli accordi di interconnessione tra le reti.

Non è quindi corretto considerare Cloudflare il resolver più veloce in ogni situazione. La latenza va misurata direttamente dalla rete sulla quale il servizio verrà utilizzato.

1.12.7 Privacy e gestione dei dati

Cloudflare presenta 1.1.1.1 come un resolver progettato con particolare attenzione alla privacy. L’azienda dichiara di non utilizzare i dati delle richieste DNS per finalità pubblicitarie e pubblica una documentazione specifica sulle informazioni raccolte, sulle finalità del trattamento e sui tempi di conservazione.

Questo non significa che il servizio sia anonimo o che nessun dato tecnico venga elaborato. Come qualsiasi resolver, Cloudflare deve ricevere la richiesta per poterla risolvere.

Prima di utilizzare il servizio in contesti professionali soggetti a requisiti specifici è quindi opportuno esaminare l’informativa aggiornata e verificare che le condizioni dichiarate siano compatibili con le proprie necessità.

1.12.8 Cloudflare WARP non è soltanto un DNS

Cloudflare mette a disposizione anche l’applicazione 1.1.1.1 con WARP. Non va però confusa con la semplice configurazione del resolver.

Quando viene utilizzato esclusivamente 1.1.1.1, si modificano le richieste DNS. Con WARP, invece, il traffico del dispositivo viene instradato attraverso la rete Cloudflare mediante un tunnel cifrato.

Si tratta quindi di due modalità differenti:

• 1.1.1.1: modifica esclusivamente il resolver DNS;
• WARP: crea un tunnel cifrato per il traffico del dispositivo.

WARP non deve essere considerato automaticamente equivalente a una VPN progettata per cambiare Paese, aggirare limitazioni geografiche o garantire anonimato.

1.12.9 Vantaggi

• infrastruttura Anycast distribuita;
• indirizzi IPv4 facili da ricordare;
• supporto a IPv6;
• supporto a DNS-over-HTTPS e DNS-over-TLS;
• validazione DNSSEC;
• profili separati per malware e contenuti per adulti;
• nessuna registrazione richiesta;
• servizio gratuito;
• documentazione tecnica dettagliata.

1.12.10 Svantaggi

• nessun blocco della pubblicità nel resolver pubblico;
• assenza di whitelist e blacklist personalizzabili;
• assenza di una dashboard personale;
• categorie del controllo parentale non configurabili;
• nessuna statistica personale sulle richieste DNS;
• DNS-over-QUIC non indicato nella documentazione ufficiale del resolver pubblico;
• dipendenza da un unico provider quando DNS primario e secondario appartengono entrambi a Cloudflare.

1.12.11 Valutazione sintetica

1.12.12 Quando conviene scegliere Cloudflare DNS?

Cloudflare DNS è indicato quando si cerca un resolver gratuito, semplice da configurare, distribuito globalmente e compatibile con DNS-over-HTTPS e DNS-over-TLS.

Il profilo standard risulta adatto a chi desidera una risoluzione DNS senza filtri. Gli indirizzi 1.1.1.2 e 1.1.1.3 permettono invece di aggiungere una protezione di base contro domini malevoli e contenuti per adulti.

Non è la soluzione più indicata quando servono blocco della pubblicità, statistiche, liste personalizzate o policy differenti per più dispositivi. In questi casi servizi come NextDNS, AdGuard DNS o Control D offrono strumenti di amministrazione più estesi.

1.13 Google Public DNS

Google Public DNS è uno dei resolver pubblici più conosciuti e utilizzati. Il servizio è stato lanciato nel 2009 come alternativa gratuita ai DNS forniti dagli operatori Internet e utilizza gli indirizzi IPv4 8.8.8.8 e 8.8.4.4.

Il resolver sfrutta l’infrastruttura globale di Google e una rete Anycast che instrada normalmente le richieste verso il punto di presenza più vicino o più adatto in base alle condizioni della rete. Supporta il DNS tradizionale tramite UDP e TCP, oltre a DNS-over-HTTPS e DNS-over-TLS. :contentReference[oaicite:0]{index=0}

1.13.1 Gli indirizzi di Google Public DNS

Per la configurazione tradizionale tramite IPv4 vengono utilizzati i seguenti indirizzi:

8.8.8.8
8.8.4.4

Per IPv6 sono invece disponibili:

2001:4860:4860::8888
2001:4860:4860::8844

Google consiglia di configurare almeno due indirizzi differenti, evitando di inserire lo stesso resolver sia come primario sia come secondario. :contentReference[oaicite:1]{index=1}

1.13.2 DNS-over-HTTPS e DNS-over-TLS

Google Public DNS supporta sia DNS-over-HTTPS sia DNS-over-TLS. Questi protocolli cifrano la comunicazione tra il dispositivo e il resolver, riducendo il rischio che le richieste vengano osservate o alterate durante il trasporto.

Per DNS-over-TLS viene utilizzato il nome host:

dns.google

Per DNS-over-HTTPS è disponibile l’endpoint conforme allo standard RFC 8484:

https://dns.google/dns-query

È inoltre presente un’API JSON accessibile tramite:

https://dns.google/resolve

Google dichiara il supporto a TLS 1.2 e TLS 1.3 per DoH e DoT. :contentReference[oaicite:2]{index=2}

1.13.3 Google Public DNS applica filtri?

Il servizio standard non è pensato come resolver filtrante.

Non sono previste versioni dedicate al blocco della pubblicità, al controllo parentale o alla protezione automatica contro malware e phishing. Google Public DNS restituisce normalmente i risultati presenti nel sistema DNS pubblico, senza applicare profili configurabili dall’utente.

Questo comportamento può essere un vantaggio quando si cerca un resolver neutrale, compatibile e prevedibile. Può invece rappresentare un limite quando si desiderano funzioni di sicurezza o filtraggio integrate.

1.13.4 Prestazioni e rete Anycast

Google utilizza una rete Anycast per distribuire il servizio su scala globale. Le richieste inviate agli indirizzi pubblici vengono instradate verso una delle sedi che annunciano quegli indirizzi, in funzione del percorso di rete e del carico disponibile.

Questo consente generalmente di ottenere una buona continuità del servizio e tempi di risposta contenuti, anche se le prestazioni effettive dipendono sempre dall’operatore Internet, dalla posizione geografica e dal peering tra le reti. :contentReference[oaicite:3]{index=3}

1.13.5 Supporto a EDNS Client Subnet

Google Public DNS supporta EDNS Client Subnet, spesso abbreviato in ECS. Questo meccanismo permette al resolver di inviare ai server autorevoli una parte dell’indirizzo di rete del client, così da ottenere risposte geograficamente più adatte da CDN e servizi distribuiti.

Il vantaggio consiste nella possibilità di ricevere indirizzi riferiti a nodi più vicini. Il rovescio della medaglia è che una parte dell’informazione relativa alla rete del client viene inclusa nella richiesta verso il server autorevole. :contentReference[oaicite:4]{index=4}

1.13.6 Privacy e gestione dei log

Google Public DNS non va considerato un servizio anonimo. Il provider riceve le richieste DNS e applica le proprie politiche di raccolta e conservazione dei dati.

Prima di utilizzarlo in ambienti professionali o con requisiti specifici di riservatezza conviene verificare direttamente la documentazione aggiornata del servizio. La presenza di DoH o DoT protegge il trasporto tra client e resolver, ma non impedisce al resolver stesso di elaborare la richiesta.

In altre parole, la cifratura risolve il problema dell’intercettazione lungo il percorso, non quello della fiducia nel provider scelto.

1.13.7 Google Public DNS64

Google mette a disposizione anche un servizio DNS64 destinato alle reti esclusivamente IPv6 che utilizzano un gateway NAT64.

Gli indirizzi dedicati sono:

2001:4860:4860::6464
2001:4860:4860::64

Questo servizio non deve essere configurato indiscriminatamente. È pensato per reti che dispongono realmente di un gateway NAT64 compatibile con il prefisso 64:ff9b::/96. Google Public DNS64 supporta anche DoH e DoT tramite il nome host dns64.dns.google. :contentReference[oaicite:5]{index=5}

1.13.8 Vantaggi

• infrastruttura globale distribuita tramite Anycast;
• indirizzi IPv4 facili da ricordare;
• supporto a IPv6;
• supporto a DNS-over-HTTPS e DNS-over-TLS;
• validazione DNSSEC;
• buona compatibilità con sistemi operativi, router e applicazioni;
• servizio gratuito e senza necessità di registrazione;
• disponibilità di DNS64 per reti IPv6-only con NAT64.

1.13.9 Svantaggi

• assenza di filtri contro pubblicità e tracker;
• assenza di controllo parentale;
• assenza di profili configurabili;
• nessuna dashboard per whitelist, blacklist o statistiche personali;
• supporto a ECS, da valutare quando la minimizzazione dei dati rappresenta la priorità;
• il servizio resta gestito da Google, aspetto da considerare nella valutazione della privacy.

1.13.10 Valutazione sintetica

1.13.11 Quando conviene scegliere Google Public DNS?

Google Public DNS è indicato quando si cerca un resolver gratuito, stabile, distribuito globalmente e compatibile con la maggior parte dei dispositivi.

Risulta adatto a chi non necessita di filtri, profili personalizzati o controllo parentale e preferisce un comportamento sostanzialmente neutrale.

Non è invece la scelta più indicata quando l’obiettivo principale consiste nel bloccare malware, phishing, pubblicità o contenuti specifici direttamente a livello DNS.

Per questi scenari risulta più interessante un servizio orientato espressamente alla sicurezza, come Quad9.

1.14 Quad9

Quad9 è un resolver DNS pubblico nato con un obiettivo ben preciso: aumentare la sicurezza della navigazione Internet bloccando automaticamente i domini associati a malware, phishing, botnet e altre minacce informatiche.

A differenza di molti altri provider, Quad9 non nasce con l’obiettivo di offrire funzionalità avanzate di personalizzazione o blocco della pubblicità, ma di ridurre il rischio che un dispositivo raggiunga domini già identificati come malevoli.

Il servizio è gestito dalla Quad9 Foundation, un’organizzazione senza scopo di lucro con sede in Svizzera, ed è sostenuto dalla collaborazione con numerosi partner specializzati nella cybersecurity.

1.14.1 Come funziona Quad9?

Ogni volta che un dispositivo richiede la risoluzione di un nome di dominio, Quad9 confronta tale richiesta con numerosi database di threat intelligence provenienti da aziende e organizzazioni specializzate nella sicurezza informatica.

Se il dominio richiesto risulta associato ad attività malevole, il resolver ne impedisce la risoluzione.

Di conseguenza il browser, il client di posta o qualsiasi altra applicazione non riesce a stabilire la connessione verso il server remoto.

Questo approccio permette di bloccare numerose minacce ancora prima che venga instaurata la comunicazione con il sito Internet.

1.14.2 Da dove arrivano le informazioni sui domini pericolosi?

Uno degli aspetti più interessanti di Quad9 riguarda proprio il sistema di classificazione dei domini.

Il resolver utilizza feed provenienti da diversi partner che operano nel settore della cybersecurity.

Le informazioni vengono continuamente aggiornate per individuare nuovi domini utilizzati per:

• phishing;
• malware;
• ransomware;
• botnet;
• command & control;
• distribuzione di software dannoso.

Naturalmente nessun database può essere considerato completo al 100%, ma l’utilizzo di numerose fonti differenti contribuisce a migliorare la capacità di individuazione delle minacce.

1.14.3 Gli indirizzi disponibili

Il resolver principale utilizza:

9.9.9.9
149.112.112.112

Per IPv6:

2620:fe::fe
2620:fe::9

Sono inoltre disponibili profili alternativi destinati a scenari specifici, come il resolver privo di blocco delle minacce oppure quello che supporta EDNS Client Subnet.

1.14.4 Supporto ai protocolli moderni

Quad9 supporta tutti i principali protocolli oggi utilizzati per la risoluzione DNS.

• DNS tradizionale
• DNS-over-HTTPS (DoH)
• DNS-over-TLS (DoT)
• DNS-over-QUIC (DoQ)
• DNSCrypt

Questa compatibilità rende il servizio facilmente utilizzabile con browser, sistemi operativi e router moderni.

1.14.5 Privacy

Quad9 pone particolare attenzione anche alla tutela della privacy.

L’organizzazione dichiara di non utilizzare le richieste DNS per finalità pubblicitarie e di non creare profili commerciali degli utenti.

La sede della fondazione in Svizzera rappresenta inoltre un elemento spesso apprezzato dagli utenti che attribuiscono importanza alla giurisdizione nella quale opera il provider.

Come per qualsiasi resolver pubblico, resta comunque necessario affidare al provider la gestione delle richieste DNS.

1.14.6 Prestazioni

Quad9 utilizza una rete Anycast distribuita a livello internazionale.

Le prestazioni risultano generalmente elevate, anche se la presenza del controllo sui domini malevoli può introdurre un’elaborazione aggiuntiva rispetto a un resolver completamente neutrale.

Nell’utilizzo quotidiano questa differenza risulta normalmente trascurabile.

1.14.7 Cosa non fa Quad9?

È importante chiarire anche ciò che il servizio non offre.

Quad9 non nasce come sistema di blocco della pubblicità e non mette a disposizione funzionalità di controllo parentale o dashboard per creare whitelist e blacklist personali.

Chi cerca questo tipo di strumenti troverà soluzioni più complete in provider come NextDNS, AdGuard DNS o Control D.

1.14.8 Vantaggi

• protezione automatica contro malware e phishing;
• utilizzo di numerosi feed di threat intelligence;
• supporto a DoH, DoT, DoQ e DNSCrypt;
• validazione DNSSEC;
• attenzione alla privacy;
• infrastruttura globale Anycast;
• servizio completamente gratuito.

1.14.9 Svantaggi

• nessun blocco della pubblicità;
• assenza di controllo parentale;
• nessuna dashboard di configurazione;
• whitelist e blacklist non personalizzabili;
• minor livello di personalizzazione rispetto ad altri resolver moderni.

1.14.10 Valutazione sintetica

1.14.11 Quando conviene scegliere Quad9?

Quad9 rappresenta una delle migliori scelte quando la priorità è la sicurezza della navigazione.

Risulta particolarmente indicato per utenti domestici, professionisti e aziende che desiderano ridurre il rischio di raggiungere domini utilizzati per malware o phishing senza dover installare software aggiuntivo.

