DNS privato su Android: come impostarlo e perché conviene
Il DNS privato su Android è una voce nelle impostazioni che quasi nessuno apre. Ed è un peccato, perché è una delle poche modifiche gratuite che cambiano qualcosa davvero: da un momento all’altro il telefono smette di chiedere in chiaro al gestore di rete quali siti stai aprendo.
Qui trovi la procedura esatta, i percorsi di menu per Samsung, Pixel e Xiaomi, i nomi host dei provider principali e soprattutto cosa fare quando il telefono dice che la rete non ha internet. Succede spesso e quasi nessuna guida lo spiega.
Che cosa serve prima di iniziare?
Serve uno smartphone con Android 9 Pie o successivo. La funzione si chiama Private DNS ed è entrata nel sistema nel 2018, quindi la trovi su qualsiasi telefono venduto dal 2019 in poi. Su Android 8 e precedenti non c’è e non si aggiunge con un aggiornamento.
Il tempo necessario è di 3 o 4 minuti, una volta scelto il provider. Non serve root, non serve installare applicazioni, non si perde la garanzia e non si cambia operatore.
C’è però un rischio concreto. Se sbagli il nome host, il telefono resta con il segnale pieno ma senza risoluzione dei nomi: le app dicono “nessuna connessione” mentre le tacche sono tutte lì. Si sistema in dieci secondi riaprendo la stessa schermata, meglio saperlo prima e non dopo.
Che cos’è il DNS privato su Android?
Il DNS è la rubrica che traduce un nome come mondoandroid.com nell’indirizzo IP del server. Di default quella richiesta viaggia in chiaro sulla porta 53 UDP, quindi chi gestisce la rete vede la lista dei domini che visiti, anche quando poi il traffico è protetto da HTTPS.
Il DNS privato cambia il canale. Le richieste passano dentro una connessione cifrata con DNS-over-TLS (DoT) sulla porta 853. Il server deve presentare un certificato valido per il nome host che hai scritto, altrimenti la connessione non parte. È questa verifica la differenza sostanziale: senza, chiunque sulla stessa rete potrebbe fingersi il resolver.
Android applica l’impostazione a livello di sistema, quindi vale per tutte le applicazioni e per qualsiasi rete, Wi-Fi o dati mobili. Non è una VPN: non cambia il tuo indirizzo IP e non nasconde niente del traffico oltre alle query DNS.
Come si imposta il DNS privato su Android?
Il percorso standard, quello dei Pixel e dei telefoni con Android stock, è questo:
- Apri Impostazioni.
- Entra in Rete e internet.
- Tocca DNS privato. Su alcune versioni la voce sta in fondo, sotto “Avanzate”.
- Scegli Nome host del provider DNS privato. Le altre due opzioni sono “Disattivato” e “Automatico”.
- Scrivi il nome host del provider, per esempio
one.one.one.one. - Tocca Salva e controlla che sotto la voce compaia “Connesso”.
La scritta “Connesso” appare in pochi secondi. Se resta su “Connessione in corso” o passa a “Impossibile connettersi”, il nome host è sbagliato oppure la rete sta bloccando la porta 853.
TIP. Se non trovi la voce, usa la ricerca dentro le Impostazioni: digita “DNS” e nella maggior parte dei casi il sistema ti porta dritto alla schermata giusta, anche quando il produttore l’ha nascosta in un sottomenu diverso.
L’opzione Automatico merita una precisazione, perché viene fraintesa spesso. Non è una via di mezzo tra acceso e spento: il telefono prova DoT solo verso il resolver fornito dalla rete e solo se quel resolver lo supporta. Non c’è verifica del certificato. Se vuoi la cifratura garantita, l’unica scelta è il nome host.
Il percorso cambia tra Samsung, Pixel e Xiaomi?
Sì, cambia il percorso, non la funzione. One UI e HyperOS hanno riscritto i menu, quindi la voce si trova in punti diversi.
| Brand | Percorso |
|---|---|
| Pixel e Android stock | Impostazioni > Rete e internet > DNS privato |
| Samsung One UI | Impostazioni > Connessioni > Altre impostazioni di connessione > DNS privato |
| Xiaomi HyperOS | Impostazioni > Rete e internet > DNS privato |
| Xiaomi MIUI 12 e 13 | Impostazioni > Connessione e condivisione > DNS privato |
Su Samsung la voce non sta in “Rete e internet”: One UI la tiene sotto “Connessioni”, ed è il motivo per cui molta gente pensa che il telefono non abbia la funzione. Su HyperOS il percorso è tornato vicino a quello stock, mentre sulle MIUI più vecchie si passa da “Connessione e condivisione”.
Una nota per i telefoni brandizzati dall’operatore: in alcuni firmware la voce è stata rimossa del tutto. Non c’è trucco che la faccia ricomparire, a parte cambiare firmware o usare una VPN che gestisca il DNS per conto suo.
Quale provider DNS privato scegliere?
In questa schermata conta solo il nome host. Gli indirizzi IP non funzionano, perché il certificato va validato su un nome. Questi sono i più usati, con quello che cambia davvero.
| Provider | Nome host da inserire | Filtri | Log |
|---|---|---|---|
| Cloudflare 1.1.1.1 | one.one.one.one | Nessuno | Dichiarati assenti |
| Cloudflare per famiglie | security.cloudflare-dns.com | Malware | Dichiarati assenti |
| Google Public DNS | dns.google | Nessuno | Temporanei, 24-48 ore |
| Quad9 | dns.quad9.net | Malware e phishing | Nessun dato personale |
| AdGuard DNS | dns.adguard-dns.com | Pubblicità e tracker | Dichiarati assenti |
Cloudflare è la scelta più equilibrata per velocità e per la rete Anycast, che risponde dal data center più vicino. La versione per famiglie usa lo stesso resolver con una lista di domini malevoli e, nella variante family.cloudflare-dns.com, anche i contenuti per adulti.
