Bloccare la pubblicità su Android: DNS privato, browser e limiti reali

Apri un sito e dopo due secondi il banner ti copre mezzo schermo. Scorri e parte un video muto che non hai chiesto. Su Android la pubblicità arriva da tre canali diversi: le pagine web, l’interno delle app e gli spazi che il sistema vende nelle app gratuite. Non esiste un interruttore unico che li spenga tutti, ma ci sono tre strade che riducono il rumore in modo netto, tutte senza root.

La prima è il DNS privato, un’impostazione di sistema che filtra le richieste di dominio per tutto il telefono. La seconda è il browser, dove il filtro può essere molto più aggressivo. La terza è un’app che intercetta il traffico in locale. Ognuna ha un costo: in batteria, in compatibilità, o nella pubblicità che resta comunque al suo posto.

Qui sotto trovi la configurazione passo per passo, cosa fanno i browser e soprattutto cosa nessuna delle tre strade riesce a togliere. La parte utile non è l’entusiasmo, è sapere dove il blocco finisce.

Come funziona un filtro DNS, in pratica

Prima di caricare qualunque cosa, un’app chiede a un risolutore DNS a quale indirizzo IP corrisponde il nome del server. Se la risposta è “questo dominio non esiste”, il contenuto non arriva. Il blocco a livello DNS vive esattamente lì: non guarda cosa c’è dentro la pagina, decide solo se il server della pubblicità può essere raggiunto.

Il vantaggio è la copertura. Un solo DNS privato vale per Chrome, per il meteo, per il gioco e per l’app della banca, senza installare niente. Il limite è la granularità: se l’annuncio arriva dallo stesso dominio del contenuto, il DNS non ha modo di distinguerli.

Su Android il DNS privato esiste da Android 9, usa il protocollo DNS over TLS sulla porta 853 e si configura con un nome host, non con un indirizzo IP. Android rifiuta gli IP perché vuole cifrare la connessione e verificare il certificato del server prima di fidarsi.

DNS privato su Android: la configurazione in cinque passi

Servono due minuti, nessuna app e nessun account. Il nome del menu cambia con la personalizzazione del produttore, ma le voci sono sempre le stesse tre.

1. Apri le impostazioni di rete. Su Pixel e Android stock: Impostazioni > Rete e internet > DNS privato. Su Samsung: Impostazioni > Connessioni > Altre impostazioni di connessione > DNS privato. Su Xiaomi con HyperOS: Impostazioni > Rete e internet > DNS privato. Su Oppo, OnePlus e Realme il percorso è quasi sempre lo stesso, con varianti nei modelli più datati.
2. Scegli “Nome host del provider DNS privato”. Le alternative sono Disattivato, che lascia il DNS in chiaro, oppure Automatico, che usa il resolver dell’operatore e lo cifra solo se lui lo supporta.
3. Incolla il nome host del resolver scelto, per esempio dns.adguard-dns.com. Niente spazi, niente https:// davanti.
4. Salva. Android fa una prova di connessione: se il nome host è sbagliato o il server non risponde, la schermata resta su “Salvataggio” e poi torna indietro senza spiegazioni.
5. Riavvia la connessione. Dieci secondi di modalità aereo, oppure un toggle di Wi-Fi e dati: le risposte DNS già in cache restano valide fino alla loro scadenza.

La differenza tra un resolver e l’altro non è la velocità, è la lista. Cloudflare e Google si limitano a cifrare: servono più contro il dirottamento DNS dell’operatore che contro i banner. Quad9 ferma malware e phishing ma lascia passare la pubblicità. AdGuard DNS e NextDNS sono gli unici due, tra questi, che cambiano davvero l’esperienza di navigazione.

Il browser, dove il filtro può essere più duro

Il DNS toglie il server, il browser toglie anche l’elemento. Su una pagina web la differenza è enorme: niente spazi bianchi, niente banner laterali, spesso niente popup dei cookie al primo accesso. È la strada più efficace, ma vale solo dentro il browser.

Le opzioni che funzionano su Android sono poche e precise. Brave ha il filtro integrato e attivo di default, con liste proprie e nessuna estensione da installare. Firefox per Android supporta le estensioni desktop, quindi uBlock Origin gira davvero ed è il filtro più potente ottenibile su un telefono senza root. Vivaldi e Samsung Internet hanno un blocco integrato con liste di terze parti, meno raffinato ma sufficiente per la maggior parte dei siti.

Chrome su Android resta fuori da questo discorso, perché non supporta estensioni. E il passaggio a Manifest V3 ha chiuso la stagione di uBlock Origin classico anche su desktop. Se il browser è Chrome, il massimo che ottieni è il DNS privato di sistema.

Sul fronte video la faccenda si complica: il blocco dentro il browser richiede liste aggiornate e non sempre regge. Ne abbiamo parlato nella guida su YouTube senza pubblicità con Brave, dove i filtri contano più del browser in sé.