Non è invece la scelta ideale quando servono blocco della pubblicità, controllo parentale o un elevato livello di personalizzazione.

Chi desidera un resolver configurabile in ogni dettaglio troverà molte più possibilità in AdGuard DNS.

1.15 AdGuard DNS

AdGuard DNS è uno dei resolver pubblici più completi oggi disponibili. Nato come evoluzione del noto software AdGuard dedicato al blocco della pubblicità, il servizio consente di filtrare richieste DNS verso domini utilizzati per pubblicità, tracker, malware e numerose altre categorie di contenuti.

A differenza di resolver come Cloudflare DNS o Google Public DNS, progettati principalmente per offrire una risoluzione veloce e affidabile, AdGuard DNS punta soprattutto sul filtraggio e sulla personalizzazione.

Il servizio può essere utilizzato gratuitamente attraverso resolver pubblici oppure mediante account personali che consentono di definire regole, statistiche e policy dedicate ai propri dispositivi.

1.15.1 Molto più di un semplice resolver DNS

AdGuard DNS non si limita a tradurre nomi di dominio in indirizzi IP.

Il servizio integra un sistema di filtraggio basato su liste costantemente aggiornate che permette di bloccare automaticamente numerose categorie di domini.

Tra queste rientrano:

• reti pubblicitarie;
• tracker;
• domini utilizzati per malware;
• siti di phishing;
• contenuti per adulti;
• servizi configurabili dall’utente.

Questa caratteristica permette di ottenere un livello di controllo decisamente superiore rispetto ai resolver DNS tradizionali.

1.15.2 I diversi profili pubblici

AdGuard mette a disposizione tre resolver pubblici principali.

Sono disponibili anche gli equivalenti indirizzi IPv6 e gli endpoint dedicati a DoH, DoT, DoQ e DNSCrypt.

1.15.3 Dashboard personale

Uno dei punti di forza di AdGuard DNS è rappresentato dalla dashboard di amministrazione.

Creando un account gratuito è possibile registrare dispositivi, assegnare regole differenti a ciascuno di essi e consultare statistiche dettagliate sulle richieste DNS.

Tra le funzionalità disponibili si trovano:

• whitelist;
• blacklist;
• liste di filtraggio personalizzate;
• blocco per categoria;
• programmazione delle regole;
• statistiche sul traffico DNS;
• gestione di più dispositivi.

Queste caratteristiche rendono il servizio particolarmente interessante sia per utenti domestici sia per professionisti.

1.15.4 Supporto ai protocolli moderni

AdGuard DNS supporta praticamente tutti i protocolli oggi utilizzati per il trasporto delle richieste DNS.

• DNS tradizionale;
• DNS-over-HTTPS (DoH);
• DNS-over-TLS (DoT);
• DNS-over-QUIC (DoQ);
• DNSCrypt.

Questo permette di utilizzare il servizio con la maggior parte dei sistemi operativi, router e browser moderni.

1.15.5 Prestazioni

Il servizio utilizza una rete Anycast distribuita a livello internazionale.

L’applicazione dei filtri richiede naturalmente alcune verifiche aggiuntive rispetto a un resolver completamente neutrale, ma nell’utilizzo quotidiano la differenza risulta generalmente trascurabile.

Le prestazioni dipendono comunque dalla posizione geografica e dal provider Internet utilizzato.

1.15.6 Privacy

AdGuard dedica particolare attenzione alla privacy degli utenti e pubblica informazioni dettagliate sulle modalità di gestione delle richieste DNS.

Nel caso degli account personali è naturalmente necessario considerare che il servizio deve memorizzare le configurazioni e le statistiche associate ai dispositivi registrati.

Prima di utilizzare queste funzionalità in ambienti professionali è quindi opportuno consultare la documentazione aggiornata relativa al trattamento dei dati.

1.15.7 Versione gratuita e premium

Il resolver pubblico può essere utilizzato gratuitamente senza registrazione.

La creazione di un account permette invece di accedere a funzionalità aggiuntive, come la configurazione personalizzata delle policy DNS e una gestione più avanzata dei dispositivi.

Per esigenze professionali sono disponibili anche piani commerciali con limiti più elevati e strumenti di amministrazione aggiuntivi.

1.15.8 Vantaggi

• blocco integrato di pubblicità e tracker;
• protezione contro malware e phishing;
• controllo parentale;
• supporto completo a DoH, DoT, DoQ e DNSCrypt;
• dashboard molto completa;
• whitelist e blacklist personalizzabili;
• gestione di più dispositivi;
• profili differenti in base alle esigenze.

1.15.9 Svantaggi

• molte funzionalità richiedono la registrazione di un account;
• l’elevato numero di opzioni può risultare complesso per utenti meno esperti;
• alcune funzionalità avanzate sono disponibili solo nei piani premium;
• un filtraggio particolarmente aggressivo può richiedere la creazione di whitelist.

1.15.10 Valutazione sintetica

1.15.11 Quando conviene scegliere AdGuard DNS?

AdGuard DNS rappresenta una soluzione particolarmente indicata per chi desidera bloccare pubblicità, tracker, malware e contenuti indesiderati direttamente a livello DNS.

È adatto sia all’utilizzo domestico sia a piccoli uffici che desiderano una gestione centralizzata senza installare software su ogni dispositivo.

Chi cerca il massimo livello di personalizzazione, statistiche dettagliate e policy completamente configurabili troverà però ancora più possibilità nel prossimo resolver analizzato: NextDNS.

1.16 NextDNS

NextDNS è uno dei resolver DNS più evoluti oggi disponibili. A differenza della maggior parte dei servizi pubblici, non nasce semplicemente come resolver ma come una vera piattaforma di filtraggio e gestione del traffico DNS.

Il servizio permette di creare configurazioni completamente personalizzate, applicando regole differenti a singoli dispositivi, reti domestiche o infrastrutture aziendali. Questo approccio lo rende uno dei resolver più apprezzati da amministratori di sistema, professionisti della sicurezza e utenti che desiderano un controllo molto preciso sulle richieste DNS.

Pur essendo disponibile anche in modalità gratuita, molte delle funzionalità più interessanti emergono dopo la creazione di un profilo personale.

1.16.1 Un resolver costruito attorno alla configurazione

La principale differenza rispetto ai resolver tradizionali consiste nel fatto che ogni installazione può avere un comportamento differente.

Dopo la registrazione viene creato un identificativo univoco associato alla configurazione personale. Tutti i dispositivi che utilizzano quel profilo applicheranno automaticamente le regole definite nel pannello di amministrazione.

Questo permette di centralizzare completamente la gestione del traffico DNS.

1.16.2 Le funzionalità disponibili

Tra le caratteristiche più interessanti offerte da NextDNS si trovano:

• blocco della pubblicità;
• protezione contro tracker;
• blocco di malware e phishing;
• protezione contro domini appena registrati;
• controllo parentale;
• SafeSearch forzato;
• blocco di categorie specifiche di siti;
• whitelist e blacklist personalizzate;
• supporto a numerose liste di filtraggio pubbliche.

Molte di queste funzioni possono essere abilitate o disabilitate indipendentemente, permettendo di costruire una configurazione estremamente personalizzata.

1.16.3 Una dashboard molto completa

Il pannello di amministrazione rappresenta probabilmente uno dei punti di forza di NextDNS.

Da un’unica interfaccia è possibile:

• visualizzare le richieste DNS in tempo reale;
• analizzare statistiche dettagliate;
• identificare i domini maggiormente richiesti;
• vedere quali richieste sono state bloccate;
• creare regole specifiche per singoli domini;
• gestire più configurazioni differenti.

Queste funzionalità risultano particolarmente utili quando si desidera individuare rapidamente eventuali problemi causati da filtri troppo restrittivi.

1.16.4 Supporto alle liste di blocco

Uno degli elementi distintivi di NextDNS è il supporto diretto a decine di liste di filtraggio mantenute dalla comunità.

L’utente può scegliere quali utilizzare senza dover installare software aggiuntivo.

Tra le categorie disponibili si trovano liste dedicate a:

• pubblicità;
• tracker;
• cryptominer;
• malware;
• telemetria;
• social network;
• contenuti per adulti;
• fake news;
• intelligenza artificiale;
• e numerose altre categorie.

Questa flessibilità permette di ottenere un livello di personalizzazione difficilmente raggiungibile con altri resolver pubblici.

1.16.5 Prestazioni

NextDNS utilizza una rete Anycast distribuita globalmente.

Nonostante le numerose verifiche effettuate durante la risoluzione delle richieste, il servizio mantiene generalmente prestazioni molto elevate.

Come sempre, i tempi di risposta dipendono anche dal provider Internet e dalla posizione geografica dell’utente.

1.16.6 Privacy

NextDNS dedica particolare attenzione alla gestione dei dati personali.

Le statistiche possono essere completamente disattivate oppure conservate per periodi limitati.

L’utente può inoltre decidere se associare oppure no i log al proprio account.

Questo livello di controllo rappresenta uno dei principali motivi per cui il servizio viene spesso consigliato anche agli utenti più attenti alla privacy.

1.16.7 Versione gratuita e piani premium

Il servizio può essere utilizzato gratuitamente entro un determinato numero di richieste DNS mensili.

Superata tale soglia il resolver continua a funzionare ma senza applicare le configurazioni personalizzate, salvo sottoscrivere un piano premium.

Per la maggior parte degli utenti domestici il piano gratuito risulta comunque sufficiente per effettuare prove e comprendere le potenzialità della piattaforma.

1.16.8 Vantaggi

• personalizzazione estremamente elevata;
• dashboard molto completa;
• supporto a numerose liste di filtraggio;
• protezione contro malware e phishing;
• blocco della pubblicità;
• controllo parentale;
• supporto completo ai protocolli moderni;
• ottima documentazione tecnica.

1.16.9 Svantaggi

• richiede la creazione di un account per sfruttare pienamente il servizio;
• numero molto elevato di impostazioni, che può risultare complesso per utenti meno esperti;
• alcune funzionalità sono realmente utili solo nella versione premium;
• una configurazione troppo aggressiva può richiedere interventi manuali tramite whitelist.

1.16.10 Valutazione sintetica

1.16.11 Quando conviene scegliere NextDNS?

NextDNS rappresenta una delle migliori scelte per chi desidera controllare in modo approfondito il traffico DNS della propria rete.

È indicato sia per utenti esperti sia per professionisti che desiderano creare policy personalizzate, consultare statistiche dettagliate e applicare filtri differenti a dispositivi diversi.

Chi invece preferisce un resolver estremamente semplice, senza registrazione e focalizzato quasi esclusivamente sulla privacy, potrebbe trovare più interessante Mullvad DNS.

1.17 Mullvad DNS

Mullvad DNS è un resolver pubblico sviluppato dagli stessi autori di Mullvad VPN. Pur essendo nato come componente del servizio VPN dell’azienda, oggi è disponibile anche come resolver pubblico gratuito e rappresenta una delle soluzioni maggiormente orientate alla tutela della privacy.

A differenza di servizi come NextDNS o AdGuard DNS, Mullvad non punta sulla personalizzazione o sulle dashboard di amministrazione. L’obiettivo è offrire un resolver semplice, trasparente e con un numero minimo di dati trattati.

Il servizio mette inoltre a disposizione diversi profili già pronti, permettendo di scegliere se utilizzare un resolver neutrale oppure uno che blocca pubblicità, tracker, malware o contenuti per adulti.

1.17.1 Un resolver orientato alla privacy

Mullvad è conosciuta principalmente per il proprio servizio VPN, sviluppato con particolare attenzione alla riservatezza degli utenti.

La stessa filosofia è stata applicata anche al resolver DNS.

Il servizio non richiede la creazione di un account, non mette a disposizione dashboard personali e non raccoglie statistiche dettagliate associate agli utenti.

Questo approccio riduce notevolmente la quantità di informazioni che devono essere gestite dal provider.

1.17.2 Profili già pronti

Una caratteristica interessante di Mullvad DNS consiste nella disponibilità di diversi profili pubblici.

Oltre al resolver tradizionale sono disponibili versioni dedicate al blocco di specifiche categorie di contenuti.

Tra queste si trovano:

• resolver standard;
• blocco della pubblicità;
• blocco dei tracker;
• protezione contro malware;
• combinazioni dei filtri precedenti;
• profili con contenuti per adulti filtrati.

Questo permette di scegliere rapidamente il livello di filtraggio desiderato senza dover creare configurazioni personalizzate.

1.17.3 Supporto ai protocolli moderni

Mullvad DNS supporta tutti i principali protocolli utilizzati oggi per il trasporto delle richieste DNS.

• DNS tradizionale;
• DNS-over-HTTPS (DoH);
• DNS-over-TLS (DoT);
• DNS-over-QUIC (DoQ).

Il resolver supporta inoltre la validazione DNSSEC.

1.17.4 Prestazioni

Il servizio utilizza una rete Anycast distribuita geograficamente.

Le prestazioni risultano generalmente molto buone e il filtraggio applicato ai profili dedicati introduce un impatto minimo sui tempi di risposta.

Come sempre, la latenza effettiva dipende anche dal provider Internet utilizzato e dalla distanza dal nodo più vicino.

1.17.5 Cosa manca rispetto ad altri resolver?

Mullvad DNS segue una filosofia molto diversa rispetto a servizi come NextDNS o Control D.

Non sono presenti:

• dashboard di amministrazione;
• statistiche dettagliate;
• whitelist personalizzate;
• blacklist personali;
• gestione di più dispositivi;
• configurazioni differenti per singolo client.

La semplicità rappresenta una scelta progettuale e non una limitazione tecnica.

1.17.6 Vantaggi

• forte orientamento alla privacy;
• nessuna registrazione richiesta;
• supporto completo ai protocolli moderni;
• profili già pronti per malware, pubblicità e tracker;
• servizio completamente gratuito;
• configurazione molto semplice.

1.17.7 Svantaggi

• nessuna dashboard personale;
• assenza di statistiche;
• nessuna whitelist o blacklist personalizzabile;
• personalizzazione molto limitata rispetto a NextDNS o AdGuard DNS.

1.17.8 Valutazione sintetica

1.17.9 Quando conviene scegliere Mullvad DNS?

Mullvad DNS è indicato per chi desidera un resolver semplice, gratuito e con particolare attenzione alla privacy, senza dover creare account o configurare dashboard di amministrazione.

Rappresenta una valida alternativa ai resolver tradizionali quando si desidera aggiungere un livello di filtraggio mantenendo una configurazione estremamente essenziale.

