DNS migliori: confronto tra Cloudflare, Google, Quad9, NextDNS e AdGuard

I DNS migliori: la risposta breve

Il DNS migliore è quello che risponde bene dalla tua connessione e applica una policy coerente con le tue esigenze. Cloudflare 1.1.1.1 punta sulla semplicità; Google Public DNS è generalista; Quad9 blocca domini associati a minacce; NextDNS offre profili personalizzabili; AdGuard DNS propone filtri pubblici contro pubblicità e tracker.

Queste differenze contano più di una classifica assoluta. La latenza cambia con operatore, posizione, instradamento, cache e ora. Anche la privacy va valutata distinguendo IP, query, dati aggregati e tempi di conservazione. Il confronto abbina quindi ogni resolver a un bisogno concreto, senza dichiarare un vincitore universale.

Che cos’è un resolver DNS pubblico

Quando inserisci un dominio nel browser, il dispositivo chiede a un resolver l’indirizzo IP corrispondente. Il resolver usa la cache oppure interroga la gerarchia DNS fino ai server autorevoli. Cambiare resolver significa affidare questa funzione a un servizio diverso da quello configurato automaticamente.

Un resolver pubblico non ospita i record del tuo sito. Non va confuso con il DNS autorevole, che conserva record come A, AAAA, CNAME, MX e TXT. Per gestire nameserver e record, consulta la nostra guida a Cloudflare DNS.

Cambiare DNS non nasconde il tuo IP ai siti né sostituisce una VPN. DNS over HTTPS e DNS over TLS proteggono il tratto tra dispositivo e resolver; DNSSEC autentica le risposte firmate.

Come scegliere: i criteri che contano

Per scegliere servono criteri uguali per tutti. Le raccomandazioni RIPE per i resolver DNS invitano a considerare privacy, sicurezza, resilienza e pratiche operative, mentre la RFC 8932 dedicata agli operatori di servizi DNS per la privacy aiuta a valutare raccolta e gestione dei dati.

I criteri decisivi sono:

• Comportamento desiderato: risoluzione senza filtri, blocco delle minacce, controllo familiare oppure regole personalizzate.
• Privacy e log: quali dati vengono trattati, per quanto tempo, con quali controlli e con quale livello di aggregazione.
• Trasporto cifrato: disponibilità di DoH o DoT sul dispositivo o sul router che userai davvero.
• Integrità: validazione DNSSEC nella variante scelta.
• Prestazioni locali: risposta dalla tua rete, non una media mondiale.
• Manutenzione: semplicità della configurazione, rischio di falsi positivi e facilità di tornare alle impostazioni precedenti.

Confronto rapido dei cinque server DNS

La tabella non misura la qualità delle liste né la velocità dalla tua linea: evidenzia differenze strutturali che restano valide quando la latenza cambia.

I cinque migliori DNS per esigenze diverse

1. Cloudflare 1.1.1.1: essenziale e facile da riconoscere

Cloudflare offre il resolver standard su 1.1.1.1 e 1.0.0.1, senza filtri ai contenuti. Le varianti Famiglie usano indirizzi separati: la coppia che termina in .2 blocca i domini classificati come malware, quella in .3 aggiunge i contenuti per adulti. Sono opzioni fisse, non profili personalizzabili.

Sono disponibili DoH e DoT. Il resolver valida DNSSEC e, nella configurazione standard, non invia l’EDNS Client Subnet ai server autorevoli, salvo un’eccezione diagnostica documentata.

Cloudflare dichiara di non vendere i dati personali degli utenti del resolver né usarli per pubblicità mirata. La policy prevede IP troncati ed eliminazione dei dati interessati entro 25 ore, ma anche un campionamento fino allo 0,05% dei pacchetti per diagnosi e mitigazione degli attacchi. APNIC riceve un accesso limitato a dati anonimizzati senza IP del client. Nel 2026 una verifica indipendente ha esaminato gli impegni fondamentali di privacy entro il proprio perimetro.

È adatto a chi non vuole mantenere un pannello. Non confondere però 1.1.1.1 con WARP: la modalità solo DNS cifra le query, mentre quella completa crea anche un tunnel; WARP non promette anonimato né un Paese di uscita scelto.

2. Google Public DNS: generalista, con una policy da leggere nei dettagli

Google Public DNS usa 8.8.8.8 e 8.8.4.4, supporta DoH e DoT e valida DNSSEC. Normalmente non filtra i contenuti, salvo rari casi di sicurezza o obblighi legali: è generalista, non un controllo familiare pronto all’uso.

La documentazione distingue log temporanei, con IP e query soggetti a eliminazione entro 24–48 ore, e campioni permanenti, nei quali l’IP è sostituito da una localizzazione a livello di città o regione. I temporanei possono durare più a lungo per affrontare abusi o problemi di sicurezza. Google dichiara che i dati non vengono associati a un account né usati per indirizzare annunci.

