Quale DNS scegliere in base alle tue esigenze (non esiste “il migliore per tutti”)

Il DNS è quella cosa invisibile che ogni volta che apri un sito traduce il nome (es. tivustream.com) nell’indirizzo IP (numerico) del server che lo ospita. Se lasci il DNS del tuo Provider Internet, quasi certamente sta viaggiando in chiaro e, in molti casi, viene registrato insieme al resto del tuo traffico. Cambiarlo è uno dei gesti più semplici e a più alto impatto che puoi fare per la tua privacy digitale, ma “cambiarlo” con cosa, esattamente, differenzia parecchio a seconda di chi sei e di cosa ti serve.

Invece dell’ennesima classifica con voti e stelline, qui trovi un ragionamento pratico: parti dalla tua esigenza, arrivi al DNS giusto.

Cosa NON fa un DNS

Vale la pena chiarirlo subito perché è la fonte di quasi tutta la confusione online: un DNS non nasconde il tuo indirizzo IP e non cripta il traffico dei siti che visiti. Cripta solo la richiesta — cioè il fatto che tu stia chiedendo l’indirizzo di un certo dominio — se usi protocolli come DoH (DNS-over-HTTPS) o DoT (DNS-over-TLS). Il sito che visiti dopo vede comunque il tuo IP reale, a meno che tu non stia usando anche una VPN.

Se l’obiettivo è mascherare la tua posizione o proteggerti su reti Wi-Fi pubbliche, il DNS da solo non basta — qui trovi le differenze tra DNS, Smart DNS e VPN spiegate nel dettaglio. Se invece l’obiettivo è smettere di far leggere in chiaro le tue richieste al tuo operatore, bloccare pubblicità e tracker a livello di rete, o semplicemente non affidarti più a Google, il DNS giusto fa una differenza enorme, e ci vogliono due minuti per configurarlo (qui la guida passo passo: come configurare i DNS).

Se vuoi il minimo indispensabile: niente log, niente storie

Se la tua esigenza è semplice — smettere di usare il DNS dell’operatore e non farti profilare — la scelta più sensata resta Quad9. È no-profit, con sede in Svizzera, non richiede registrazione, non conserva dati personali e blocca automaticamente i domini malevoli su quasi tutti i suoi server. Non ha funzioni avanzate di personalizzazione, ma è esattamente questo il suo punto di forza: zero interfaccia, zero account, zero da configurare oltre l’indirizzo del resolver. Ne parliamo in modo più approfondito qui: Quad9 DNS, guida completa.

Anche Mullvad DNS merita una menzione in questa categoria: è gratuito anche senza abbonarsi alla loro VPN, gira su server RAM-only (quindi non c’è nulla da poter recuperare dopo un riavvio) e offre due varianti, con o senza blocco di pubblicità e tracker.

Se hai figli in casa: serve granularità, non solo blocco

Qui il discorso cambia completamente. Non ti basta un DNS che blocca il malware, ti serve un pannello dove poter scegliere cosa bloccare, per chi, e con che livello di severità — categorie di siti, orari, dispositivi diversi con profili diversi.

NextDNS resta il punto di riferimento in questa fascia: il piano gratuito arriva a 300.000 query al mese (sufficienti per una famiglia con qualche dispositivo), il pannello di controllo è granulare fino al dettaglio del singolo tracker, e ha una sezione di controllo parentale dedicata per bloccare o sbloccare siti e categorie specifiche.

Se in casa avete più dispositivi (contando anche smart TV, console, IoT — non solo telefoni e PC), è probabile che superiate il limite gratuito prima di quanto pensiate: qui la guida completa per capire se vale la pena passare al piano a pagamento: NextDNS, guida completa.

Control D è l’alternativa più recente da tenere d’occhio in questa categoria: oltre ai filtri curati (adblocking, malware, ma anche categorie più di nicchia come “clickbait” o telemetria IoT), permette di applicare regole specifiche a singoli siti o servizi di streaming, ed è nato dallo stesso team dietro Windscribe VPN.

Se vuoi bloccare pubblicità e tracker ovunque, non solo nel browser

Un DNS con filtro anti-pubblicità blocca gli annunci a livello di rete, quindi anche dentro le app (dove un ad-blocker da browser non arriva). È il motivo per cui molte persone lo scelgono anche solo per questo, a prescindere dalla privacy.

AdGuard DNS è pensato apposta per questo: filtraggio a livello di rete con liste personalizzabili, infrastruttura open source dal 2022, supporto DoH/DoT/DNSCrypt. Va detto con onestà che AdGuard conserva alcune metriche aggregate (non le query stesso, ma dati di performance) — se il tuo criterio principale è “zero log in assoluto”, guarda invece a Quad9 o Mullvad.

Da tenere presente: qualunque DNS con adblocking a volte rompe qualcosa (un banner che non carica, un pulsante che non risponde) perché blocca un dominio di cui, senza saperlo, una pagina ha bisogno per funzionare. Non è un difetto del provider, è la natura del filtraggio DNS: se un sito smette di funzionare, il primo sospetto è sempre lì.

Se sei in Europa e ti interessa la sovranità dei dati

Fino a poco tempo fa mancava un’alternativa europea seria ai grandi resolver americani. DNS4EU, il servizio pubblico co-finanziato dalla Commissione Europea e coordinato da un consorzio guidato da Whalebone, ha colmato questo vuoto: infrastruttura e conformità GDPR gestite interamente in territorio UE, cosa che toglie dal tavolo qualunque discorso legato al Cloud Act statunitense.