Chi invece necessita di policy aziendali, controllo parentale avanzato o statistiche dettagliate troverà servizi più completi in NextDNS, AdGuard DNS o Control D.

1.18 OpenDNS

OpenDNS è uno dei resolver DNS pubblici più longevi e conosciuti. Lanciato nel 2006, è stato uno dei primi servizi a dimostrare che un resolver DNS poteva offrire molto più della semplice risoluzione dei nomi di dominio.

Nel 2015 il servizio è stato acquisito da Cisco ed è oggi parte dell’ecosistema di sicurezza Cisco. Nel corso degli anni OpenDNS ha introdotto funzionalità che oggi risultano comuni in molti resolver moderni, come il filtraggio dei contenuti, il controllo parentale e la protezione contro phishing e malware.

Pur non essendo il resolver più innovativo sotto il profilo tecnologico, continua a rappresentare una soluzione affidabile sia per utenti domestici sia per organizzazioni che desiderano integrare funzionalità di sicurezza direttamente a livello DNS.

1.18.1 Uno dei pionieri dei DNS pubblici

Quando OpenDNS venne presentato, la maggior parte degli utenti utilizzava esclusivamente i resolver forniti dal proprio operatore Internet.

Il servizio introdusse un approccio completamente diverso, offrendo un’infrastruttura distribuita globalmente e una serie di funzionalità dedicate alla sicurezza della navigazione.

Molte caratteristiche oggi considerate normali nei resolver moderni sono state rese popolari proprio da OpenDNS.

1.18.2 Protezione contro phishing e malware

Uno dei principali punti di forza del servizio consiste nella capacità di bloccare domini utilizzati per attività dannose.

Il resolver confronta le richieste DNS con database costantemente aggiornati e impedisce la risoluzione dei domini identificati come pericolosi.

Questo consente di ridurre il rischio di raggiungere siti utilizzati per:

• phishing;
• malware;
• botnet;
• furto di credenziali;
• altre attività malevole.

Naturalmente il resolver rappresenta soltanto uno dei livelli di protezione e non sostituisce antivirus, firewall o altre soluzioni di sicurezza.

1.18.3 Controllo parentale e filtraggio dei contenuti

OpenDNS Home permette di applicare filtri su numerose categorie di siti Internet.

Dopo la registrazione è possibile scegliere quali categorie bloccare direttamente dal pannello di amministrazione.

Tra le categorie disponibili si trovano, ad esempio:

• contenuti per adulti;
• gioco d’azzardo;
• social network;
• streaming;
• violenza;
• anonimizzatori;
• proxy;
• e numerose altre categorie.

Il livello di personalizzazione rimane ancora oggi uno dei punti di forza del servizio.

1.18.4 Dashboard e statistiche

Registrando gratuitamente la propria rete è possibile accedere a una dashboard dalla quale gestire il resolver.

Tra le funzionalità disponibili si trovano:

• whitelist personalizzate;
• blacklist;
• categorie di filtraggio;
• statistiche sulle richieste DNS;
• configurazione di più reti.

Queste caratteristiche hanno reso OpenDNS uno dei resolver più utilizzati in ambito domestico prima dell’arrivo di servizi più recenti come NextDNS o Control D.

1.18.5 Prestazioni

Il servizio utilizza una rete Anycast distribuita a livello internazionale.

Le prestazioni risultano generalmente molto buone e l’infrastruttura Cisco garantisce un elevato livello di disponibilità.

Rispetto ai resolver più recenti possono verificarsi differenze di pochi millisecondi nei tempi di risposta, ma nell’utilizzo quotidiano risultano normalmente trascurabili.

1.18.6 Privacy

Essendo parte dell’ecosistema Cisco, OpenDNS applica le proprie politiche di trattamento dei dati secondo quanto indicato nella documentazione ufficiale.

Gli utenti che utilizzano il pannello di amministrazione devono considerare che il servizio memorizza le configurazioni associate alla rete registrata e alcune informazioni necessarie per fornire statistiche e funzionalità di gestione.

Per chi attribuisce la massima priorità alla privacy potrebbero risultare più indicati resolver come Mullvad DNS o Quad9.

1.18.7 Supporto ai protocolli moderni

OpenDNS supporta DNS-over-HTTPS, DNS-over-TLS e DNSSEC.

Queste tecnologie consentono di proteggere la comunicazione tra il client e il resolver, migliorando la sicurezza del trasporto delle richieste DNS.

1.18.8 Vantaggi

• servizio storico e molto affidabile;
• infrastruttura Cisco distribuita globalmente;
• protezione contro phishing e malware;
• controllo parentale avanzato;
• dashboard completa;
• whitelist e blacklist personalizzabili;
• supporto a IPv6;
• versioni dedicate anche al mondo aziendale.

1.18.9 Svantaggi

• interfaccia meno moderna rispetto ai competitor più recenti;
• personalizzazione inferiore rispetto a NextDNS e Control D;
• blocco della pubblicità meno evoluto rispetto ad AdGuard DNS;
• alcune funzionalità richiedono la registrazione.

1.18.10 Valutazione sintetica

1.18.11 Quando conviene scegliere OpenDNS?

OpenDNS rappresenta ancora oggi una soluzione molto valida per chi desidera un resolver affidabile, con funzionalità di controllo parentale e protezione contro phishing e malware.

È particolarmente indicato per famiglie, scuole, piccoli uffici e organizzazioni che desiderano gestire criteri di navigazione senza dover implementare infrastrutture complesse.

Chi invece cerca un servizio progettato esclusivamente per il filtraggio dei contenuti destinati ai minori troverà in CleanBrowsing un resolver sviluppato espressamente per questo scopo.

1.19 CleanBrowsing

CleanBrowsing è un resolver DNS pubblico sviluppato con un obiettivo preciso: offrire un sistema di filtraggio semplice, efficace e adatto soprattutto alle famiglie, alle scuole e agli ambienti educativi.

A differenza di molti altri resolver pubblici, nei quali il controllo parentale rappresenta una funzionalità aggiuntiva, CleanBrowsing nasce proprio per proteggere gli utenti più giovani durante la navigazione Internet.

Il servizio mette a disposizione diversi profili già pronti che permettono di scegliere il livello di filtraggio desiderato senza dover creare regole complesse.

1.19.1 Un resolver progettato per le famiglie

CleanBrowsing è stato sviluppato pensando principalmente alle reti domestiche, agli istituti scolastici e alle organizzazioni che desiderano limitare l’accesso a contenuti non appropriati.

Il filtraggio viene eseguito direttamente dal resolver DNS e non richiede l’installazione di software sui singoli dispositivi.

Configurando il servizio sul router, tutti i dispositivi collegati alla rete utilizzeranno automaticamente le stesse regole.

1.19.2 I profili disponibili

Uno dei principali punti di forza di CleanBrowsing consiste nella disponibilità di più profili preconfigurati.

Questa suddivisione permette di scegliere rapidamente il livello di protezione più adatto senza dover configurare decine di opzioni differenti.

1.19.3 Safe Search e YouTube Restricted Mode

Una caratteristica particolarmente interessante consiste nella possibilità di forzare automaticamente il Safe Search dei principali motori di ricerca.

Il profilo Family può inoltre applicare modalità con restrizioni anche ad alcuni servizi video compatibili, riducendo la probabilità che vengano mostrati contenuti espliciti.

Questo rende il servizio particolarmente apprezzato negli ambienti scolastici.

1.19.4 Dashboard di amministrazione

Gli utenti che creano un account possono gestire il servizio tramite un pannello web.

Tra le funzionalità disponibili si trovano:

• whitelist personalizzate;
• blacklist;
• categorie configurabili;
• gestione di più reti;
• statistiche sulle richieste DNS;
• profili personalizzati.

La versione gratuita rimane comunque perfettamente utilizzabile anche senza registrazione.

1.19.5 Prestazioni

CleanBrowsing utilizza una rete Anycast distribuita a livello internazionale.

I tempi di risposta risultano generalmente contenuti e il filtraggio DNS introduce un impatto minimo sulla navigazione.

Come per qualsiasi resolver pubblico, le prestazioni possono variare in funzione del provider Internet e della posizione geografica.

1.19.6 Privacy

Il servizio pubblica informazioni dettagliate sulla gestione dei dati e distingue chiaramente il resolver pubblico dalle funzionalità disponibili tramite account registrati.

Chi utilizza esclusivamente i resolver pubblici condivide un numero inferiore di informazioni rispetto a chi abilita dashboard e statistiche personalizzate.

Prima dell’utilizzo in ambienti professionali è comunque consigliabile consultare sempre l’informativa aggiornata sul trattamento dei dati.

1.19.7 Vantaggi

• eccellente controllo parentale;
• profili già pronti;
• protezione contro malware e phishing;
• Safe Search forzato;
• supporto a DoH, DoT, DoQ e DNSSEC;
• configurazione molto semplice;
• adatto a famiglie e scuole.

1.19.8 Svantaggi

• blocco pubblicitario meno completo rispetto ad AdGuard DNS;
• personalizzazione inferiore rispetto a NextDNS e Control D;
• molte funzionalità avanzate richiedono un account;
• non è progettato per chi desidera un resolver completamente neutrale.

1.19.9 Valutazione sintetica

1.19.10 Quando conviene scegliere CleanBrowsing?

CleanBrowsing rappresenta una delle migliori soluzioni per famiglie, scuole, biblioteche e ambienti educativi che desiderano limitare l’accesso a contenuti non appropriati senza ricorrere a software aggiuntivi.

Per chi cerca invece un resolver altamente personalizzabile, capace di modificare nel dettaglio il comportamento del traffico DNS, la scelta più indicata è Control D.

1.20 Control D

Control D è uno dei resolver DNS più evoluti oggi disponibili. Sviluppato dall’azienda canadese Windscribe, nota soprattutto per il proprio servizio VPN, nasce con l’obiettivo di offrire un controllo estremamente dettagliato sul traffico DNS.

A differenza della maggior parte dei resolver pubblici, Control D non si limita a bloccare malware o pubblicità, ma permette di definire vere e proprie policy di navigazione, scegliendo il comportamento del resolver per ogni categoria di siti o addirittura per singoli domini.

Per questo motivo viene spesso considerato uno dei principali concorrenti di NextDNS, con il quale condivide numerose funzionalità avanzate.

1.20.1 Un resolver completamente personalizzabile

La filosofia di Control D consiste nel permettere all’utente di decidere come deve comportarsi il resolver in ogni situazione.

Attraverso il pannello di amministrazione è possibile creare regole estremamente dettagliate senza dover modificare manualmente ogni dispositivo della rete.

Una volta configurato il resolver, tutte le policy vengono applicate automaticamente ai dispositivi associati al profilo.

1.20.2 Molto più del semplice blocco dei domini

Control D permette di gestire numerosi aspetti della navigazione.

Tra le funzionalità principali si trovano:

• blocco della pubblicità;
• protezione contro malware e phishing;
• blocco dei tracker;
• controllo parentale;
• whitelist e blacklist;
• blocco per categoria;
• filtri geografici;
• statistiche dettagliate;
• profili differenti per ogni dispositivo.

Questa flessibilità rende il servizio particolarmente interessante anche per utenti esperti e amministratori di rete.

1.20.3 Instradamento geografico delle richieste

Una delle caratteristiche che distingue Control D dalla maggior parte dei resolver concorrenti consiste nella possibilità di modificare il Paese dal quale alcuni servizi vengono apparentemente raggiunti.

Per determinati domini è infatti possibile scegliere resolver collocati in aree geografiche differenti.

Questa funzione può risultare utile per test, sviluppo software o scenari particolari di rete.

Non deve però essere considerata un sostituto di una VPN, poiché interessa esclusivamente la risoluzione DNS e non l’intero traffico Internet.

1.20.4 Dashboard e gestione centralizzata

Il pannello web rappresenta uno dei punti di forza del servizio.

Da un’unica interfaccia è possibile:

• visualizzare le richieste DNS in tempo reale;
• consultare statistiche dettagliate;
• gestire dispositivi differenti;
• creare regole per gruppi di dispositivi;
• abilitare o disabilitare categorie di filtraggio;
• modificare rapidamente whitelist e blacklist.

L’interfaccia risulta particolarmente intuitiva nonostante l’elevato numero di opzioni disponibili.

1.20.5 Prestazioni

Control D utilizza una rete Anycast distribuita in numerosi Paesi.

Le prestazioni risultano generalmente molto elevate e il filtraggio DNS introduce un impatto minimo sui tempi di risposta.

Naturalmente le prestazioni effettive dipendono anche dal provider Internet e dal nodo raggiunto dal client.

1.20.6 Privacy

Il servizio mette a disposizione diverse opzioni per la gestione dei log e delle statistiche.

L’utente può scegliere il livello di informazioni da conservare e configurare il comportamento del resolver in base alle proprie esigenze.

Questa flessibilità rappresenta uno degli elementi che differenziano Control D dai resolver pubblici più tradizionali.

1.20.7 Versione gratuita e piani premium

Control D offre una modalità gratuita con funzionalità limitate.

Le caratteristiche più avanzate, come la gestione completa delle policy e delle configurazioni personalizzate, sono disponibili nei piani commerciali.

Per utenti professionali e aziende rappresenta comunque una delle piattaforme DNS più complete attualmente disponibili.

1.20.8 Vantaggi

• livello di personalizzazione estremamente elevato;
• dashboard moderna e intuitiva;
• protezione contro malware e phishing;
• blocco pubblicità e tracker;
• controllo parentale;
• supporto a DoH, DoT, DoQ, DNSCrypt e DNSSEC;
• profili differenti per dispositivi e reti;
• possibilità di instradamento geografico di specifici domini.

1.20.9 Svantaggi

• le funzionalità più interessanti richiedono un abbonamento;
• numero elevato di impostazioni per utenti meno esperti;
• non rappresenta la soluzione più semplice per chi desidera soltanto cambiare resolver.

1.20.10 Valutazione sintetica

1.20.11 Quando conviene scegliere Control D?

Control D è indicato per utenti esperti, professionisti e amministratori di sistema che desiderano controllare nel dettaglio il comportamento del resolver DNS.

Le numerose opzioni disponibili permettono di costruire policy molto sofisticate, difficilmente ottenibili con altri resolver pubblici.

Per chi cerca invece una soluzione semplice, gratuita e priva di configurazioni avanzate, esistono alternative più immediate.