Con EDNS Client Subnet, per i domini compatibili il resolver può inviare ai server autorevoli una porzione approssimata della rete del client per ottenere risposte geograficamente pertinenti. Può aiutare alcuni sistemi di distribuzione, ma amplia i dati condivisi a monte: è un compromesso, non una garanzia di velocità.

È indicato se vuoi un servizio senza filtri predefiniti e ben documentato. Se la priorità è minimizzare i dati, confronta attentamente la sua policy con le altre.

3. Quad9: blocco delle minacce senza creare un account

Quad9 è una fondazione svizzera senza scopo di lucro. La variante raccomandata usa 9.9.9.9 e 149.112.112.112, valida DNSSEC e blocca domini segnalati come associati a malware, phishing e altre minacce. Supporta DoH e DoT. Esistono varianti non filtrata e con ECS su indirizzi separati: non mescolare modalità diverse, perché il dispositivo potrebbe alternarle.

La policy del giugno 2026 tratta gli IP come dati personali. Quad9 dichiara di conservarli solo in memoria volatile per rispondere, mai su archiviazione persistente. Raccoglie però contatori aggregati, tra cui punto di presenza, protocollo, esito, regione e prefissi non più specifici di /24 per IPv4 e /56 per IPv6. “Nessuna conservazione persistente dell’IP” è quindi più preciso di “nessun dato”.

Quad9 aggiunge protezione dai domini noti come pericolosi senza account o liste da configurare. Non sostituisce antivirus, aggiornamenti o prudenza: un filtro DNS interviene soltanto quando il rischio passa da un dominio riconosciuto.

4. NextDNS: controllo granulare, con quota e log configurabili

NextDNS funziona attraverso profili con liste contro tracker e pubblicità, categorie di sicurezza, controlli familiari, regole consentite o negate e impostazioni per dispositivo. Le query possono alimentare statistiche e log, oppure il logging può essere disattivato.

Quando i dati non devono essere registrati, richiesta e risposta vengono eliminate dopo l’elaborazione. Se abiliti i log, puoi scegliere durata e area di conservazione, da un’ora a due anni. La privacy dipende quindi dal profilo effettivo.

Al 24 agosto 2026, il piano gratuito includeva 300.000 query al mese. Superata la soglia, il servizio continuava a rispondere come resolver classico, ma il filtraggio veniva meno fino al nuovo periodo o al passaggio a un piano senza quel limite. È un dettaglio importante per una rete con molti dispositivi.

NextDNS supporta DoH e DoT e svolge la validazione DNSSEC sul resolver. Poiché un filtro modifica intenzionalmente alcune risposte, una seconda validazione DNSSEC eseguita sul router può entrare in conflitto con i domini bloccati: conviene seguire la configurazione indicata per il proprio sistema, invece di combinare opzioni a caso. È la scelta più flessibile del gruppo, ma richiede anche più manutenzione.

5. AdGuard DNS: filtri pubblici pronti all’uso

AdGuard DNS offre tre modalità pubbliche. La modalità Predefinita, sugli indirizzi 94.140.14.14 e 94.140.15.15, blocca pubblicità e tracker e include protezioni contro domini classificati come malevoli. La modalità Famiglia aggiunge contenuti per adulti e applica Safe Search o modalità sicure dove possibile. La modalità Senza filtri restituisce le normali risposte DNS. Sono supportati DoH, DoT, DNS over QUIC e DNSCrypt, oltre alla validazione DNSSEC.

Il servizio pubblico non richiede un account e non permette il controllo fine di ogni regola. Per liste, eccezioni, dispositivi, statistiche e log personalizzati serve il prodotto DNS privato. Questo va distinto anche da AdGuard Home, software che viene eseguito su una macchina della propria rete: sono soluzioni collegate allo stesso ecosistema, ma non sono lo stesso servizio.

Per il DNS pubblico, AdGuard dichiara di non trattare dati personali dell’utente. La policy documenta però metriche aggregate sulle prestazioni, conteggi dei tracker bloccati e un database anonimo dei domini richiesti nelle ultime 24 ore, senza collegamento alla persona che ha inviato la query. Nel prodotto privato, invece, i log possono essere mostrati nel pannello e la conservazione dipende dalle impostazioni.

AdGuard DNS è indicato se vuoi un filtro immediato contro pubblicità e tracker senza creare un profilo. Nessun filtro DNS può bloccare ogni annuncio: se contenuto e pubblicità arrivano dallo stesso dominio, separarli a livello DNS può essere impossibile. Sono possibili anche falsi positivi, soprattutto con applicazioni che dipendono da molti host esterni.

Velocità: perché il risultato cambia da una rete all’altra

La distanza geografica è solo una parte della latenza. Contano il percorso scelto dall’operatore, il punto anycast raggiunto, lo stato della cache, il protocollo usato e l’ora del test. Un resolver primo in una media globale può non esserlo sulla fibra di casa o sulla rete mobile italiana.

