Fino a oggi il confronto contava 14 fornitori. Da oggi ne conta 21. Questo articolo racconta da dove vengono i sette nuovi, come li abbiamo provati e, soprattutto, quali dei nomi che girano nelle liste dei «migliori DNS» abbiamo lasciato fuori e perché. C’è anche una novità su xdp.es che riguarda chi lo ha già configurato.
Come abbiamo scelto
Siamo partiti da sei liste molto citate (due siti tecnologici spagnoli, un produttore di sicurezza, un gist su GitHub, il sito di DNS4EU e il blog di una VPN) e abbiamo estratto tutti i servizi che non avevamo: 21 candidati. A ogni IP abbiamo fatto tre domande con dig: se risponde, se valida DNSSEC (interrogando dnssec-failed.org, un dominio firmato male di proposito) e se blocca la pubblicità (interrogando pagead2.googlesyndication.com). Poi abbiamo provato la porta 853 con openssl per il DoT e il DoH con curl. Con quelli ancora in piedi siamo andati sul sito ufficiale a leggere cosa promettono su log, giurisdizione e filtri.
È quest’ultimo passaggio a eliminare più candidati. Le liste si copiano a vicenda e si trascinano dietro indirizzi di servizi chiusi da anni.
I sette nuovi
UncensoredDNS (Danimarca). Lo gestisce una sola persona, Thomas Steen Rasmussen, dal 2009 e con i propri soldi. Non registra nulla e non filtra nulla. Ha spento la porta 53 nel 2022, quindi risponde solo a richieste cifrate: DoT, DoH e, da ottobre 2025, DoQ e DoH3. Ha un nodo anycast (91.239.100.100) e uno a Copenaghen (89.233.43.71). È il secondo fornitore del confronto che funziona solo cifrato, dopo Mullvad.
LibreDNS (Grecia). Progetto attivista di LibreOps. Nessun log, solo DoH e DoT, e un secondo endpoint (noads.libredns.gr) che blocca pubblicità e tracker con una lista collaborativa. Un avvertimento: non valida DNSSEC. Inoltra le richieste a OpenNIC, che non lo fa nemmeno lui.
Digitale Gesellschaft (Svizzera). Il resolver dell’associazione omonima, a Basilea. Nessun log, nessuna lista di blocco, validazione DNSSEC, solo DoT e DoH. La cosa interessante è la giurisdizione: svizzera, fuori dall’UE. Lo gestiscono volontari e lo dicono senza giri di parole: è «best effort», senza garanzia di disponibilità.
DNS.SB (Germania). Lo gestisce xTom GmbH, di Düsseldorf, su una rete anycast di 30 nodi in sei continenti. La sua informativa sulla privacy è tra le più chiare che abbiamo letto: non registra i domini richiesti né gli indirizzi IP, e non invia la tua sottorete ai server autoritativi (niente ECS). Valida DNSSEC e risponde sulla porta 53, in DoT e in DoH. È quello che metteremmo su un router se cerchi privacy. Indirizzi: 185.222.222.222 e 45.11.45.11.
Hurricane Electric (Stati Uniti). Il resolver pubblico di una delle dorsali più grandi al mondo e la prima in IPv6. Un solo indirizzo anycast, 74.82.42.42 (e 2001:470:20::2), che da Madrid risponde dal nodo di Lisbona. Senza filtri, valida DNSSEC e offre DoT, DoH, DoQ e DoH3 su ordns.he.net. Quello che non ha è una politica sui log pubblicata per questo servizio, e la scheda lo dice così: «non pubblicati».
AliDNS e DNSPod (Cina). I due DNS pubblici più usati in Cina, di Alibaba Cloud (223.5.5.5 e 223.6.6.6) e Tencent Cloud (119.29.29.29, con DoH e DoT su doh.pub e dot.pub). Entrano per i lettori della versione cinese del sito: da lì sono l’opzione veloce, con ECS perché le CDN avvicinino i contenuti. Dall’Europa non danno alcun vantaggio. Nessuno dei due valida DNSSEC ed entrambi conservano i log.
Quelli rimasti fuori
Questa è la parte utile se hai appena letto una lista dei «15 migliori DNS».
- dns0.eu ha chiuso il 15 gennaio 2026 per mancanza di risorse. Il progetto stesso ha consigliato di passare a DNS4EU o NextDNS.