1.21 Comodo Secure DNS

Comodo Secure DNS è un resolver pubblico sviluppato da Comodo Group, azienda nota soprattutto per le proprie soluzioni dedicate alla sicurezza informatica e ai certificati digitali.

Il servizio nasce con un obiettivo preciso: aumentare la sicurezza della navigazione bloccando automaticamente domini riconosciuti come pericolosi, riducendo così il rischio di raggiungere siti utilizzati per malware, phishing e altre minacce informatiche.

Pur essendo uno dei resolver storici nel panorama dei DNS pubblici, oggi offre un numero di funzionalità inferiore rispetto ai servizi più moderni come NextDNS, Control D o AdGuard DNS. Rimane comunque una soluzione semplice e gratuita per chi desidera aggiungere un primo livello di protezione senza effettuare configurazioni complesse.

1.21.1 Come funziona Comodo Secure DNS?

Il principio di funzionamento è piuttosto semplice.

Quando un dispositivo tenta di risolvere un dominio, il resolver confronta tale richiesta con i database di sicurezza mantenuti da Comodo.

Se il dominio risulta associato a campagne di phishing, malware o altre attività dannose, la risoluzione viene bloccata e il dispositivo non riesce a stabilire la connessione.

Questo permette di impedire l’accesso a numerosi siti pericolosi prima ancora che il browser inizi a scaricare il contenuto della pagina.

1.21.2 Una soluzione essenziale

Comodo Secure DNS adotta un approccio volutamente semplice.

Il servizio non richiede la creazione di un account e non mette a disposizione dashboard di amministrazione, statistiche o strumenti avanzati di configurazione.

L’unica operazione necessaria consiste nel sostituire i resolver DNS presenti sul dispositivo oppure sul router.

Per molti utenti questa semplicità rappresenta un vantaggio, soprattutto quando l’obiettivo consiste esclusivamente nell’aggiungere un livello di protezione senza ulteriori configurazioni.

1.21.3 Prestazioni

Comodo utilizza una rete distribuita che garantisce una buona disponibilità del servizio.

Le prestazioni risultano generalmente adeguate per un utilizzo domestico, anche se la rete non raggiunge l’estensione geografica dei principali concorrenti come Cloudflare, Google Public DNS o Quad9.

Nella maggior parte degli scenari la differenza nei tempi di risposta rimane comunque poco percepibile durante la navigazione quotidiana.

1.21.4 Privacy

La documentazione pubblica relativa alla gestione dei dati è meno dettagliata rispetto a quella pubblicata da alcuni resolver più recenti.

Chi attribuisce particolare importanza agli aspetti legati alla privacy potrebbe quindi preferire servizi come Quad9, Mullvad DNS o Cloudflare DNS, che pubblicano informazioni più approfondite sulle rispettive politiche di trattamento dei dati.

1.21.5 Cosa manca rispetto ai resolver moderni?

Negli ultimi anni il panorama dei resolver pubblici si è evoluto rapidamente.

Rispetto ai servizi di nuova generazione, Comodo Secure DNS non offre:

• DNS-over-HTTPS (DoH);
• DNS-over-TLS (DoT);
• DNS-over-QUIC (DoQ);
• dashboard personali;
• statistiche sulle richieste DNS;
• whitelist e blacklist;
• filtri personalizzabili;
• gestione di più dispositivi.

Di conseguenza risulta più indicato per chi desidera una protezione di base piuttosto che un resolver completamente configurabile.

1.21.6 Vantaggi

• configurazione estremamente semplice;
• protezione contro malware e phishing;
• nessuna registrazione richiesta;
• servizio completamente gratuito;
• compatibile con la maggior parte dei dispositivi.

1.21.7 Svantaggi

• assenza dei protocolli DNS cifrati moderni;
• nessun controllo parentale;
• nessun blocco della pubblicità;
• nessuna dashboard di amministrazione;
• personalizzazione praticamente assente;
• infrastruttura meno evoluta rispetto ai principali concorrenti.

1.21.8 Valutazione sintetica

1.21.9 Quando conviene scegliere Comodo Secure DNS?

Comodo Secure DNS rappresenta una scelta valida quando si desidera sostituire rapidamente i DNS del proprio operatore con un resolver che integri una protezione di base contro malware e phishing.

Non è invece il servizio più indicato per chi cerca protocolli DNS moderni, strumenti di amministrazione o funzionalità avanzate di filtraggio.

Per chi attribuisce particolare importanza alla privacy, il prossimo resolver analizzato sarà DNS.WATCH, un servizio noto per il suo approccio neutrale e minimale.

1.22 DNS.WATCH

DNS.WATCH è un resolver DNS pubblico nato con una filosofia molto diversa rispetto alla maggior parte dei servizi moderni. L’obiettivo principale non è quello di filtrare contenuti, bloccare pubblicità o offrire dashboard ricche di funzionalità, bensì fornire un servizio DNS pubblico semplice, neutrale e rispettoso della privacy.

Chi sceglie DNS.WATCH normalmente non cerca un resolver che modifichi il comportamento della navigazione, ma uno strumento che si limiti a risolvere correttamente i nomi di dominio, senza introdurre filtri o sistemi di profilazione.

Proprio questa semplicità rappresenta ancora oggi uno dei motivi per cui il servizio continua a essere utilizzato da una parte della comunità tecnica.

1.22.1 Un resolver neutrale

DNS.WATCH adotta un approccio completamente differente rispetto a servizi come AdGuard DNS, NextDNS o Control D.

Il resolver non applica filtri, non blocca la pubblicità, non modifica le risposte DNS e non tenta di classificare i domini visitati.

Quando un dominio esiste ed è correttamente configurato, il servizio restituisce semplicemente il relativo indirizzo IP.

Questa neutralità è uno degli aspetti maggiormente apprezzati dagli utenti che desiderano un comportamento prevedibile e privo di interventi automatici.

1.22.2 Privacy prima di tutto

Il progetto dichiara di non raccogliere informazioni per finalità pubblicitarie e di non utilizzare le richieste DNS per creare profili degli utenti.

Il resolver nasce infatti con l’obiettivo di offrire un servizio pubblico rispettoso della riservatezza delle richieste DNS.

Naturalmente, come accade con qualsiasi resolver pubblico, una parte dei dati tecnici deve comunque essere elaborata per poter fornire il servizio.

1.22.3 Supporto ai protocolli moderni

Pur mantenendo una filosofia minimalista, DNS.WATCH supporta le principali tecnologie oggi utilizzate per proteggere il traffico DNS.

• DNS tradizionale;
• DNS-over-HTTPS (DoH);
• DNS-over-TLS (DoT);
• DNSSEC.

Non sono invece disponibili funzionalità avanzate come DNS-over-QUIC o sistemi proprietari di cifratura.

1.22.4 Prestazioni

DNS.WATCH utilizza un’infrastruttura Anycast che permette di distribuire il servizio su più nodi.

Le prestazioni risultano generalmente buone, anche se la rete è meno estesa rispetto a quella di provider come Cloudflare, Google Public DNS o Quad9.

Nella navigazione quotidiana le differenze rimangono comunque spesso difficilmente percepibili.

1.22.5 Una scelta per chi non vuole filtri

Molti resolver moderni modificano il comportamento della risoluzione DNS introducendo sistemi di blocco contro malware, tracker o contenuti specifici.

DNS.WATCH sceglie deliberatamente di non seguire questa strada.

Questo lo rende particolarmente indicato per amministratori di sistema, sviluppatori e utenti che desiderano verificare il comportamento reale del DNS pubblico senza filtri aggiuntivi.

1.22.6 Vantaggi

• resolver neutrale;
• attenzione alla privacy;
• nessuna registrazione richiesta;
• supporto a IPv6;
• supporto a DoH, DoT e DNSSEC;
• configurazione molto semplice;
• servizio completamente gratuito.

1.22.7 Svantaggi

• nessuna protezione contro malware;
• assenza di controllo parentale;
• nessun blocco della pubblicità;
• assenza di dashboard;
• nessuna possibilità di personalizzazione;
• rete meno estesa rispetto ai principali competitor.

1.22.8 Valutazione sintetica

1.22.9 Quando conviene scegliere DNS.WATCH?

DNS.WATCH è indicato per chi desidera un resolver pubblico neutrale, privo di filtri e con particolare attenzione alla privacy.

Non rappresenta invece la scelta migliore quando servono protezione contro malware, controllo parentale o strumenti avanzati di amministrazione.

1.23 UncensoredDNS

UncensoredDNS è un resolver DNS pubblico nato in Danimarca con una filosofia molto precisa: fornire un servizio di risoluzione DNS indipendente, senza filtri, senza blocchi e senza modificare le risposte ricevute dai server autorevoli.

Il progetto è stato creato dall’esperto di sicurezza informatica Thomas Steen Rasmussen come risposta ai crescenti tentativi di censura e manipolazione delle risposte DNS osservati in alcuni contesti nazionali.

A differenza di molti resolver moderni, UncensoredDNS non integra sistemi di protezione contro malware, pubblicità o phishing. Il suo obiettivo è offrire una risoluzione DNS quanto più possibile fedele ai dati pubblicati nella zona DNS originale.

1.23.1 Perché nasce UncensoredDNS?

L’idea alla base del progetto è semplice: un resolver DNS non dovrebbe decidere quali siti possono essere raggiunti e quali no.

Secondo questa filosofia, il compito del resolver consiste esclusivamente nel tradurre un nome di dominio nel relativo indirizzo IP, lasciando inalterate le informazioni pubblicate dai server autorevoli.

Per questo motivo il servizio non implementa sistemi di filtraggio automatico né blocchi relativi ai contenuti visitati.

1.23.2 Nessun filtraggio delle richieste

UncensoredDNS restituisce normalmente le risposte ricevute dal sistema DNS pubblico.

Non vengono applicati:

• blocchi contro malware;
• protezione anti-phishing;
• filtri pubblicitari;
• controllo parentale;
• modifiche alle risposte DNS per finalità commerciali.

Questo comportamento rende il resolver particolarmente interessante per amministratori di sistema, sviluppatori e professionisti che desiderano osservare il comportamento del DNS senza interventi aggiuntivi.

1.23.3 Supporto ai protocolli moderni

Pur mantenendo un approccio essenziale, UncensoredDNS supporta le principali tecnologie oggi utilizzate per proteggere il traffico DNS.

• DNS tradizionale;
• DNS-over-HTTPS (DoH);
• DNS-over-TLS (DoT);
• DNSSEC.

Il servizio non implementa invece DNS-over-QUIC.

1.23.4 Prestazioni

Rispetto ai grandi operatori globali, l’infrastruttura di UncensoredDNS risulta più contenuta.

Questo significa che, in alcune aree geografiche, i tempi di risposta possono essere leggermente superiori rispetto a resolver come Cloudflare, Google Public DNS o Quad9.

Nell’utilizzo quotidiano la differenza rimane comunque spesso limitata e dipende dal percorso di rete seguito dal traffico.

1.23.5 Privacy

Uno degli aspetti maggiormente apprezzati dagli utilizzatori del servizio riguarda l’attenzione dedicata alla privacy.

Il progetto pubblica informazioni trasparenti sul funzionamento del resolver e dichiara di non utilizzare le richieste DNS per finalità commerciali o pubblicitarie.

Come accade con qualsiasi resolver pubblico, una parte delle informazioni tecniche deve comunque essere elaborata per consentire la risoluzione delle richieste.

1.23.6 Quando scegliere un resolver senza filtri?

Molti utenti associano automaticamente un resolver DNS alla protezione contro malware o phishing.

In realtà esistono numerosi scenari nei quali un resolver completamente neutrale rappresenta la scelta migliore.

Ad esempio:

• test di configurazioni DNS;
• sviluppo software;
• analisi di problemi di risoluzione;
• ambienti nei quali il filtraggio viene già effettuato da firewall o appliance dedicate.

In questi contesti un resolver che non modifica le risposte DNS può risultare preferibile rispetto a uno che applica filtri automatici.

1.23.7 Vantaggi

• resolver neutrale;
• attenzione alla privacy;
• nessuna censura intenzionale delle richieste DNS;
• supporto a DoH, DoT e DNSSEC;
• supporto IPv6;
• configurazione immediata;
• servizio gratuito.

1.23.8 Svantaggi

• nessuna protezione contro malware;
• assenza di controllo parentale;
• nessun blocco della pubblicità;
• nessuna dashboard;
• nessuna personalizzazione;
• rete globale meno estesa rispetto ai principali provider commerciali.

1.23.9 Valutazione sintetica

1.23.10 Quando conviene scegliere UncensoredDNS?

UncensoredDNS rappresenta una scelta interessante per chi desidera un resolver neutrale, rispettoso della privacy e privo di qualsiasi forma di filtraggio automatico.

Non è invece il servizio più indicato quando l’obiettivo consiste nel proteggere gli utenti da malware, phishing o contenuti indesiderati.

1.24 Verisign Public DNS

Verisign Public DNS è un resolver pubblico sviluppato da Verisign, una delle aziende più importanti dell’infrastruttura Internet mondiale. Oltre a fornire servizi di sicurezza e certificazione digitale, Verisign gestisce infatti i registry dei domini .com e .net, oltre a svolgere un ruolo centrale nel funzionamento del Domain Name System.

Il resolver nasce con l’obiettivo di offrire un servizio affidabile, stabile e privo di modifiche alle risposte DNS. A differenza di molti resolver moderni, non integra sistemi di blocco della pubblicità, filtri parentali o protezione contro malware.

L’approccio è volutamente conservativo: risolvere correttamente i nomi di dominio senza alterarne il risultato.

1.24.1 Un resolver sviluppato da uno dei protagonisti del DNS

Verisign opera da molti anni nel settore dell’infrastruttura Internet ed è responsabile della gestione di alcuni tra i registry più importanti al mondo.

Questa esperienza si riflette anche nel resolver pubblico, progettato privilegiando affidabilità e continuità del servizio piuttosto che l’introduzione di funzionalità avanzate.

Il resolver non modifica le risposte DNS e non reindirizza le richieste verso pagine pubblicitarie in caso di domini inesistenti.

1.24.2 Un comportamento neutrale

Verisign Public DNS restituisce le informazioni presenti nel DNS pubblico senza applicare filtri sui contenuti.

Non vengono bloccati automaticamente:

• domini utilizzati per malware;
• siti di phishing;
• pubblicità;
• tracker;
• contenuti per adulti.

