DNS pubblici a confronto: Cloudflare, Google e Quad9

Il resolver DNS è il primo anello della catena ogni volta che apri un sito. Cambiarlo è una delle poche ottimizzazioni che richiede due minuti e può migliorare tempi di risoluzione, privacy e filtraggio di domini malevoli. Vediamo le tre alternative pubbliche più usate e quando conviene davvero passare a una di loro.

Cosa fa un resolver DNS

Quando digiti un nome di dominio, il tuo dispositivo chiede a un resolver ricorsivo di tradurlo in un indirizzo IP. Di default usi il resolver del tuo provider, che di solito è veloce perché geograficamente vicino. Cambiarlo ha senso quando:

• Il resolver dell'ISP è lento o instabile
• Vuoi un filtraggio di malware/phishing a livello DNS
• Vuoi ridurre il logging e la profilazione delle tue query
• Alcuni domini vengono risolti male o bloccati impropriamente

Nota: un DNS pubblico non aggira i blocchi legali imposti in Italia (es. piracy shield opera su altri livelli) e non cifra automaticamente il traffico web, solo eventualmente le query DNS se usi DoH/DoT.

I tre resolver a confronto

Cloudflare (1.1.1.1)

È tipicamente il più veloce grazie alla rete anycast capillare. La policy privacy è aggressiva: nessuna vendita dati, query cancellate rapidamente, audit indipendenti pubblici. La variante 1.1.1.2 aggiunge il blocco malware, la 1.1.1.3 anche contenuti per adulti. È la scelta di default consigliata per chi vuole velocità senza rinunciare alla privacy.

Google (8.8.8.8)

Il più conosciuto e capillare a livello mondiale. Massima affidabilità e uptime, ottima copertura anche in aree dove gli altri sono meno presenti. In termini di privacy è meno rigido di Cloudflare e Quad9: Google conserva alcuni dati anonimizzati. Buona scelta come DNS secondario o dove serve la massima stabilità.

Quad9 (9.9.9.9)

Gestito da una fondazione no-profit svizzera, il suo punto di forza è la sicurezza: blocca automaticamente i domini associati a malware, phishing e botnet usando feed di threat intelligence. Non registra gli IP dei client. È la scelta migliore per una rete domestica o una piccola azienda dove vuoi una protezione passiva senza installare nulla sui dispositivi.

Quale scegliere

• Velocità pura: Cloudflare 1.1.1.1
• Sicurezza e blocco malware: Quad9 9.9.9.9
• Affidabilità globale come secondario: Google 8.8.8.8

Una combinazione solida per casa: primario 1.1.1.1, secondario 9.9.9.9. Così ottieni velocità con un fallback che filtra le minacce.

Dove impostarli

Puoi cambiare i DNS in due punti, e la scelta conta:

• Sul router: si applica a tutti i dispositivi della rete in automatico. È l'approccio consigliato. Cerca la voce "DNS Server" nelle impostazioni WAN o DHCP e inserisci i due IP
• Sul singolo dispositivo: utile se vuoi un DNS diverso solo su un PC o smartphone, ma va ripetuto ovunque

Attenzione: se imposti i DNS solo sul dispositivo ma il router forza i propri, potresti avere comportamenti incoerenti. Meglio configurarli a livello di router.

DNS cifrato: DoH e DoT

I tre servizi supportano tutti DNS over HTTPS (DoH) e DNS over TLS (DoT), che cifrano le query impedendo a chi sta in mezzo di leggerle o manometterle. Su browser come Firefox e Chrome puoi attivare DoH nelle impostazioni di sicurezza puntando al resolver scelto. Su reti dove vuoi il controllo centralizzato, però, valuta con attenzione: DoH sul singolo browser scavalca eventuali filtri DNS che hai impostato a livello di rete.

Come verificare che funzioni

Dopo il cambio, controlla la risoluzione effettiva:

# Linux/macOS
dig @1.1.1.1 example.com
nslookup example.com

# Windows
nslookup example.com 1.1.1.1

Per confermare che stai usando il resolver giusto e non quello dell'ISP, visita 1.1.1.1/help (Cloudflare) o on.quad9.net (Quad9): ti dicono se il tuo dispositivo sta effettivamente interrogando il loro servizio e se DoH/DoT è attivo.