- UltraDNS Public, che le liste citano con tre nomi (Verisign, Neustar e UltraDNS), risponde ancora su
64.6.64.6, ma DigiCert ha ritirato la pagina ufficiale epublicdns.neustarnon si carica. Senza documentazione viva non entra: la nota «indirizzi verificati con la documentazione ufficiale» presente in ogni scheda sarebbe una bugia. - FreeDNS, Freenom World, puntCAT, GreenTeamDNS, Fourth Estate e SmartViper: nessuno dei loro indirizzi risponde. Freenom è affondato con la perdita di .tk nel 2023; puntCAT ci sarebbe piaciuto per la versione catalana del sito, ma
109.69.8.51è morto. - Alternate DNS non è più agli IP indicati dalle liste (
76.76.19.19); oggi è un solo indirizzo su Amazon senza DoH, senza DoT e senza politica pubblicata. Troppo fragile. - Dyn (Oracle) e Level3 (
4.2.2.2): rispondono, ma Oracle ha ritirato il prodotto e quello di Level3 non è mai stato un servizio pubblico ufficiale. Pubblicare indirizzi senza padrone è quello che ci è successo con DNS.WATCH. - CyberGhost, Unlocator ed ExpressVPN: prodotti VPN o Smart DNS a pagamento, non DNS pubblici.
- SafeDNS e FlashStart: commerciali; la parte gratuita è una prova.
- OpenNIC: rete di volontari con indirizzi che cambiano; tre dei quattro indicati dalle liste sono morti. Non c’è un IP fisso da pubblicare.
E tre delle sei liste contenevano indirizzi sbagliati di fornitori che invece abbiamo: a Quad9 mancava una cifra nel secondario, AdGuard compariva con gli IP ritirati nel 2020 e OpenDNS FamilyShield con un indirizzo incompleto. Se copi un DNS da un articolo, confronta l’IP con il sito del fornitore.
Tre che non validano DNSSEC
La prova è semplice e puoi ripeterla: dig @IP dnssec-failed.org A. Quel dominio è firmato apposta con una firma non valida. Un resolver che valida DNSSEC risponde SERVFAIL; uno che non valida restituisce l’indirizzo come se fosse tutto a posto. LibreDNS, AliDNS e DNSPod lo hanno restituito, sulla porta 53 e anche via DoH. Qualche lista attribuisce loro DNSSEC; noi pubblichiamo quello che risponde il server. Il verificatore DNSSEC del sito fa lo stesso controllo con qualsiasi dominio.
xdp.es ha i secondari
xdp.es, il DNS pubblico spagnolo, pubblicava finora un solo IP per profilo. Da oggi ogni profilo ha una coppia: il primario resta a Madrid (85.208.114.51 con blocco della pubblicità, 85.208.114.52 senza filtri) e il secondario sta sulla rete di Oracle (51.170.52.10 e 51.170.54.40, con IPv6 2603:c027:8703:d400::10 e ::40). Abbiamo verificato che ogni secondario filtra esattamente come il suo primario, quindi non bisogna mischiare i profili. Se lo avevi configurato con l’IP ripetuto, ora puoi inserire la coppia vera.
Latenza: alla prossima misurazione
I quattro nuovi che rispondono sulla porta 53 (DNS.SB, Hurricane Electric, AliDNS e DNSPod) non sono ancora nella tabella di latenza del confronto. Abbiamo provato a misurarli oggi dalla solita linea e la connessione era congestionata: un ping a 1.1.1.1 andava da 5 a 577 ms. Con quella rete tutti i resolver risultavano quattro volte più lenti che ad agosto, e pubblicarlo sarebbe stato ingannevole. La tabella verrà completata appena ci sarà una misurazione pulita, con la sua data. Nel frattempo il test di velocità misura dalla tua connessione, che alla fine è quella che conta.
Cosa succede quando un DNS chiude
Con 21 fornitori è solo questione di tempo prima che uno chiuda; dns0.eu è durato tre anni. Da oggi la regola è che una scheda pubblicata non si cancella: viene segnata come chiusa con la data, scende in fondo al confronto e smette di comparire tra i fornitori simili. I suoi indirizzi sono in migliaia di guide e configurazioni; chi arriva cercandoli deve trovare l’avviso, non un errore 404. DNS.WATCH, che da agosto risponde a intermittenza, sarà probabilmente il primo.
Fonti
- UncensoredDNS, «DNS servers» e FAQ.
- LibreDNS, documentazione.
- Digitale Gesellschaft, «DNS».
- DNS.SB, pagina principale e informativa sulla privacy.
- Hurricane Electric, «Public Recursor Enhancements» sul forum ufficiale.
- Alibaba Cloud, AliDNS; DNSPod, Public DNS+.
- xdp.es, pagina principale.
- BleepingComputer, «DNS0.EU private DNS service shuts down over sustainability issues».
- Risposte, DNSSEC, filtri, DoT e DoH: interrogazioni nostre con
dig,opensslecurlda Madrid il 21 settembre 2026.