Questo comportamento rende il servizio adatto agli utenti che preferiscono un resolver il più possibile trasparente.

1.24.3 Supporto a DNSSEC

Uno degli aspetti più importanti del servizio riguarda il supporto alla validazione DNSSEC.

Il resolver verifica le firme digitali delle zone DNS che implementano questa tecnologia, contribuendo a ridurre il rischio di attacchi basati sulla manomissione delle risposte DNS.

DNSSEC non protegge però la comunicazione tra il client e il resolver. Per questo motivo alcuni utenti preferiscono resolver che supportano anche DNS-over-HTTPS o DNS-over-TLS.

1.24.4 Prestazioni

Verisign utilizza un’infrastruttura distribuita basata su Anycast.

Le prestazioni risultano generalmente buone e il servizio offre un’elevata disponibilità.

Nonostante ciò, in molti scenari resolver come Cloudflare DNS o Google Public DNS possono offrire tempi di risposta leggermente inferiori grazie a una presenza geografica ancora più estesa.

1.24.5 Privacy

Il servizio non richiede la creazione di un account e non mette a disposizione dashboard personali o statistiche associate agli utenti.

Le politiche relative alla gestione dei dati sono descritte nella documentazione ufficiale pubblicata da Verisign.

Chi considera la privacy un requisito prioritario potrebbe comunque preferire resolver progettati specificamente con questo obiettivo, come Mullvad DNS o Quad9.

1.24.6 Cosa manca rispetto ai resolver moderni?

Rispetto ai servizi più recenti, Verisign Public DNS mantiene un’impostazione volutamente essenziale.

Non sono disponibili:

• DNS-over-HTTPS;
• DNS-over-TLS;
• DNS-over-QUIC;
• protezione contro malware;
• blocco pubblicità;
• controllo parentale;
• dashboard di amministrazione;
• strumenti di personalizzazione.

La semplicità costituisce una caratteristica del progetto e non un limite tecnico.

1.24.7 Vantaggi

• resolver sviluppato da uno dei principali operatori del DNS mondiale;
• supporto alla validazione DNSSEC;
• nessuna modifica alle risposte DNS;
• supporto IPv6;
• configurazione immediata;
• servizio gratuito.

1.24.8 Svantaggi

• assenza di DoH, DoT e DoQ;
• nessuna protezione contro malware o phishing;
• nessun controllo parentale;
• assenza di blocco della pubblicità;
• nessuna dashboard;
• nessuna personalizzazione.

1.24.9 Valutazione sintetica

1.24.10 Quando conviene scegliere Verisign Public DNS?

Verisign Public DNS rappresenta una scelta valida per chi desidera un resolver affidabile, stabile e privo di qualsiasi forma di filtraggio automatico.

Non è invece la soluzione più indicata quando servono protezione contro malware, protocolli DNS cifrati o funzionalità avanzate di gestione.

1.25 Yandex DNS

Yandex DNS è un resolver pubblico sviluppato da Yandex, una delle principali aziende tecnologiche russe. Il servizio è stato progettato per offrire tre modalità di funzionamento differenti: risoluzione DNS tradizionale, protezione contro malware e phishing e controllo parentale.

A differenza di altri resolver che richiedono la creazione di un account per attivare i filtri, Yandex DNS utilizza indirizzi IP differenti per ciascun profilo. È quindi sufficiente configurare la coppia di resolver desiderata per ottenere il livello di protezione richiesto.

Questa semplicità ha contribuito alla diffusione del servizio, soprattutto negli ambienti domestici.

1.25.1 I tre profili disponibili

La caratteristica più interessante di Yandex DNS consiste nella presenza di tre resolver differenti, ognuno con un comportamento specifico.

Per ogni profilo sono disponibili anche gli indirizzi IPv6 equivalenti.

1.25.2 Protezione contro malware e phishing

Il profilo Safe confronta le richieste DNS con i database di sicurezza mantenuti da Yandex.

Quando un dominio viene identificato come malevolo o utilizzato per campagne di phishing, la risoluzione viene bloccata, impedendo al dispositivo di raggiungere il sito.

Questa protezione opera esclusivamente a livello DNS e non sostituisce antivirus o altre soluzioni dedicate alla sicurezza degli endpoint.

1.25.3 Modalità Family

Il profilo Family aggiunge al filtraggio di sicurezza anche un sistema di blocco dei contenuti per adulti.

La configurazione è particolarmente semplice poiché non richiede registrazione né configurazioni aggiuntive.

È sufficiente sostituire gli indirizzi DNS presenti sul dispositivo o sul router.

1.25.4 Prestazioni

Yandex DNS utilizza un’infrastruttura distribuita basata su Anycast.

Le prestazioni risultano generalmente buone, soprattutto nelle aree geografiche nelle quali Yandex dispone di una presenza più capillare.

In altre regioni del mondo la latenza può risultare leggermente superiore rispetto ai resolver globali più diffusi.

1.25.5 Privacy

Come qualsiasi resolver pubblico, anche Yandex DNS riceve le richieste DNS necessarie per effettuare la risoluzione.

Prima di utilizzare il servizio è opportuno consultare la documentazione ufficiale relativa alla gestione dei dati e valutare anche gli aspetti legati alla giurisdizione del provider.

Per organizzazioni soggette a specifici requisiti normativi questo elemento può rappresentare un fattore di valutazione importante.

1.25.6 Cosa manca rispetto ai resolver più moderni?

Pur offrendo tre profili differenti, Yandex DNS mantiene un’impostazione piuttosto semplice.

Non sono disponibili:

• DNS-over-HTTPS (DoH);
• DNS-over-TLS (DoT);
• DNS-over-QUIC (DoQ);
• dashboard di amministrazione;
• statistiche sulle richieste DNS;
• whitelist e blacklist personalizzabili;
• configurazioni differenti per singolo dispositivo.

Chi desidera questo livello di controllo troverà servizi più completi in NextDNS, AdGuard DNS o Control D.

1.25.7 Vantaggi

• tre profili facilmente selezionabili;
• protezione contro malware e phishing;
• controllo parentale integrato;
• supporto IPv6;
• configurazione molto semplice;
• servizio gratuito.

1.25.8 Svantaggi

• assenza di DoH, DoT e DoQ;
• nessuna dashboard;
• nessuna personalizzazione;
• assenza del blocco della pubblicità;
• copertura geografica meno estesa rispetto ai principali provider globali;
• la giurisdizione del provider può rappresentare un elemento di valutazione per alcuni utenti.

1.25.9 Valutazione sintetica

1.25.10 Quando conviene scegliere Yandex DNS?

Yandex DNS rappresenta una soluzione interessante per chi desidera scegliere rapidamente tra un resolver tradizionale, uno orientato alla sicurezza e uno dedicato al controllo parentale senza dover creare account o configurare dashboard.

Chi invece necessita di funzionalità avanzate, protocolli DNS cifrati o un elevato livello di personalizzazione troverà alternative più complete nei resolver analizzati in precedenza.

1.26 SafeDNS

SafeDNS è un resolver DNS specializzato principalmente nel filtraggio dei contenuti e nella sicurezza della navigazione. A differenza di molti servizi orientati al mercato consumer, nasce con una forte vocazione professionale ed è utilizzato da aziende, scuole, pubbliche amministrazioni e organizzazioni che desiderano applicare criteri di navigazione centralizzati.

Pur essendo disponibile anche per utenti privati, il punto di forza della piattaforma è rappresentato dalla possibilità di definire policy dettagliate, gestire gruppi di dispositivi e controllare il traffico DNS tramite un pannello di amministrazione dedicato.

Rispetto a resolver come Cloudflare DNS o Google Public DNS, SafeDNS punta molto meno sulla semplicità e molto di più sulle funzionalità di gestione.

1.26.1 Una piattaforma pensata per le organizzazioni

SafeDNS è stato progettato principalmente per ambienti nei quali è necessario controllare il traffico Internet di numerosi dispositivi contemporaneamente.

Scuole, aziende, biblioteche e pubbliche amministrazioni possono definire regole centralizzate senza intervenire singolarmente su ogni computer.

Una volta configurato il resolver, tutte le richieste DNS vengono confrontate con le policy definite dall’amministratore.

1.26.2 Filtraggio per categorie

Una delle caratteristiche principali della piattaforma consiste nella possibilità di bloccare intere categorie di siti Internet.

Tra le categorie disponibili si trovano, ad esempio:

• contenuti per adulti;
• gioco d’azzardo;
• social network;
• streaming;
• violenza;
• malware;
• phishing;
• cryptomining;
• proxy e VPN;
• oltre un centinaio di categorie differenti.

Questa granularità rende il servizio particolarmente adatto agli ambienti professionali.

1.26.3 Dashboard di amministrazione

Il pannello web rappresenta uno degli elementi più completi della piattaforma.

Tra le funzionalità disponibili si trovano:

• gestione di utenti e gruppi;
• policy differenti per sedi o reparti;
• whitelist e blacklist;
• statistiche dettagliate;
• report periodici;
• monitoraggio delle richieste DNS;
• gestione centralizzata di reti differenti.

Il livello di amministrazione risulta decisamente superiore rispetto ai resolver DNS pubblici tradizionali.

1.26.4 Prestazioni

SafeDNS utilizza una rete Anycast distribuita su più aree geografiche.

Le prestazioni risultano generalmente molto buone e il filtraggio viene eseguito con un impatto minimo sui tempi di risposta.

Come per qualsiasi resolver pubblico, la latenza effettiva dipende anche dal provider Internet e dal nodo raggiunto dal traffico.

1.26.5 Privacy

Poiché il servizio offre funzionalità di reportistica e amministrazione centralizzata, parte delle informazioni relative alle richieste DNS viene necessariamente gestita dalla piattaforma.

Le modalità di trattamento dei dati sono descritte nella documentazione ufficiale e devono essere valutate soprattutto negli ambienti soggetti a specifici requisiti normativi.

Chi cerca un resolver focalizzato esclusivamente sulla privacy potrebbe preferire servizi come Mullvad DNS o DNS.WATCH.

1.26.6 Supporto ai protocolli moderni

SafeDNS supporta DNS-over-HTTPS, DNS-over-TLS e la validazione DNSSEC.

Questi protocolli consentono di proteggere il traffico DNS tra il dispositivo e il resolver, migliorando la riservatezza delle richieste.

Al momento non risulta disponibile il supporto pubblico a DNS-over-QUIC.

1.26.7 Vantaggi

• filtraggio molto granulare;
• protezione contro malware e phishing;
• controllo parentale avanzato;
• dashboard completa;
• statistiche e report;
• supporto a DoH, DoT e DNSSEC;
• adatto ad aziende e scuole.

1.26.8 Svantaggi

• la maggior parte delle funzionalità richiede un piano commerciale;
• piattaforma meno orientata agli utenti domestici;
• assenza di DoQ;
• numero elevato di opzioni per chi cerca una configurazione semplice.

1.26.9 Valutazione sintetica

1.26.10 Quando conviene scegliere SafeDNS?

SafeDNS rappresenta una soluzione particolarmente indicata per aziende, scuole, biblioteche e organizzazioni che desiderano gestire criteri di navigazione centralizzati con un elevato livello di controllo.

Per un utilizzo domestico semplice esistono alternative meno complesse, mentre per chi cerca un resolver decentralizzato e gestito dalla comunità il prossimo servizio risulta particolarmente interessante.

1.27 OpenNIC

OpenNIC è un progetto nato nel 2000 con l’obiettivo di offrire un’alternativa decentralizzata ai tradizionali resolver DNS gestiti da grandi aziende o provider Internet.

A differenza di servizi come Cloudflare DNS, Google Public DNS o Quad9, OpenNIC non è controllato da una singola società. Si tratta invece di una rete composta da server gestiti da volontari distribuiti in numerosi Paesi.

L’obiettivo del progetto è promuovere un’infrastruttura DNS aperta, indipendente e orientata alla neutralità della rete.

1.27.1 Un’infrastruttura decentralizzata

La principale caratteristica di OpenNIC consiste nella sua architettura.

Non esiste un’unica infrastruttura centrale che gestisce tutte le richieste DNS. Ogni resolver è amministrato dal gestore del singolo nodo, nel rispetto delle linee guida del progetto.

Di conseguenza, prestazioni e funzionalità possono variare sensibilmente da un server all’altro.

1.27.2 Come scegliere un server OpenNIC

A differenza dei resolver tradizionali, OpenNIC non mette a disposizione una coppia di indirizzi DNS valida per tutti gli utenti.

Dal sito ufficiale è possibile consultare un elenco aggiornato dei server disponibili, completo di informazioni come:

• Paese nel quale si trova il nodo;
• supporto IPv4 e IPv6;
• latenza stimata;
• supporto a DNSSEC;
• supporto a DoH e DoT;
• eventuali filtri applicati.

Questo consente di scegliere il resolver più vicino o quello che meglio risponde alle proprie esigenze.

1.27.3 I domini OpenNIC

Storicamente il progetto è nato anche per sperimentare domini alternativi rispetto al DNS tradizionale.

Oltre ai comuni domini pubblici, alcuni resolver OpenNIC permettono di risolvere anche namespace aggiuntivi gestiti dalla comunità.

Questa caratteristica interessa soprattutto appassionati e sviluppatori, mentre ha un impatto limitato nell’utilizzo quotidiano della maggior parte degli utenti.

1.27.4 Prestazioni

Le prestazioni dipendono in larga misura dal nodo selezionato.

Alcuni server offrono tempi di risposta molto contenuti, mentre altri possono risultare meno performanti a causa della posizione geografica o delle risorse disponibili.

Prima di scegliere un resolver è quindi consigliabile verificare la latenza del nodo più vicino.

1.27.5 Privacy

Uno degli aspetti più apprezzati di OpenNIC è la possibilità di scegliere il gestore del resolver.

Questo permette di individuare server con politiche sulla privacy differenti, evitando di concentrare tutte le richieste DNS presso un unico grande provider.

Naturalmente ogni nodo adotta le proprie politiche di gestione dei log, che devono essere valutate singolarmente.

1.27.6 Supporto ai protocolli moderni

Poiché ogni nodo è amministrato autonomamente, il supporto ai protocolli moderni non è uniforme.

Alcuni resolver offrono:

• DNS-over-HTTPS (DoH);
• DNS-over-TLS (DoT);
• DNSSEC;
• IPv6.

Altri potrebbero invece mettere a disposizione soltanto il DNS tradizionale.