Il terzo modo: un filtro locale che passa dalla VPN

Le app come AdGuard creano una VPN locale: il traffico non esce dal telefono, viene filtrato da un processo interno. È la strada più potente senza root, perché può filtrare anche dentro le connessioni HTTPS usando un certificato installato sul dispositivo. Il DNS, da solo, non può farlo.

Il costo è triplo. Occupa l’unico slot VPN di Android, quindi addio VPN vere in contemporanea. Consuma batteria, perché ogni connessione passa da un processo in più. E richiede di installare un certificato di autorità, cosa che alcune app di banca e qualche gioco non gradiscono affatto.

Per un uso normale il DNS privato copre la maggior parte del lavoro senza nessuno di questi problemi. Se vuoi capire quando l’app conviene davvero, il confronto tra VPN con adblock e DNS privato è già sul sito, con i numeri di consumo alla mano.

Quello che nessun filtro DNS ti toglie

Questa è la parte che nessuna guida mette in evidenza, ma serve più delle istruzioni.

• Gli annunci di YouTube, serviti dallo stesso dominio dei video: il DNS non può separarli.
• Le inserzioni nei feed di Instagram, Facebook e TikTok, che sono native e indistinguibili dal contenuto.
• Gli spot nei giochi gratuiti, soprattutto quelli “rewarded” che scegli di guardare per un bonus.
• Le app con resolver proprio, che usano DNS over HTTPS integrato e ignorano il DNS di sistema.
• I contenuti sponsorizzati scritti: nessun filtro automatico li distingue da un articolo.

Su questi cinque punti l’unica difesa è cambiare abitudine: browser con blocco per la navigazione, versione a pagamento dove il servizio conta davvero, più un po’ di rassegnazione per le app che vivono di pubblicità.

Quando il blocco rompe le app

Il caso classico è il login che non parte. Bloccare i domini di tracking a volte taglia anche quelli usati per autenticazione o pagamento: l’app resta su una rotella che gira. Lo stesso vale per i portali captive di treni e hotel, che vivono su domini finiti in blacklist.

La soluzione non è disattivare tutto, è passare a un resolver con lista personalizzabile e mettere in whitelist il dominio che serve. NextDNS e AdGuard DNS con profilo dedicato lo permettono: la whitelist si gestisce da browser, senza toccare il telefono.

Il secondo caso da conoscere è la rete che chiude la porta 853: lì il telefono perde la connessione dati finché non torni su Automatico. Se ti è già capitato su un Pixel, il sintomo è identico a un guasto di rete ed è descritto nella nota su DNS privato e interruzioni dei dati mobili.

Domande frequenti

Il DNS privato consuma batteria?

In modo trascurabile. Le richieste sono le stesse di prima, cambia solo che viaggiano cifrate e verso un server diverso. Il consumo diventa percepibile solo con resolver lontani geograficamente, che aggiungono latenza a ogni nuova risoluzione. Se note un calo evidente, il problema è quasi sempre un’altra app.

Funziona anche con i dati mobili o solo in Wi-Fi?

Funziona su entrambi, perché è un’impostazione di sistema e non di rete. L’eccezione è la rete che blocca la porta 853: in quel caso il DNS privato non riesce a connettersi e il telefono resta senza risoluzione finché non passi ad Automatico.

Posso tenere insieme DNS privato e VPN?

Sì, se la VPN non impone un proprio resolver. Molte VPN commerciali gestiscono il DNS internamente e sovrascrivono l’impostazione di sistema, quindi il filtro sparisce senza avvisi. Le app che creano una VPN locale, come AdGuard, occupano lo slot VPN e non possono convivere con una VPN vera.

Perché dopo il cambio alcune app non si aprono più?

Perché quelle app chiamano domini di tracking o telemetria che il resolver blocca e non gestiscono l’errore. Il rimedio è la whitelist del dominio incriminato, oppure un resolver che blocca meno. Non serve disinstallare niente.

Il DNS privato blocca la pubblicità di YouTube?

No. Gli annunci video arrivano dallo stesso dominio del video, quindi a livello DNS sono indistinguibili dal contenuto. Per YouTube servono un browser con filtro oppure un’app che filtri l’HTTPS, con tutti i limiti del caso.

Serve il root per fare tutto questo?

No. Questa è la notizia buona. Root e modifica del file hosts erano l’unico modo anni fa, oggi le tre strade descritte funzionano su qualunque telefono aggiornato. Il root aggiunge solo la possibilità di bloccare per singola app, che per la maggior parte delle persone non vale il rischio.

Se dovessi scegliere una sola cosa, scegli il DNS privato: due minuti, nessuna app e la maggior parte dei banner sparisce da tutto il telefono insieme ai tracker che ti seguono tra un sito e l’altro. Il browser con filtro integrato lo aggiungi dopo, quando la pubblicità che resta ti dà fastidio abbastanza da cambiare app per navigare. Le app VPN locali lasciale per ultime, quando hai capito esattamente quale dominio ti serve sbloccare.