Guida introduttiva

DNS che proteggono la rete: Quad9 e Cloudflare 1.1.1.2

Cambiare due numeri nelle impostazioni del router basta a bloccare buona parte dei siti di phishing e malware per tutti i dispositivi di casa o dell'ufficio. I servizi DNS con filtro, come Quad9 (9.9.9.9) e Cloudflare (1.1.1.2), sono gratuiti e non richiedono di installare nulla.

Che cos'è un DNS

Tu scrivi un nome, per esempio mioip.org, ma su Internet i computer si raggiungono con un indirizzo IP, cioè una serie di numeri. Il DNS è la rubrica che fa la traduzione: riceve il nome e risponde con l'indirizzo a cui collegarsi. Succede decine di volte per ogni pagina che apri, in pochi millesimi di secondo.

Se non hai mai cambiato nulla, usi il DNS del tuo operatore: il router lo riceve in automatico quando si collega e lo passa a ogni dispositivo della rete. Funziona, ma di solito si limita a tradurre: non controlla dove ti sta mandando.

Che cosa fa un DNS che protegge

Un DNS con filtro fa la stessa traduzione, ma prima di rispondere controlla il nome in elenchi di domini noti per phishing, malware e truffe, aggiornati di continuo. Se il nome è in elenco, invece dell'indirizzo vero risponde che quel sito non esiste, o che non è raggiungibile. Il browser mostra un errore e la pagina pericolosa non si apre nemmeno.

Il vantaggio pratico è che la protezione vale per tutto ciò che usa quella rete: computer, telefoni, tablet, televisori, telecamere, ospiti. Compresi i dispositivi su cui un antivirus non si può installare.

Quad9 e Cloudflare: quale scegliere

Sono due servizi gratuiti molto diffusi per questo scopo, e funzionano bene entrambi.

• Quad9 — 9.9.9.9 e 149.112.112.112. Gestito da una fondazione svizzera senza scopo di lucro con sede a Zurigo. Blocca i domini pericolosi raccogliendo segnalazioni da molte fonti di sicurezza, pubbliche e private, e dichiara di non registrare gli indirizzi IP di chi lo usa
• Cloudflare con filtro malware — 1.1.1.2 e 1.0.0.2. È la versione «for Families» del noto 1.1.1.1: in più blocca i domini di malware
• Cloudflare con filtro malware e contenuti per adulti — 1.1.1.3 e 1.0.0.3. Pensato per le famiglie con bambini

Esistono anche le versioni senza filtro: 1.1.1.1 per Cloudflare e 9.9.9.10 per Quad9. Servono a chi vuole solo un DNS veloce, ma non proteggono da niente: se cerchi la protezione, usa quelli con filtro.

Per un privato la scelta è quasi indifferente. Chi tiene molto alla riservatezza tende a preferire Quad9, per la natura di fondazione e la sede in Svizzera; Cloudflare, un'azienda privata, dichiara di cancellare entro 25 ore l'indirizzo, già troncato, di chi interroga il suo DNS pubblico.

Come impostarli

Il posto migliore è il router: così vale per tutta la casa o l'ufficio in un colpo solo. Entra nel pannello del router (se non sai come, c'è la guida per entrare nel modem), cerca la voce DNS, spesso dentro le impostazioni di rete locale o DHCP, e sostituisci i server automatici con la coppia scelta, per esempio 9.9.9.9 e 149.112.112.112. Riavvia i dispositivi, o spegni e riaccendi il Wi-Fi, perché prendano i nuovi valori.

Se il router dell'operatore non lo permette, puoi impostarli sui singoli dispositivi:

• Windows 11 — Impostazioni › Rete e Internet › la tua connessione (Wi-Fi o Ethernet) › Proprietà hardware › Assegnazione server DNS › Modifica, scegli Manuale e inserisci i due indirizzi
• Mac — Impostazioni di Sistema › Rete › la connessione attiva › Dettagli › DNS, aggiungi i due indirizzi
• Android — nelle impostazioni di rete cerca DNS privato e scrivi il nome del servizio: dns.quad9.net oppure security.cloudflare-dns.com. Vale su Wi-Fi e rete mobile, ed è anche cifrato
• iPhone e iPad — Impostazioni › Wi-Fi › la i accanto alla rete › Configura DNS › Manuale. Va ripetuto per ogni rete Wi-Fi

Come verificare che funzionino

Entrambi i servizi hanno una pagina di controllo:

• Quad9 — apri on.quad9.net: risponde semplicemente sì o no
• Cloudflare — apri one.one.one.one/help per sapere se stai usando il suo DNS. Per provare il blocco, apri malware.testcategory.com: con 1.1.1.2 o 1.1.1.3 non deve aprirsi

Che cosa non fanno

• Non sono un antivirus. Bloccano l'accesso a un sito noto come pericoloso, ma non controllano un file che hai già scaricato o una chiavetta USB
• Non sono un firewall. Non fermano un attacco diretto al tuo indirizzo, né un programma che si collega con l'indirizzo IP senza passare dal nome
• Non conoscono le truffe nuovissime. Un sito di phishing aperto stamattina può non essere ancora in elenco
• Si possono scavalcare. Alcuni browser usano un proprio DNS cifrato e ignorano quello del router, e chiunque può cambiare il DNS del proprio dispositivo. Come impedirlo in azienda è spiegato nell'approfondimento tecnico

Sono un livello in più, molto economico ed efficace, non un sostituto degli aggiornamenti e della prudenza. Non nascondono nemmeno il tuo indirizzo IP ai siti che visiti: per quello serve altro, come spiegato nella guida su VPN e privacy.

Consigli per le aziende

• Impostali sul router o sul server che distribuisce gli indirizzi (il DHCP): ogni dispositivo che entra in rete li riceve senza configurazioni manuali
• Sul firewall blocca il DNS in uscita verso server diversi da quelli scelti: così un computer configurato a mano, o un programma malevolo, non può aggirare il filtro
• Se usi un server DNS interno (per esempio quello di Active Directory), imposta Quad9 o Cloudflare come suoi inoltri: i nomi interni continuano a funzionare

Consigli per le famiglie

Con i figli piccoli, 1.1.1.3 sul router è il modo più semplice per tenere fuori malware e contenuti per adulti da tutti i dispositivi di casa, compresi quelli degli amici collegati al Wi-Fi. Non sostituisce il controllo parentale sul telefono, che funziona anche fuori casa, ma copre in un colpo solo tutto quello che passa dalla rete domestica.