1.27.7 Vantaggi

• progetto indipendente e decentralizzato;
• possibilità di scegliere il resolver preferito;
• supporto a IPv6 su molti nodi;
• alcuni server offrono DoH, DoT e DNSSEC;
• servizio completamente gratuito;
• interessante per utenti esperti e amministratori di sistema.

1.27.8 Svantaggi

• qualità del servizio variabile tra i diversi nodi;
• assenza di un’infrastruttura unificata;
• nessuna garanzia uniforme sulle prestazioni;
• politiche privacy differenti in base al gestore del resolver;
• configurazione meno immediata rispetto ai servizi commerciali.

1.27.9 Valutazione sintetica

1.27.10 Quando conviene scegliere OpenNIC?

OpenNIC rappresenta una soluzione interessante per utenti esperti, amministratori di sistema e appassionati che desiderano utilizzare un’infrastruttura DNS decentralizzata e indipendente dai grandi provider commerciali.

Per la maggior parte degli utenti domestici risultano generalmente più semplici da utilizzare resolver come Cloudflare DNS, Quad9 o AdGuard DNS.

1.28 Altri resolver pubblici e progetti emergenti

Cloudflare DNS, Google Public DNS, Quad9 e gli altri servizi descritti nei capitoli precedenti rappresentano oggi i resolver pubblici più conosciuti e utilizzati. Il panorama, tuttavia, è molto più ampio.

Esistono infatti numerosi progetti minori che rispondono a esigenze specifiche, come la tutela della privacy, la sperimentazione di nuove tecnologie, il filtraggio dei contenuti oppure la distribuzione geografica del servizio.

Pur avendo una diffusione inferiore rispetto ai grandi operatori, alcuni di questi resolver possono rappresentare valide alternative in scenari particolari.

1.28.1 LibreDNS

LibreDNS è un progetto sviluppato con particolare attenzione alla privacy. Offre resolver pubblici che supportano i principali protocolli DNS cifrati e dichiara di limitare al minimo la conservazione dei dati tecnici necessari al funzionamento del servizio.

È una soluzione spesso presa in considerazione dagli utenti che desiderano ridurre la dipendenza dai grandi provider commerciali.

1.28.2 LibreOps DNS

LibreOps è un’iniziativa comunitaria che mette a disposizione diversi servizi Internet, tra cui resolver DNS pubblici.

L’approccio è orientato all’open source e alla trasparenza, con particolare attenzione alla privacy e alla decentralizzazione dell’infrastruttura.

1.28.3 CZ.NIC ODVR

L’associazione ceca CZ.NIC, responsabile della gestione del dominio nazionale .cz, sviluppa anche ODVR, un resolver DNS pubblico progettato con particolare attenzione alla sicurezza e alla validazione DNSSEC.

Pur essendo meno conosciuto a livello internazionale, rappresenta un progetto interessante dal punto di vista tecnico.

1.28.4 AliDNS Public DNS

Alibaba Cloud mette a disposizione un resolver DNS pubblico destinato principalmente agli utenti dell’area asiatica.

Grazie alla capillare presenza della propria infrastruttura nella regione, AliDNS può offrire tempi di risposta particolarmente contenuti nei Paesi serviti dalla rete Alibaba.

Per utenti europei o americani il vantaggio prestazionale risulta generalmente inferiore.

1.28.5 Neustar UltraDNS Public

Neustar ha reso disponibile per diversi anni un servizio DNS pubblico orientato soprattutto alla sicurezza e alla protezione delle famiglie.

Nel corso del tempo il servizio ha subito diverse evoluzioni e riorganizzazioni all’interno dell’offerta dell’azienda.

Prima di adottarlo è consigliabile verificare sempre lo stato attuale del progetto e le funzionalità effettivamente disponibili.

1.28.6 Resolver forniti dai provider Internet

Molti operatori di telecomunicazioni mettono a disposizione resolver DNS propri.

In numerosi casi tali resolver risultano perfettamente adeguati e permettono di ottenere buone prestazioni grazie alla vicinanza all’infrastruttura dell’operatore.

Alcuni provider integrano inoltre sistemi di caching molto efficienti o servizi di protezione aggiuntivi.

Per questo motivo non esiste una regola assoluta secondo la quale i DNS pubblici siano sempre migliori dei resolver forniti dal proprio ISP.

1.28.7 Come scegliere un resolver meno conosciuto

Quando si valuta un servizio DNS meno diffuso è consigliabile verificare alcuni aspetti fondamentali:

• chi gestisce il resolver;
• in quale Paese è ospitato il servizio;
• quali protocolli supporta (DoH, DoT, DoQ, DNSSEC);
• come vengono trattati i log;
• quanto è estesa l’infrastruttura;
• la disponibilità di documentazione tecnica;
• la frequenza con cui il progetto viene aggiornato.

Un resolver poco conosciuto non è necessariamente peggiore di uno molto diffuso. Tuttavia è opportuno verificare sempre l’affidabilità del progetto prima di utilizzarlo come resolver principale.

1.28.8 Conviene utilizzare sempre il resolver più famoso?

Non necessariamente.

Un resolver molto diffuso offre spesso un’infrastruttura globale, documentazione completa e un’elevata disponibilità del servizio.

Un progetto più piccolo può invece distinguersi per aspetti specifici, come la privacy, la neutralità della rete oppure un particolare modello di gestione dei dati.

La scelta dipende quindi dalle proprie esigenze, dagli obiettivi di sicurezza e dal livello di fiducia riposto nel gestore del servizio.

1.29 Come cambiare DNS

Dopo aver scelto il resolver più adatto alle proprie esigenze è possibile configurarlo direttamente sul dispositivo oppure sul router.

La modifica richiede generalmente pochi minuti e può essere annullata in qualsiasi momento ripristinando i DNS precedenti.

Le modalità di configurazione variano in base al sistema operativo utilizzato, ma il principio rimane sempre lo stesso: sostituire gli indirizzi DNS assegnati automaticamente dal provider Internet con quelli del resolver scelto.

Prima di procedere è consigliabile annotare gli indirizzi DNS attualmente in uso, così da poterli ripristinare rapidamente in caso di necessità.

1.29.1 Dove conviene modificare i DNS?

Esistono principalmente due modalità di configurazione.

Nelle reti domestiche la configurazione direttamente sul router rappresenta spesso la soluzione più pratica, poiché evita di dover modificare ogni singolo dispositivo.

1.29.2 Quali indirizzi inserire?

Ogni provider DNS mette a disposizione almeno due indirizzi IPv4 e, nella maggior parte dei casi, anche due indirizzi IPv6.

È consigliabile configurare sempre sia il server primario sia quello secondario, così da mantenere la continuità del servizio qualora uno dei resolver non fosse temporaneamente raggiungibile.

Ad esempio, utilizzando Cloudflare DNS, la configurazione sarà la seguente:

DNS Primario:   1.1.1.1
DNS Secondario: 1.0.0.1

Per Google Public DNS:

DNS Primario:   8.8.8.8
DNS Secondario: 8.8.4.4

Naturalmente gli indirizzi cambiano in funzione del resolver scelto.

1.29.3 È necessario riavviare il dispositivo?

Nella maggior parte dei sistemi operativi il riavvio non è strettamente necessario.

Può tuttavia essere utile:

• disconnettere e riconnettere la scheda di rete;
• rinnovare la configurazione DHCP;
• svuotare la cache DNS locale;
• riavviare il browser Internet.

Queste operazioni permettono di utilizzare immediatamente il nuovo resolver evitando che vengano impiegate informazioni ancora presenti nella cache del sistema.

1.29.4 DNS IPv4 o IPv6?

Se la connessione Internet utilizza anche IPv6 è consigliabile configurare entrambi.

In caso contrario il sistema operativo potrebbe continuare a utilizzare i resolver IPv6 assegnati automaticamente dal provider Internet.

Per ottenere un comportamento coerente è quindi preferibile sostituire sia i DNS IPv4 sia quelli IPv6 quando disponibili.

1.29.5 Serve modificare anche il browser?

Alcuni browser moderni, come Google Chrome, Microsoft Edge e Mozilla Firefox, possono utilizzare automaticamente DNS-over-HTTPS indipendentemente dalla configurazione del sistema operativo.

In questi casi il browser potrebbe interrogare un resolver differente rispetto a quello configurato nella scheda di rete.

1.30 Come cambiare i DNS su Windows

Windows permette di modificare i server DNS in diversi modi. La procedura più semplice consiste nell’utilizzare l’interfaccia grafica del sistema operativo, ma è possibile effettuare la stessa operazione anche tramite Prompt dei comandi, PowerShell oppure Windows Terminal.

Le istruzioni riportate di seguito sono valide per Windows 11 e, con differenze minime nell’interfaccia, anche per Windows 10.

1.30.1 Metodo 1: tramite Impostazioni

1. Aprire Impostazioni.
2. Accedere a Rete e Internet.
3. Selezionare la connessione utilizzata (Ethernet oppure Wi-Fi).
4. Aprire le proprietà della connessione.
5. Nella sezione Assegnazione server DNS fare clic su Modifica.
6. Selezionare Manuale.
7. Abilitare IPv4 (e, se utilizzato, anche IPv6).
8. Inserire gli indirizzi DNS del provider scelto.
9. Salvare la configurazione.

Ad esempio, per utilizzare Cloudflare DNS:

DNS preferito:   1.1.1.1
DNS alternativo: 1.0.0.1

1.30.2 Metodo 2: tramite il Pannello di controllo

Chi preferisce l’interfaccia classica può utilizzare anche il Pannello di controllo.

1. Aprire Pannello di controllo.
2. Entrare in Centro connessioni di rete e condivisione.
3. Fare clic su Modifica impostazioni scheda.
4. Aprire le proprietà della scheda di rete utilizzata.
5. Selezionare Protocollo Internet versione 4 (TCP/IPv4).
6. Fare clic su Proprietà.
7. Selezionare Utilizza i seguenti indirizzi server DNS.
8. Inserire il server DNS preferito e quello alternativo.
9. Confermare con OK.

La stessa procedura può essere ripetuta anche per il protocollo IPv6.

1.30.3 Metodo 3: tramite PowerShell

Gli amministratori di sistema possono configurare rapidamente i DNS anche da riga di comando.

Per visualizzare le interfacce disponibili:

Get-NetAdapter

Per impostare Cloudflare DNS sull’interfaccia “Ethernet”:

Set-DnsClientServerAddress `
-InterfaceAlias "Ethernet" `
-ServerAddresses ("1.1.1.1","1.0.0.1")

Per ripristinare i DNS assegnati automaticamente dal server DHCP:

Set-DnsClientServerAddress `
-InterfaceAlias "Ethernet" `
-ResetServerAddresses

1.30.4 Metodo 4: tramite Prompt dei comandi (netsh)

Windows mantiene ancora il comando netsh, utile soprattutto negli script di automazione.

Per configurare Cloudflare DNS:

netsh interface ip set dns name="Ethernet" static 1.1.1.1

netsh interface ip add dns name="Ethernet" 1.0.0.1 index=2

Il nome dell’interfaccia deve corrispondere a quello presente nel sistema operativo.

1.30.5 Svuotare la cache DNS

Dopo aver modificato il resolver può essere utile eliminare la cache DNS locale di Windows.

ipconfig /flushdns

Il comando elimina le risoluzioni memorizzate localmente, costringendo il sistema a interrogare immediatamente il nuovo resolver.

1.30.6 Come verificare i DNS configurati

Per visualizzare rapidamente i resolver attualmente utilizzati è possibile eseguire:

ipconfig /all

Oppure, tramite PowerShell:

Get-DnsClientServerAddress

Entrambi i comandi mostrano gli indirizzi DNS associati alle varie interfacce di rete.

1.30.7 Quando conviene modificare i DNS direttamente su Windows?

La configurazione sul singolo computer è indicata quando si desidera utilizzare un resolver differente rispetto agli altri dispositivi presenti nella rete.

Se invece tutti i dispositivi devono utilizzare gli stessi DNS, risulta generalmente più pratico modificare la configurazione direttamente sul router.

1.31 Come cambiare i DNS su macOS

macOS permette di modificare facilmente i server DNS utilizzati dalla connessione di rete. La configurazione può essere effettuata dall’interfaccia grafica oppure tramite Terminale, soluzione particolarmente utile per amministratori di sistema e utenti avanzati.

Le procedure illustrate sono valide per le versioni più recenti di macOS, comprese macOS Sonoma, Sequoia e successive. Nelle versioni meno recenti alcuni menu possono avere una disposizione differente, ma il principio di funzionamento rimane invariato.

1.31.1 Metodo 1: tramite Impostazioni di Sistema

1. Aprire Impostazioni di Sistema.
2. Selezionare Rete.
3. Scegliere la connessione utilizzata (Wi-Fi oppure Ethernet).
4. Fare clic su Dettagli….
5. Aprire la scheda DNS.
6. Nella sezione Server DNS premere il pulsante +.
7. Inserire gli indirizzi del resolver scelto.
8. Rimuovere eventualmente quelli non più desiderati.
9. Confermare con OK e successivamente con Fine.

Ad esempio, per utilizzare Quad9:

DNS Primario:   9.9.9.9
DNS Secondario: 149.112.112.112

1.31.2 Ordine dei resolver

macOS interroga normalmente i resolver seguendo l’ordine indicato nella configurazione.

È quindi consigliabile inserire come primo indirizzo il resolver che si desidera utilizzare prioritariamente, lasciando il secondo come server di backup.

1.31.3 Configurare anche IPv6

Se la rete utilizza IPv6 è opportuno configurare anche i relativi resolver.

In caso contrario macOS potrebbe continuare a interrogare i server DNS IPv6 forniti automaticamente dal router.

1.31.4 Metodo 2: tramite Terminale

macOS mette a disposizione il comando networksetup, che consente di gestire completamente la configurazione di rete.

Per visualizzare i servizi disponibili:

networksetup -listallnetworkservices

Per configurare Cloudflare DNS sulla rete Wi-Fi:

sudo networksetup -setdnsservers Wi-Fi 1.1.1.1 1.0.0.1

Per utilizzare Google Public DNS:

sudo networksetup -setdnsservers Wi-Fi 8.8.8.8 8.8.4.4

Naturalmente il nome del servizio (Wi-Fi, Ethernet o altro) deve corrispondere a quello presente sul sistema.

