Il DNS over HTTPS, spesso abbreviato in DoH, permette di inviare le richieste DNS all’interno di una connessione HTTPS cifrata. Quando si apre un sito, il browser deve prima tradurre il nome di dominio, per esempio pianetapc.com, in un indirizzo IP: con il DNS tradizionale questa richiesta viaggia normalmente senza la stessa protezione offerta dal traffico HTTPS del sito. Il DoH riduce quindi la possibilità che la richiesta venga osservata o modificata lungo il percorso.
La funzione non rende anonima la navigazione e non sostituisce una VPN. Il provider DoH scelto può comunque ricevere le richieste, mentre siti, sistemi di tracciamento e altri elementi della connessione continuano a funzionare secondo le rispettive modalità. Attivare correttamente il DNS over HTTPS significa quindi scegliere un servizio affidabile, controllare che il browser lo stia realmente utilizzando e sapere in quali situazioni può essere disabilitato.
Che cosa cambia con il DNS over HTTPS
Con il DNS tradizionale, il browser o il sistema operativo invia una richiesta a un resolver DNS, cioè il server che fornisce la corrispondenza tra dominio e indirizzo IP. Il protocollo DNS classico non cifra normalmente questa comunicazione. Il DNS over HTTPS incapsula invece la richiesta in una connessione HTTPS, generalmente sulla porta 443, la stessa usata da gran parte dei siti web.
Il vantaggio principale è la maggiore riservatezza rispetto a chi può osservare il traffico DNS sulla rete locale o presso il provider di connettività. La cifratura aiuta anche a ridurre alcuni tentativi di manipolazione delle risposte DNS. Restano però alcuni limiti: il resolver scelto può vedere le richieste, il sito visitato può essere riconoscibile attraverso altri dati di rete e il DoH non blocca malware, pubblicità o tracciamento da solo.
Inoltre, il browser può utilizzare una modalità automatica che attiva il DoH solo quando le condizioni lo consentono. Reti aziendali, controlli parentali, VPN, proxy, software di sicurezza o criteri imposti dall’amministratore possono impedire l’uso del resolver cifrato oppure reindirizzare le richieste verso un servizio diverso.
Attivare il DNS over HTTPS in Firefox
Firefox offre uno dei controlli più dettagliati sul DNS over HTTPS. Aprire il menu principale, scegliere Impostazioni e accedere alla sezione Privacy e sicurezza. Scorrere fino a DNS over HTTPS, all’interno delle impostazioni relative alla connessione o alla rete.
Da questa area è possibile scegliere tra diverse modalità, la cui disponibilità può variare leggermente in base alla versione e alla lingua del browser. L’opzione predefinita o automatica prova a utilizzare il DoH senza ignorare completamente le impostazioni della rete. Per forzare più chiaramente il ricorso al DNS cifrato si può selezionare una modalità di protezione più restrittiva, se presente, e scegliere un provider dall’elenco oppure inserire l’indirizzo di un resolver compatibile.
La modalità più rigida può causare problemi su reti che usano DNS locali, filtri aziendali, portali di accesso Wi-Fi o servizi interni. Se un sito della rete locale non viene più raggiunto o la connessione non completa l’accesso, è preferibile tornare alla modalità automatica e verificare la configurazione prima di disattivare definitivamente la funzione.
Per un controllo più tecnico, digitare about:networking nella barra degli indirizzi e aprire la sezione dedicata al DNS. Le informazioni visualizzate possono includere lo stato del resolver e i dati delle risoluzioni effettuate. La schermata può cambiare nel tempo, ma è utile per distinguere il normale funzionamento della cache DNS da un errore di connessione.
Attivare il DNS over HTTPS in Chrome
In Google Chrome aprire il menu con i tre puntini, entrare in Impostazioni, selezionare Privacy e sicurezza e poi Sicurezza. Cercare la voce Usa DNS sicuro o una denominazione equivalente.
Attivando l’opzione, Chrome può utilizzare un DNS cifrato. In base alla versione, è possibile lasciare la scelta automatica del provider oppure selezionare un servizio personalizzato dall’elenco disponibile. Se si inserisce un provider specifico, bisogna usare un endpoint DoH supportato e prestare attenzione a eventuali filtri, policy aziendali e problemi di compatibilità.
Chrome può sospendere o modificare l’utilizzo del DNS sicuro quando rileva che la rete non lo supporta, quando sono presenti configurazioni gestite dall’amministratore o quando una VPN e un proxy controllano direttamente le richieste. Per questo motivo l’interruttore attivo non è, da solo, una prova assoluta che ogni richiesta stia passando in DoH.