Offre più varianti (protetto, con controllo parentale, senza filtri) con endpoint DoH e DoT cifrati, ed è pensato per l’uso privato dei cittadini europei — non per volumi commerciali pesanti.

Non è ancora il servizio con più funzionalità della lista, ma se per te la localizzazione geografica dell’infrastruttura è un criterio (magari perché lavori con dati sensibili o semplicemente perché preferisci non dipendere da provider extra-UE), è oggi l’opzione più coerente. L’abbiamo trattato in dettaglio qui: DNS4EU, cos’è e come funziona.

Se ti interessa solo la velocità (gaming, streaming, connessioni pesanti)

In questo caso il criterio cambia radicalmente: meno filtri e log possibili contano meno della latenza. Cloudflare (1.1.1.1) è storicamente il resolver più veloce nei test indipendenti grazie alla sua rete Anycast enorme, e fa comunque un minimo di blocco su domini malevoli noti. Quad9 regge bene il confronto anche qui, con un’infrastruttura distesa su oltre 150 location nel mondo.

Una nota d’onestà: se scegli Cloudflare, usa sempre l’indirizzo 1.1.1.1 e non 1.1.1.3 — quest’ultimo applica un filtro “family friendly” che in passato ha bloccato domini senza una motivazione chiara legata a malware o contenuti per adulti.

Se vuoi il controllo totale: il tuo resolver, in casa tua

C’è poi chi non vuole affidarsi a nessun provider terzo — nemmeno a quelli no-log. In quel caso la strada è un resolver DNS self-hosted, tipicamente con Unbound, magari abbinato a un Pi-hole per il filtraggio. Richiede più tempo di configurazione iniziale, ma significa che nessuna query lascia mai la tua rete verso un server di terzi (a parte, ovviamente, gli upstream che il tuo resolver interrogherà comunque, che però puoi scegliere e ruotare tu). Ne parliamo passo passo qui: Creare il proprio DNS resolver con Unbound.

Un consiglio pratico, prima di scegliere

Qualunque DNS tu stia usando ora, prima di cambiarlo vale la pena pulire la cache DNS del dispositivo — altrimenti rischi di continuare a vedere risoluzioni “vecchie” per un po’ e pensare che il cambio non abbia funzionato (perché e come pulire la cache DNS).

E se stai ancora usando i DNS di Google per abitudine, prima di scegliere una delle alternative sopra è utile capire perché in tanti hanno smesso di usarli: perché smettere di usare i DNS di Google.

Altri DNS gratuiti da provare.

I nomi visti finora sono quelli con il miglior compromesso tra affidabilità, funzionalità e trasparenza, ed è per questo che meritano un discorso approfondito. Ma il panorama è più ampio, e vale la pena conoscerlo anche solo per sperimentare con mano prima di fissare la propria scelta. E’ doveroso aggiungerli per completezza ed alternativa

• OpenDNS (di Cisco) — uno dei resolver storici, con configurazione di base gratuita orientata alla sicurezza (blocco phishing) e un piano “FamilyShield” preimpostato per filtrare contenuti per adulti senza dover configurare nulla.
• CleanBrowsing — focalizzato quasi esclusivamente sul controllo familiare, con tre profili distinti (Security, Adult, Family) selezionabili semplicemente scegliendo l’indirizzo del resolver, senza account.
• Alternate DNS — gratuito, orientato al blocco di pubblicità e malware, spesso citato come alternativa leggera a NextDNS per chi non ha bisogno di un pannello granulare.
• OpenNIC — un progetto no-profit gestito da volontari, pensato per chi cerca un accesso a Internet meno soggetto a censura; in cambio, offre meno protezioni di sicurezza rispetto agli altri nomi di questa lista, quindi va abbinato ad altri strumenti di blocco tracker/malware.
• Surfshark Public DNS — lanciato di recente, senza necessità di account, con impostazione “no-log” dichiarata: un’opzione da tenere d’occhio per chi vuole un servizio semplice legato a un player già noto in ambito VPN.
• Foundation for Applied Privacy / UncensoredDNS — resolver più “di nicchia”, gestiti da organizzazioni orientate alla privacy in ambito europeo, interessanti soprattutto per chi vuole diversificare gli upstream di un resolver self-hosted (vedi il paragrafo su Unbound sopra) invece di affidarsi a un unico provider.

DNS Benchmark

Ad ulteriore completezza segnalo DNS Benchmark uno strumento gratuito che a seconda della posizione (per accuratezza dei risultati è necessario permettere la localizzazione, nessun dato esce dal dispositivo e tantomeno viene memorizzato su Server di terze parti), analizza e propone un elenco di DNS gratuti da poter utilizzare, l’elenco è stilato a partire dal più veloce. Informazioni e specifiche sono evidenziate per ogni DNS proposto :

In sintesi: come scegliere in 30 secondi

• Vuoi solo smettere di usare quello dell’operatore, senza pensarci più: Quad9.
• Hai figli e vuoi controllo granulare: NextDNS o Control D.
• Vuoi bloccare pubblicità ovunque, anche nelle app: AdGuard DNS.
• Ti interessa la sovranità dei dati in UE: DNS4EU.
• Vuoi la massima velocità possibile: Cloudflare (1.1.1.1) o Quad9.
• Non ti fidi di nessun provider terzo: resolver self-hosted con Unbound.

Non c’è una risposta sbagliata tra queste, solo una più coerente con quello che ti serve davvero.