1.31.5 Ripristinare i DNS automatici

Per tornare alla configurazione assegnata automaticamente tramite DHCP è sufficiente eseguire:

sudo networksetup -setdnsservers Wi-Fi Empty

Da quel momento macOS utilizzerà nuovamente i resolver forniti dal router o dal provider Internet.

1.31.6 Verificare i DNS configurati

Per visualizzare rapidamente i server DNS associati a una connessione:

networksetup -getdnsservers Wi-Fi

Per ottenere una panoramica completa della configurazione DNS del sistema:

scutil --dns

Quest’ultimo comando mostra tutte le informazioni utilizzate dal resolver interno di macOS, comprese le configurazioni IPv4, IPv6 e le eventuali VPN attive.

1.31.7 Svuotare la cache DNS

Dopo aver modificato i resolver può essere utile eliminare la cache DNS del sistema.

sudo dscacheutil -flushcache

sudo killall -HUP mDNSResponder

Il comando non produce normalmente alcun messaggio di conferma, ma la cache viene comunque rigenerata automaticamente alle successive richieste.

1.31.8 Una particolarità di macOS

macOS gestisce in modo intelligente le connessioni di rete e può utilizzare configurazioni DNS differenti in presenza di VPN, interfacce virtuali o connessioni simultanee.

Per questo motivo il comando scutil –dns rappresenta generalmente lo strumento più affidabile per verificare il resolver effettivamente utilizzato dal sistema.

1.31.9 Quando conviene modificare i DNS su macOS?

La configurazione sul singolo Mac è consigliata quando si desidera utilizzare un resolver differente rispetto agli altri dispositivi della rete oppure quando non è possibile intervenire direttamente sul router.

1.32 Come cambiare i DNS su Linux

Linux offre numerose modalità per configurare i server DNS. La procedura dipende principalmente dalla distribuzione utilizzata e dal software che gestisce la rete.

Le distribuzioni moderne, come Ubuntu, Debian, Fedora, Rocky Linux, AlmaLinux e Linux Mint, utilizzano generalmente NetworkManager oppure systemd-resolved. In ambito server possono invece essere presenti configurazioni statiche o strumenti differenti.

Prima di modificare i resolver è quindi consigliabile verificare quale componente gestisce la rete sul sistema.

1.32.1 Metodo 1: tramite interfaccia grafica

Nelle distribuzioni desktop la modifica può essere effettuata direttamente dalle impostazioni di rete.

1. Aprire Impostazioni.
2. Entrare nella sezione Rete.
3. Selezionare la connessione Ethernet oppure Wi-Fi.
4. Aprire le impostazioni della connessione.
5. Disabilitare l’assegnazione automatica dei DNS.
6. Inserire gli indirizzi del resolver desiderato.
7. Salvare la configurazione.
8. Disconnettere e riconnettere la rete.

Ad esempio, per utilizzare Quad9:

DNS Primario:   9.9.9.9
DNS Secondario: 149.112.112.112

1.32.2 Metodo 2: tramite NetworkManager

Nella maggior parte delle distribuzioni desktop è disponibile il comando nmcli.

Per visualizzare le connessioni configurate:

nmcli connection show

Per impostare Cloudflare DNS:

nmcli connection modify "Connessione cablata 1" \
ipv4.dns "1.1.1.1 1.0.0.1"

nmcli connection modify "Connessione cablata 1" \
ipv4.ignore-auto-dns yes

Successivamente è sufficiente riattivare la connessione:

nmcli connection down "Connessione cablata 1"

nmcli connection up "Connessione cablata 1"

1.32.3 Metodo 3: systemd-resolved

Molte distribuzioni moderne utilizzano systemd-resolved come resolver locale.

Per verificare i resolver attualmente configurati:

resolvectl status

Per configurare temporaneamente Cloudflare DNS sulla scheda eth0:

sudo resolvectl dns eth0 1.1.1.1 1.0.0.1

Questa configurazione non è permanente e viene normalmente persa al riavvio, salvo configurazioni specifiche.

1.32.4 Metodo 4: modificando resolv.conf

Sui sistemi meno recenti oppure in alcune installazioni server è ancora possibile modificare direttamente il file /etc/resolv.conf.

sudo nano /etc/resolv.conf

Inserendo ad esempio:

nameserver 1.1.1.1
nameserver 1.0.0.1

1.32.5 Verificare i DNS configurati

Per controllare rapidamente quali resolver sono attualmente utilizzati è possibile eseguire:

resolvectl status

Oppure:

cat /etc/resolv.conf

Se il sistema utilizza NetworkManager è possibile visualizzare anche la configurazione della singola connessione:

nmcli device show

1.32.6 Svuotare la cache DNS

Non tutte le distribuzioni mantengono una cache DNS locale.

Se viene utilizzato systemd-resolved è possibile eliminarla con:

sudo resolvectl flush-caches

Per verificarne il contenuto:

resolvectl statistics

1.32.7 Linux server: una considerazione importante

Nei server Linux è generalmente preferibile configurare resolver affidabili e stabili, evitando di modificarli frequentemente.

In presenza di servizi DNS locali, cache resolver oppure software come Unbound, BIND o dnsmasq, la configurazione può risultare differente rispetto a quella di una workstation.

Prima di modificare i resolver è quindi opportuno verificare se il server utilizza già un resolver locale dedicato.

1.32.8 Quando conviene modificare i DNS su Linux?

La configurazione sul singolo sistema è consigliata quando il computer deve utilizzare resolver differenti rispetto al resto della rete oppure quando si desidera testare rapidamente un nuovo provider DNS.

1.33 Come cambiare i DNS su Android

Android permette di configurare i server DNS in due modi differenti, a seconda della versione del sistema operativo e del tipo di resolver che si desidera utilizzare.

Da Android 9 (Pie) in poi è infatti disponibile la funzione DNS privato (Private DNS), che utilizza automaticamente il protocollo DNS-over-TLS (DoT). In alternativa è sempre possibile configurare manualmente i DNS della singola rete Wi-Fi.

È importante comprendere la differenza tra questi due metodi, perché non hanno lo stesso comportamento.

1.33.1 DNS della rete Wi-Fi o DNS Privato?

Quando disponibile, il DNS Privato rappresenta generalmente la soluzione più consigliata.

1.33.2 Metodo 1: configurare i DNS della rete Wi-Fi

1. Aprire Impostazioni.
2. Entrare in Rete e Internet.
3. Aprire Wi-Fi.
4. Selezionare la rete alla quale si è connessi.
5. Premere Modifica rete.
6. Aprire le Opzioni avanzate.
7. Modificare le impostazioni IP da DHCP a Statico.
8. Inserire gli indirizzi DNS desiderati.
9. Salvare la configurazione.

Ad esempio, utilizzando Google Public DNS:

DNS 1: 8.8.8.8
DNS 2: 8.8.4.4

Questa configurazione sarà valida esclusivamente per quella specifica rete Wi-Fi.

1.33.3 Metodo 2: utilizzare il DNS Privato (Private DNS)

A partire da Android 9 è disponibile una modalità decisamente più moderna.

1. Aprire Impostazioni.
2. Entrare in Rete e Internet.
3. Aprire DNS Privato.
4. Selezionare Nome host provider DNS privato.
5. Inserire il nome host del resolver.
6. Salvare la configurazione.

A differenza della configurazione tradizionale, in questo caso non vengono inseriti indirizzi IP ma un nome host.

Alcuni esempi:

Il resolver deve supportare DNS-over-TLS, altrimenti Android non riuscirà a utilizzarlo.

1.33.4 Quando utilizzare il DNS Privato?

Il DNS Privato rappresenta normalmente la soluzione migliore perché:

• protegge il traffico DNS tramite DNS-over-TLS;
• funziona sia in Wi-Fi sia su rete mobile;
• non richiede la configurazione di ogni singola rete wireless;
• viene applicato automaticamente a tutto il sistema operativo.

Per questi motivi è il metodo consigliato dalla maggior parte dei provider che supportano DoT.

1.33.5 Come verificare la configurazione

Dopo aver modificato il resolver è consigliabile:

• disattivare e riattivare il Wi-Fi;
• riavviare la connessione dati, se necessario;
• chiudere e riaprire il browser;
• verificare il resolver realmente utilizzato tramite un servizio di controllo DNS.

1.33.6 Una limitazione da conoscere

Alcuni produttori personalizzano Android con interfacce proprietarie.

Di conseguenza i nomi dei menu possono cambiare leggermente tra Samsung, Google Pixel, Xiaomi, Motorola, Oppo, OnePlus, Honor e altri produttori.

La logica della configurazione rimane comunque sostanzialmente identica.

1.33.7 Quando conviene modificare i DNS su Android?

La configurazione del DNS Privato rappresenta la soluzione più indicata quando si desidera utilizzare lo stesso resolver sia in Wi-Fi sia sulla rete dati mobile, beneficiando anche della cifratura offerta da DNS-over-TLS.

1.34 Come cambiare i DNS su iPhone e iPad

Su iPhone e iPad è possibile modificare i server DNS utilizzati dalle connessioni Wi-Fi direttamente dalle impostazioni di iOS e iPadOS. La procedura è piuttosto semplice, ma presenta una differenza importante rispetto ad Android: la configurazione viene applicata a ogni singola rete Wi-Fi e non all’intero dispositivo.

Per utilizzare DNS-over-HTTPS (DoH) o DNS-over-TLS (DoT) è invece necessario ricorrere a un profilo di configurazione oppure a un’applicazione fornita dal gestore del resolver.

1.34.1 Configurare i DNS per una rete Wi-Fi

1. Aprire Impostazioni.
2. Entrare in Wi-Fi.
3. Premere l’icona ⓘ accanto alla rete utilizzata.
4. Scorrere fino alla sezione Configura DNS.
5. Selezionare Manuale.
6. Eliminare i server DNS esistenti, se necessario.
7. Aggiungere il server DNS primario.
8. Aggiungere il server DNS secondario.
9. Salvare la configurazione.

Ad esempio, per utilizzare Quad9:

DNS Primario:   9.9.9.9
DNS Secondario: 149.112.112.112

La configurazione sarà valida esclusivamente per quella specifica rete Wi-Fi.

1.34.2 Una configurazione per ogni rete

A differenza di Android, iOS non permette di definire un resolver DNS tradizionale valido per tutte le reti Wi-Fi.

Ogni nuova rete richiede quindi una configurazione separata.

Se il dispositivo viene collegato frequentemente a reti differenti, questa limitazione può rendere meno pratica la gestione dei resolver tradizionali.

1.34.3 DNS-over-HTTPS e DNS-over-TLS su iPhone

Le versioni più recenti di iOS supportano anche i protocolli DNS cifrati.

Tuttavia la configurazione non avviene inserendo semplicemente gli indirizzi IP del resolver.

Normalmente è necessario installare:

• un profilo di configurazione (.mobileconfig);
• oppure un’app ufficiale del provider DNS;
• oppure un’app VPN che implementa esclusivamente il resolver DNS.

Molti provider mettono già a disposizione questi strumenti.

Ad esempio:

• Cloudflare propone l’app 1.1.1.1;
• NextDNS fornisce un profilo personalizzato;
• AdGuard DNS mette a disposizione sia profili sia applicazioni dedicate.

1.34.4 Perché utilizzare DoH o DoT?

I protocolli DNS cifrati impediscono che le richieste DNS vengano trasmesse in chiaro sulla rete.

Questo riduce il rischio che possano essere intercettate o modificate durante il percorso tra il dispositivo e il resolver.

Per questo motivo, quando il provider scelto li supporta, rappresentano generalmente la soluzione preferibile rispetto al DNS tradizionale.

1.34.5 Come verificare i DNS configurati

Dopo aver modificato la configurazione è consigliabile:

• disattivare e riattivare il Wi-Fi;
• chiudere e riaprire il browser;
• verificare il resolver effettivamente utilizzato tramite un servizio online di controllo DNS.

1.34.6 Attenzione a iCloud Private Relay

Gli utenti che dispongono di un abbonamento iCloud+ possono utilizzare la funzione Private Relay.

Questa tecnologia modifica il modo in cui vengono gestite alcune connessioni di Safari e può influire sul comportamento delle richieste DNS.

Durante le verifiche è quindi opportuno considerare anche l’eventuale presenza di questa funzionalità.

1.34.7 VPN e applicazioni di sicurezza

Molte applicazioni VPN installano automaticamente una configurazione di rete dedicata.

In questi casi il resolver DNS configurato manualmente potrebbe essere sostituito dai server distribuiti dal servizio VPN.

Lo stesso comportamento può verificarsi con alcune applicazioni dedicate alla sicurezza della navigazione.

1.34.8 Quando conviene modificare i DNS su iPhone e iPad?

La configurazione manuale è indicata quando si desidera utilizzare un resolver differente su una specifica rete Wi-Fi.

Per chi invece desidera utilizzare DNS-over-HTTPS o DNS-over-TLS su tutte le connessioni, risulta generalmente più pratico installare il profilo ufficiale oppure l’applicazione messa a disposizione dal provider DNS.

1.35 Come cambiare i DNS sul router

Configurare i server DNS direttamente sul router rappresenta, nella maggior parte dei casi, la soluzione più pratica. In questo modo tutti i dispositivi collegati alla rete locale utilizzeranno automaticamente gli stessi resolver, senza dover intervenire singolarmente su computer, smartphone, tablet, Smart TV o console di gioco.

La procedura varia leggermente in base al produttore del router, ma il principio rimane sempre lo stesso: sostituire i server DNS forniti dal provider Internet con quelli del resolver scelto.

1.35.1 Perché configurare i DNS sul router?

L’impostazione a livello di router offre diversi vantaggi:

• un’unica configurazione per tutta la rete;
• nessuna modifica sui singoli dispositivi;
• nuovi dispositivi configurati automaticamente;
• maggiore uniformità nella gestione della rete;
• ideale per abitazioni, uffici e piccole aziende.

Per questo motivo rappresenta generalmente la soluzione consigliata quando tutti i dispositivi devono utilizzare gli stessi resolver.

1.35.2 Procedura generale

1. Aprire il browser.
2. Accedere al pannello di amministrazione del router.
3. Entrare nella sezione dedicata alla connessione Internet (WAN oppure Internet).
4. Individuare la configurazione dei server DNS.
5. Disabilitare, se presente, l’opzione che utilizza automaticamente i DNS del provider.
6. Inserire il server DNS primario.
7. Inserire il server DNS secondario.
8. Salvare la configurazione.
9. Riavviare il router, se richiesto.