Attivare il DNS over HTTPS in Edge e Brave
Microsoft Edge utilizza una procedura molto simile a Chrome. Aprire Impostazioni, entrare in Privacy, ricerca e servizi e individuare l’area relativa alla sicurezza. Qui è normalmente presente l’opzione per usare un DNS sicuro, con la possibilità di scegliere il comportamento automatico o un provider specifico. Le etichette possono cambiare con gli aggiornamenti del browser.
In Brave, aprire il menu principale, scegliere Impostazioni, quindi Privacy e sicurezza e cercare la voce relativa al DNS sicuro. Anche in questo caso è possibile abilitare la funzione e, quando previsto, scegliere il resolver. Brave può inoltre applicare impostazioni proprie legate alla privacy: è quindi importante verificare che il provider selezionato sia quello desiderato e che non ci siano estensioni o software esterni che sovrascrivono la configurazione.
Chrome, Edge e Brave condividono una base tecnica simile, ma la presenza di criteri amministrativi, profili sincronizzati, versioni portatili o impostazioni di sicurezza può modificare il comportamento. Dopo ogni cambiamento è consigliabile chiudere e riaprire le schede interessate, oppure riavviare il browser, così da evitare di confondere risultati memorizzati nella cache con nuove risoluzioni.
Safari e gli altri browser
Safari, soprattutto su macOS, iPhone e iPad, non offre generalmente un interruttore DoH completo e indipendente paragonabile a quello di Firefox, Chrome o Edge. La cifratura DNS può dipendere dal sistema operativo, da un profilo di configurazione, da una VPN, da un’applicazione dedicata o da funzioni di privacy della piattaforma. Prima di installare strumenti aggiuntivi è quindi opportuno controllare le impostazioni di rete del dispositivo e verificare quale componente stia gestendo il DNS.
Altri browser basati su Chromium possono presentare una voce simile a DNS sicuro, mentre browser con architetture differenti possono usare impostazioni proprie. Il percorso preciso va sempre confrontato con la versione installata, evitando di considerare identici i nomi delle opzioni tra sistemi operativi diversi.
Come verificare se il DoH è realmente attivo
Il primo controllo consiste nel tornare alle impostazioni del browser e verificare che la funzione sia abilitata e che il provider selezionato sia quello previsto. È però una verifica configurativa, non una prova del traffico effettivo.
Un controllo più pratico si può eseguire con una pagina diagnostica del provider DNS scelto. Alcuni servizi mettono a disposizione test che indicano se la connessione sta utilizzando DNS cifrato o se il resolver riconosce il dispositivo. I risultati devono essere interpretati con prudenza: una pagina web può rilevare il resolver pubblico, ma non sempre riesce a dimostrare quale browser abbia effettuato ogni singola richiesta.
È utile eseguire il test in una finestra normale e poi ripeterlo dopo aver svuotato la cache DNS del browser o aver riavviato il programma. Bisogna inoltre disattivare temporaneamente VPN, proxy, estensioni per la sicurezza e applicazioni che filtrano il traffico, quindi ripetere la prova una variabile alla volta. Se il risultato cambia, uno di questi componenti sta probabilmente gestendo o sostituendo il DNS del browser.
Su Firefox, la pagina about:networking può offrire indicazioni aggiuntive. Nei browser Chromium, invece, le pagine interne disponibili per la diagnostica cambiano tra le versioni e spesso mostrano cache e risoluzioni, non una conferma definitiva del trasporto DoH. Per una verifica approfondita in ambito tecnico servono strumenti di analisi del traffico e una conoscenza della configurazione di rete: il traffico DoH apparirà come HTTPS verso l’endpoint del provider, non come una normale richiesta DNS in chiaro.
Errori comuni e impostazioni da controllare
Un errore frequente è confondere il DNS over HTTPS con una VPN. Il DoH protegge principalmente la richiesta DNS; non cifra automaticamente ogni collegamento del dispositivo né nasconde l’indirizzo IP dal sito visitato. Un altro errore consiste nel selezionare un resolver casuale senza consultare la sua informativa sulla privacy o senza considerare eventuali filtri.
Su reti aziendali, scolastiche o domestiche con controllo parentale, il DoH può aggirare i filtri DNS previsti dall’amministratore oppure interrompere l’accesso a servizi interni. In questi casi non va forzato senza autorizzazione. Se la navigazione smette di funzionare, provare prima la modalità automatica, controllare VPN e proxy, verificare l’orologio del sistema e testare l’accesso a un portale captive Wi-Fi.
La configurazione migliore dipende quindi dal contesto: modalità automatica per una maggiore compatibilità, modalità forzata per chi vuole evitare il ritorno al DNS tradizionale quando la rete lo consente, e disattivazione solo quando il DoH crea incompatibilità o contrasta con le regole della rete. Dopo l’attivazione, un test esterno e un controllo delle impostazioni sono il modo più semplice per accertarsi che la protezione stia funzionando davvero.