DNSPerf descrive la propria metodologia come test ogni minuto da oltre 200 località, su IPv4, con timeout di un secondo e dati pubblici aggiornati ogni ora. È utile per osservare prestazioni grezze, uptime e qualità in un periodo definito, ma non misura la tua connessione e non valuta privacy, efficacia dei filtri o tempo totale di caricamento di una pagina.

Per un confronto locale, usa lo stesso insieme ampio di domini, lo stesso trasporto e più momenti della giornata. Guarda la mediana e le risposte lente, non soltanto il record migliore. Evita di decidere con un semplice ping: il tempo di rete e quello della risoluzione DNS non sono la stessa cosa. Se non vuoi eseguire prove, scegli in base alle funzioni e verifica soltanto che la navigazione resti stabile.

Privacy, filtri e protocolli: i compromessi reali

DoH e DoT impediscono a chi osserva il tratto tra dispositivo e resolver di leggere facilmente le query. Il resolver scelto continua però a elaborarle. La domanda corretta non è quindi “cifra o non cifra?”, ma “quale soggetto riceve le query, quali dati conserva e quali controlli offre?”.

I filtri aggiungono un altro compromesso. Un blocco fisso è semplice ma non permette eccezioni personali; un profilo configurabile richiede un account e può creare log se non li disattivi. Le modalità familiari possono modificare risultati di ricerca o rendere irraggiungibili siti classificati in modo errato. Per questo una rete con bambini, una persona che desidera meno tracker e un professionista che usa domini aziendali non dovrebbero ricevere la stessa raccomandazione automatica.

Configura il resolver sul singolo dispositivo se vuoi provarlo con rischio minimo. Impostarlo sul router estende invece la scelta a molti apparecchi, ma browser, VPN, sistemi aziendali e funzioni di “DNS privato” possono ignorare o sostituire quel valore. Dopo il cambiamento, verifica quale resolver è effettivamente attivo e controlla sia siti normali sia i servizi indispensabili per lavoro, streaming e domotica.

Cambiare DNS è reversibile

Prima di modificare qualsiasi impostazione, annota gli indirizzi attuali o seleziona l’opzione automatica del sistema. Inserisci poi la coppia corretta della stessa modalità: non usare, per esempio, un indirizzo filtrato come primario e uno senza filtri come secondario. Il sistema non tratta necessariamente il secondo come un backup passivo e potrebbe alternarli.

Dopo il salvataggio, riapri la connessione o riavvia il dispositivo se richiesto, verifica il resolver attivo e prova le funzioni importanti. Se compaiono errori, torna agli indirizzi precedenti o alla configurazione automatica. Il cambio è normalmente reversibile e non trasferisce dominio, sito o caselle email.

Proprio questa distinzione evita molte diagnosi sbagliate: un problema di hosting non si risolve scegliendo un altro resolver pubblico. Se stai valutando dove ospitare il sito, la nostra recensione di Keliweb esamina un tema separato, con criteri dedicati al servizio hosting.

Domande frequenti sui server DNS

Quali sono i DNS più veloci?

Non esiste una coppia sempre più veloce. Confronta più query dalla connessione reale e in orari diversi.

Quali sono i DNS più sicuri?

DNS sicuri può significare validazione DNSSEC, trasporto DoH o DoT oppure blocco di domini associati a minacce. Nessun resolver sostituisce la protezione del dispositivo.

Cambiare server DNS aumenta la velocità di Internet?

Può ridurre alcune risoluzioni, ma non aumenta la portante della linea né rende automaticamente più rapido ogni sito.

Posso usare due provider DNS diversi?

È sconsigliato quando applicano politiche differenti. Il secondo indirizzo non è sempre un backup inattivo: il sistema può usarli entrambi, producendo filtri e risultati incoerenti.

Verdetto: quale DNS scegliere in base allo scenario

Scegli Cloudflare 1.1.1.1 se vuoi una configurazione essenziale, un resolver standard senza filtri e la possibilità di passare a una modalità Famiglie fissa. Scegli Google Public DNS se preferisci un resolver generalista molto documentato e accetti la sua gestione dichiarata di log temporanei, campioni regionalizzati ed ECS.

Scegli Quad9 se la priorità è bloccare domini associati a minacce senza account e apprezzi una policy che esclude la conservazione persistente degli IP degli utenti. Scegli NextDNS se vuoi regole personalizzate, profili per dispositivi e controllo esplicito della conservazione, mettendo in conto quota e manutenzione. Scegli AdGuard DNS se desideri filtri pubblici immediati contro pubblicità e tracker, oppure una modalità Famiglia pronta all’uso.

Se due opzioni soddisfano lo stesso bisogno, la scelta finale si fa sulla tua rete: confronta stabilità e latenza in condizioni equivalenti, poi conserva un percorso di ritorno. Il DNS migliore non è quello con lo slogan più forte, ma quello di cui comprendi funzioni, limiti e policy e che continua a funzionare bene dove ti connetti davvero.