1.35.3 Esempio con Cloudflare DNS

DNS Primario:   1.1.1.1
DNS Secondario: 1.0.0.1

Naturalmente è possibile utilizzare qualsiasi altro resolver pubblico illustrato nei capitoli precedenti.

1.35.4 Attenzione al server DHCP

Nella maggior parte dei router è il server DHCP interno a comunicare ai dispositivi quali resolver DNS utilizzare.

Di conseguenza, dopo aver modificato la configurazione del router, potrebbe essere necessario:

• riavviare i dispositivi;
• rinnovare il lease DHCP;
• disconnettere e riconnettere la rete.

In questo modo i nuovi server DNS verranno distribuiti automaticamente.

1.35.5 Router con DNS-over-HTTPS e DNS-over-TLS

I router più recenti, soprattutto quelli destinati agli utenti avanzati, permettono di configurare direttamente DNS-over-HTTPS (DoH) oppure DNS-over-TLS (DoT).

Tra questi si trovano, ad esempio:

• OPNsense;
• pfSense;
• OpenWrt;
• MikroTik RouterOS;
• alcuni modelli ASUS;
• alcuni modelli AVM FRITZ!Box;
• alcuni router Synology.

In questi casi non vengono configurati solamente gli indirizzi IP dei resolver, ma anche gli endpoint necessari per stabilire la connessione cifrata.

1.35.6 I router degli operatori Internet

Non tutti i router forniti dagli operatori consentono di modificare i server DNS.

Alcuni modelli permettono esclusivamente di utilizzare i resolver assegnati automaticamente dal provider.

In questi casi le possibili soluzioni sono:

• configurare i DNS sui singoli dispositivi;
• installare un router personale;
• utilizzare un router in cascata;
• impiegare un resolver locale all’interno della rete.

1.35.7 Attenzione ai DNS IPv6

Molti router moderni distribuiscono automaticamente sia i resolver IPv4 sia quelli IPv6.

Se vengono modificati soltanto i DNS IPv4, alcuni dispositivi potrebbero continuare a utilizzare i resolver IPv6 del provider Internet.

Per ottenere un comportamento uniforme è quindi consigliabile configurare entrambe le versioni del protocollo quando disponibili.

1.35.8 Quando non conviene modificare il router?

In alcuni casi può essere preferibile intervenire soltanto sui singoli dispositivi.

Ad esempio:

• quando si desiderano resolver differenti per computer diversi;
• quando il router appartiene al provider e non è modificabile;
• quando vengono effettuati test su resolver differenti;
• quando alcuni dispositivi richiedono configurazioni specifiche.

1.35.9 Come verificare che il router distribuisca i nuovi DNS

Dopo aver salvato la configurazione è consigliabile rinnovare la connessione di almeno un dispositivo e verificare gli indirizzi DNS ricevuti tramite DHCP.

Se continuano a comparire i resolver del provider Internet, è possibile che:

• il lease DHCP non sia ancora stato rinnovato;
• il router richieda un riavvio;
• il provider imponga i propri resolver;
• sia presente una configurazione IPv6 ancora attiva.

1.35.10 La soluzione migliore nella maggior parte dei casi

Quando il router lo permette, la configurazione a livello di rete rappresenta generalmente la scelta più pratica e semplice da gestire.

Tutti i dispositivi utilizzeranno automaticamente lo stesso resolver, evitando configurazioni ripetitive su ogni computer, smartphone o tablet.

1.36 Come verificare che il nuovo DNS sia realmente in uso

Dopo aver modificato i server DNS è naturale chiedersi se il dispositivo stia realmente utilizzando il nuovo resolver oppure continui a interrogare quello del provider Internet.

La semplice presenza dei nuovi indirizzi nella configurazione di rete non rappresenta infatti una garanzia assoluta. Cache DNS, browser, VPN, proxy, sistemi di sicurezza o protocolli come DNS-over-HTTPS possono influenzare il comportamento effettivo del sistema.

Per questo motivo è consigliabile effettuare sempre una verifica.

1.36.1 Metodo 1: utilizzare un sito di verifica

Il metodo più semplice consiste nell’utilizzare uno dei servizi online che mostrano il resolver DNS utilizzato dalla connessione.

Tra i più affidabili si trovano:

• DNS Leak Test;
• BrowserLeaks – DNS Leak Test;
• ipleak.net;
• DNSCheck Tools;
• 1.1.1.1/help (Cloudflare).

Questi servizi mostrano generalmente:

• l’indirizzo IP del resolver;
• il nome del provider DNS;
• la posizione geografica del resolver;
• l’eventuale utilizzo di DNS-over-HTTPS o DNS-over-TLS.

Se il provider visualizzato corrisponde a quello configurato, la modifica è andata a buon fine.

1.36.2 Metodo 2: utilizzare nslookup

Windows, Linux e macOS mettono a disposizione il comando nslookup.

Per verificare quale resolver risponde alle richieste:

nslookup www.google.com

L’output mostrerà il server DNS utilizzato, ad esempio:

Server:  one.one.one.one
Address: 1.1.1.1

Se compare il resolver scelto, significa che il sistema sta interrogando il nuovo server DNS.

1.36.3 Metodo 3: utilizzare dig

Sui sistemi Linux e macOS (oppure su Windows installando gli strumenti BIND) è disponibile anche il comando dig.

dig www.vhosting.com

Alla fine dell’output viene normalmente indicato il server DNS che ha fornito la risposta.

È inoltre possibile interrogare direttamente un resolver specifico:

dig @1.1.1.1 www.vhosting.com

1.36.4 Metodo 4: controllare la configurazione del sistema

Ogni sistema operativo mette a disposizione strumenti per verificare i resolver configurati.

Questi comandi mostrano i resolver configurati, ma non sempre consentono di stabilire se siano realmente quelli utilizzati durante la navigazione.

1.36.5 Perché il resolver visualizzato può essere diverso?

Esistono numerose situazioni nelle quali il resolver effettivamente utilizzato non coincide con quello configurato manualmente.

Tra le più comuni:

• browser che utilizzano DNS-over-HTTPS;
• VPN che distribuiscono resolver propri;
• iCloud Private Relay;
• proxy aziendali;
• software di sicurezza;
• cache DNS ancora presenti;
• configurazioni IPv6 differenti da quelle IPv4.

In questi casi è normale che il provider DNS rilevato risulti differente da quello configurato nella scheda di rete.

1.36.6 Come eliminare eventuali dubbi

Se dopo la modifica continuano a comparire i vecchi resolver è consigliabile:

1. svuotare la cache DNS del sistema operativo;
2. riavviare il browser;
3. riconnettere la rete;
4. riavviare il router, se necessario;
5. ripetere il test con un secondo servizio online.

Nella maggior parte dei casi il problema è dovuto semplicemente alla presenza di informazioni ancora memorizzate nella cache.

1.36.7 Come verificare DNS-over-HTTPS o DNS-over-TLS

Alcuni servizi, come la pagina ufficiale di Cloudflare 1.1.1.1/help, consentono anche di verificare se il dispositivo stia realmente utilizzando DNS-over-HTTPS oppure DNS-over-TLS.

Questa informazione è particolarmente utile quando il resolver è stato configurato tramite browser, Android Private DNS oppure profili dedicati su iOS.

1.36.8 Quando si può considerare conclusa la configurazione?

Se il resolver visualizzato dai test corrisponde a quello scelto e la navigazione avviene regolarmente, la configurazione può considerarsi completata con successo.

A questo punto rimane soltanto da chiarire alcuni dei dubbi più comuni raccolti nella sezione delle Domande frequenti, che affronta gli aspetti pratici più richiesti dagli utenti.

1.37 Domande frequenti sui DNS pubblici

1.37.1 Cambiare DNS rende la connessione Internet più veloce?

Non sempre.

Il cambio del resolver può ridurre il tempo necessario per risolvere i nomi di dominio, ma non aumenta la velocità della linea Internet.

Se la connessione è limitata dalla banda disponibile, cambiare DNS non produrrà alcun miglioramento nella velocità di download o upload.

Può invece rendere leggermente più rapida l’apertura dei siti web quando il nuovo resolver risponde più velocemente rispetto a quello utilizzato in precedenza.

1.37.2 Cambiare DNS aumenta la privacy?

Dipende dal resolver scelto.

Alcuni provider adottano politiche particolarmente attente alla tutela della privacy, mentre altri conservano log tecnici per periodi più o meno lunghi.

La scelta del resolver dovrebbe quindi tenere conto anche delle politiche di gestione dei dati pubblicate dal gestore del servizio.

1.37.3 I DNS pubblici sono gratuiti?

La maggior parte dei resolver pubblici più conosciuti è disponibile gratuitamente.

Alcuni servizi, come NextDNS, Control D o SafeDNS, propongono anche piani commerciali che aggiungono funzionalità avanzate, dashboard di gestione, reportistica e configurazioni personalizzate.

1.37.4 È possibile tornare ai DNS del provider Internet?

Sì.

È sufficiente ripristinare l’assegnazione automatica dei server DNS oppure reinserire manualmente gli indirizzi forniti dal proprio operatore.

La modifica è completamente reversibile.

1.37.5 I DNS pubblici funzionano con qualsiasi operatore Internet?

Nella quasi totalità dei casi sì.

I resolver pubblici possono essere utilizzati indipendentemente dal provider della connessione Internet.

Esistono tuttavia alcuni operatori che, in particolari scenari o su specifici apparati, possono limitare o gestire diversamente il traffico DNS.

1.37.6 È possibile utilizzare DNS diversi su dispositivi differenti?

Sì.

Ogni dispositivo può utilizzare resolver differenti rispetto agli altri presenti nella stessa rete.

Ad esempio, un computer può utilizzare Quad9 mentre uno smartphone utilizza AdGuard DNS e una Smart TV continua a utilizzare i DNS del router.

1.37.7 I DNS pubblici sostituiscono un antivirus?

No.

I resolver che integrano sistemi di protezione contro malware e phishing rappresentano un ulteriore livello di sicurezza, ma non sostituiscono un antivirus, un firewall o altre soluzioni dedicate alla protezione del sistema.

1.37.8 Conviene utilizzare DNS-over-HTTPS oppure DNS-over-TLS?

Entrambi i protocolli proteggono il traffico DNS tramite cifratura.

DNS-over-HTTPS utilizza il protocollo HTTPS, mentre DNS-over-TLS impiega una connessione TLS dedicata.

Nell’utilizzo quotidiano le differenze risultano generalmente trascurabili e la scelta dipende soprattutto dal supporto offerto dal dispositivo e dal resolver utilizzato.

1.37.9 Che differenza c’è tra DNS-over-HTTPS e una VPN?

DNS-over-HTTPS cifra esclusivamente le richieste DNS.

Una VPN, invece, cifra normalmente tutto il traffico di rete tra il dispositivo e il server VPN.

Le due tecnologie rispondono quindi a esigenze differenti e possono essere utilizzate anche contemporaneamente.

1.37.10 È possibile utilizzare più di due server DNS?

Sì.

Molti sistemi operativi consentono di configurare più resolver.

Nella pratica, tuttavia, due server DNS sono generalmente sufficienti per garantire un’elevata disponibilità del servizio.

1.37.11 Come capire quale DNS è il più veloce?

Non esiste un resolver universalmente più rapido.

Le prestazioni dipendono dalla posizione geografica, dal provider Internet, dall’infrastruttura del resolver e dal percorso seguito dal traffico di rete.

Il metodo più affidabile consiste nell’effettuare test direttamente dalla propria connessione utilizzando strumenti dedicati.

1.37.12 È consigliabile utilizzare lo stesso DNS sia in IPv4 sia in IPv6?

Sì.

Quando la rete utilizza entrambi i protocolli è preferibile configurare sia i resolver IPv4 sia quelli IPv6 dello stesso provider.

In questo modo si evita che il sistema utilizzi resolver differenti a seconda del protocollo impiegato.

1.37.13 I browser possono ignorare i DNS configurati nel sistema operativo?

Sì.

Browser come Google Chrome, Microsoft Edge e Mozilla Firefox possono utilizzare DNS-over-HTTPS con resolver propri oppure configurati separatamente.

Per questo motivo è sempre consigliabile verificare quale resolver venga realmente utilizzato durante la navigazione.

1.37.14 Quando conviene cambiare DNS?

Il cambio del resolver può risultare utile quando si desiderano migliori prestazioni, una maggiore tutela della privacy, protezione contro malware e phishing, controllo parentale oppure funzionalità avanzate come il blocco della pubblicità.

Se invece i resolver del provider risultano già affidabili e rispondono correttamente alle proprie esigenze, la modifica potrebbe non offrire benefici percepibili.

1.38 In definitiva, quale DNS scegliere?

Dopo aver analizzato il funzionamento del DNS, le differenze tra i principali resolver pubblici e le modalità di configurazione sui vari dispositivi, una conclusione appare evidente: non esiste un DNS migliore in assoluto.

Ogni resolver nasce infatti con obiettivi differenti. Alcuni privilegiano la velocità, altri la privacy, altri ancora la sicurezza oppure il filtraggio dei contenuti.

La scelta dovrebbe quindi partire da una semplice domanda: quale problema si desidera risolvere?

1.38.1 Vale davvero la pena cambiare DNS?

Nella maggior parte dei casi sì, soprattutto quando il resolver fornito dal provider Internet risulta lento, poco affidabile oppure privo delle funzionalità desiderate.

Il cambio del resolver richiede pochi minuti, è completamente reversibile e consente di scegliere un servizio maggiormente in linea con le proprie esigenze.

Occorre però evitare aspettative irrealistiche.

La modifica dei DNS non aumenta la velocità della connessione Internet, non sostituisce una VPN e non elimina la necessità di utilizzare antivirus, firewall o altre misure di sicurezza.

1.38.2 Il consiglio finale

Per chi non ha esigenze particolari, resolver come Cloudflare DNS e Quad9 rappresentano spesso un ottimo punto di partenza grazie al buon equilibrio tra prestazioni, affidabilità e semplicità di configurazione.

Chi invece desidera il massimo controllo sulla navigazione troverà in NextDNS, Control D e SafeDNS strumenti decisamente più completi, mentre gli utenti maggiormente orientati alla privacy potrebbero preferire Mullvad DNS, DNS.WATCH oppure UncensoredDNS.

La soluzione migliore rimane comunque quella che risponde alle proprie necessità, dopo aver valutato prestazioni, privacy, funzionalità offerte e affidabilità del gestore.