DNS: la rubrica di Internet che puoi rendere più sicura

CyberOps — L'appuntamento settimanale per la sicurezza delle tue informazioni

Che cos'è il DNS

Prima di aprire qualsiasi sito, il tuo dispositivo fa una domanda a un server DNS. Quasi nessuno sa a quale.

Quando digiti l'indirizzo di un sito, il dispositivo deve scoprire a quale indirizzo IP corrisponde quel nome. A rispondere è un resolver DNS: di norma quello del provider di connessione, assegnato in automatico. Il DNS tradizionale trasmette le richieste senza cifratura, quindi possono essere intercettate [1]. Per verificare che le risposte non siano state alterate esiste un meccanismo diverso, il DNSSEC [2]: autentica origine e integrità dei dati delle zone firmate, ma non rende private le richieste.

Un DNS che protegge

Un DNS può rifiutarsi di tradurre un dominio già noto come pericoloso.

Si chiama protective DNS. Secondo NSA e CISA, bloccare i domini malevoli conosciuti riduce l'efficacia di campagne di phishing, malware, ransomware e botnet [3]. Alcuni resolver pubblici offrono questa funzione gratis: basta cambiare l'indirizzo DNS nel router o nel dispositivo. La Tabella 1, utilizzata come copertina di questo articolo, riassume i principali.

Tabella 1. Profili e filtri dei principali DNS pubblici gratuiti (ricostruzione originale CyberOps su dati dei fornitori [4][5][6][7][8]).

Tre differenze da tenere a mente: Cloudflare e Quad9 offrono profili con e senza blocchi, quindi conta quale indirizzo si sceglie; OpenDNS FamilyShield e AdGuard in modalità Famiglia filtrano anche i contenuti per adulti; Google Public DNS non offre filtri configurabili e, secondo la sua documentazione, blocca solo di rado: per proteggere gli utenti da minacce o per obblighi di legge [8].

Cosa non fa

Cambiare DNS aggiunge un livello di difesa, ma non sostituisce gli altri.

• Blocca i domini classificati come pericolosi: un sito nuovo o non ancora identificato può quindi passare.
• Può essere aggirato: una VPN, il DNS cifrato attivato nel browser o un cambio delle impostazioni DNS possono far sì che le richieste non passino dal resolver filtrante [7].
• Il resolver vede i domini che visiti. Sceglilo come sceglieresti un operatore di cui fidarti. I protocolli DoT e DoH cifrano le richieste lungo il tragitto, ma non cambiano chi le riceve [1][9].
• Non sostituisce firewall, antivirus/EDR e autenticazione a più fattori.

In sintesi: il DNS è un controllo semplice e gratuito, utile soprattutto su reti domestiche e piccoli uffici. Funziona meglio insieme agli altri.

Note

• 1. «Minacce» indica il blocco di domini malevoli noti (malware, phishing). Il filtro per adulti è un'altra funzione e non è una protezione da minacce.
• 2. Quad9 ha annunciato il 9 aprile 2026 che dal 15 giugno 2026 la validazione DNSSEC sarebbe stata attiva su tutti i suoi indirizzi, compresi quelli senza blocco delle minacce [5].
• 3. Gli indirizzi in tabella sono il DNS primario di ogni profilo; ogni servizio ne indica anche uno secondario.

Riferimenti

• 1. IETF, RFC 7858 — Specification for DNS over Transport Layer Security (TLS), 2016, aggiornata dalla RFC 8310 (2018). rfc-editor.org/rfc/rfc7858
• 2. IETF, RFC 4033 — DNS Security Introduction and Requirements, 2005. rfc-editor.org/rfc/rfc4033
• 3. NSA e CISA, Selecting a Protective DNS Service, 4 marzo 2021; comunicato CISA: cisa.gov/news-events/alerts/2021/03/04
• 4. Cloudflare, Introducing 1.1.1.1 for Families, 1 aprile 2020. blog.cloudflare.com/introducing-1-1-1-1-for-families
• 5. Quad9, documentazione dei servizi (docs.quad9.net/services) e Quad9 Enables DNSSEC on All Service Endpoints, 9 aprile 2026 (quad9.net/news/blog)
• 6. AdGuard DNS, Public DNS servers. adguard-dns.io/public-dns.html
• 7. Cisco, Understand OpenDNS FamilyShield. cisco.com/c/en/us/support/docs/security/umbrella/225803
• 8. Google, Public DNS — FAQ e Blocking Behavior. developers.google.com/speed/public-dns/faq
• 9. IETF, RFC 8484 — DNS Queries over HTTPS (DoH), 2018. rfc-editor.org/rfc/rfc8484

Avvertenza

La Tabella 1 è una ricostruzione originale realizzata per CyberOps con dati verificati sulle pagine dei fornitori a ottobre 2026; non riproduce infografiche di terzi. «n.d.» indica che il dato non risulta nella documentazione ufficiale consultata (OpenDNS FamilyShield e AdGuard, per quanto riguarda le minacce). Per Google, l'assenza di filtri e i rari blocchi (minacce, ordini legali) derivano dalla sua FAQ ufficiale. Altri servizi (CleanBrowsing, ControlD, Mullvad) non sono inclusi perché non verificati in questa edizione. I loghi e i marchi appartengono ai rispettivi titolari e sono usati solo per identificare i servizi. Gli elenchi di domini bloccati cambiano nel tempo: prima di configurare un servizio, controlla la sua pagina ufficiale. Questo articolo ha scopo divulgativo.