Quad9 è la scelta di chi vuole un blocco automatico di malware e phishing senza configurare niente. AdGuard DNS fa lo stesso con pubblicità e tracker, ed è il modo più pulito per togliere la pubblicità dalle app senza installare un adblocker.
Se ti interessa quel secondo caso, il DNS privato è solo un pezzo del quadro: in bloccare la pubblicità su Android trovi i limiti reali di questo approccio, browser compresi. E se ti chiedi perché Google sembra sempre un passo avanti sugli altri, la risposta è nella corsia preferenziale che Android riserva al resolver di Google.
Perché il DNS privato non funziona? Gli errori comuni
Il caso numero uno è l’indirizzo IP scritto al posto del nome. Se nella casella compare 1.1.1.1 invece di one.one.one.one, Android non ha un nome su cui validare il certificato e la connessione fallisce. Il campo vuole un hostname, sempre.
Il secondo è il captive portal. Nei treni, negli hotel e negli aeroporti la pagina di login del Wi-Fi viene servita da un resolver locale che non conosci. Con il DNS privato attivo quella pagina non si carica e la rete sembra morta: il telefono non ti fa nemmeno arrivare al pulsante “Accetta”.
La soluzione è rozza ma funziona: metti Automatico, completi il login, poi rimetti il nome host. Il profilo di rete resta memorizzato, quindi non devi rifare tutto ogni volta.
Sui Pixel c’è anche un caso documentato di dati mobili che cadono con il DNS privato attivo, utile da leggere se il problema si presenta solo in mobilità.
Il terzo è la porta 853 bloccata. Diverse reti aziendali e qualche operatore in roaming filtrano le porte diverse da 443 e 80. In quel caso il telefono mostra “Connesso” per un istante e poi perde la connessione: la cifratura non passa proprio.
Il quarto è la VPN. Molte app VPN installano il proprio resolver e ignorano l’impostazione di sistema, altre la rispettano. Se il comportamento ti sembra incoerente, il punto di partenza è la guida su come scegliere e configurare una VPN su Android: lì è spiegato quale delle due impostazioni vince.
Ultimo caso, quello dei telefoni gestiti: se il dispositivo è sotto MDM aziendale, il DNS privato può essere bloccato dal profilo di lavoro. Non è un guasto, è una scelta dell’amministratore.
Come verificare che il DNS privato funzioni?
Il controllo più diretto è la pagina di diagnostica di Cloudflare, one.one.one.one/help. Nella tabella compare una riga “DNS over TLS (DoT)”: se leggi “Yes”, la cifratura è attiva. Attenzione, quella pagina risponde solo se stai usando un resolver Cloudflare: con Quad9 o AdGuard mostrerà un altro provider.
Per qualsiasi provider va bene un test di leak DNS: apri dnsleaktest.com, avvia il test esteso e guarda quale resolver risponde. Se compare il nome del provider che hai scelto, ha funzionato. Se compare il tuo operatore, l’impostazione non è attiva o la rete la sta scavalcando.
C’è poi la verifica che nessuno fa e che invece è la più utile: spegni il Wi-Fi e ripeti il test sui dati mobili. Il DNS privato dovrebbe valere anche lì, ed è esattamente il punto della funzione. Se sul Wi-Fi funziona e in mobilità no, il problema è nel profilo APN o in un’app che gestisce la connessione.
TIP. Dopo il cambio, riavvia il telefono una volta. La maggior parte dei problemi di “connesso ma senza internet” sparisce perché il sistema ricostruisce la cache del resolver, che altrimenti resta agganciata al vecchio server per qualche minuto.
Cosa il DNS privato non fa?
Non ti rende anonimo. L’indirizzo IP resta lo stesso e il sito che visiti ti riconosce come prima. Quello che cambia è solo chi può leggere la query di risoluzione.
Non nasconde il nome del sito in tutti i casi. Con TLS 1.3 il campo SNI viaggia ancora in chiaro nella maggior parte delle connessioni, quindi l’operatore può spesso dedurre il dominio dal traffico anche senza vedere il DNS. La tecnologia che lo risolve si chiama ECH e non è attiva ovunque.
Non ferma i tracker interni alle app. Se un’applicazione parla con i server della propria rete pubblicitaria usando un indirizzo IP già noto, il filtro DNS non la vede passare. E non sostituisce un browser con blocco nativo, perché Chrome su Android usa il resolver di sistema: l’interruttore DoH separato esiste solo nella versione desktop.
Domande frequenti sul DNS privato su Android
Il DNS privato consuma batteria?
L’impatto è trascurabile. La connessione TLS resta aperta e viene riusata, quindi non c’è un handshake per ogni sito. Quello che consuma davvero è il tentativo continuo di riconnettersi quando la rete blocca la porta 853.
Devo riconfigurarlo quando cambio Wi-Fi?
No. L’impostazione è di sistema e vale per tutte le reti. L’unica eccezione sono i captive portal, dove conviene passare temporaneamente ad Automatico e poi tornare al nome host.
Posso usare un indirizzo IP al posto del nome host?
No. Il campo accetta solo un nome di dominio, perché Android deve verificare il certificato del server. Se scrivi un IP la connessione non parte, anche se quell’indirizzo è un resolver perfettamente funzionante.
Cosa succede se il provider DNS va giù?
Il telefono perde la risoluzione dei nomi e le app segnalano assenza di connessione. Non c’è un fallback automatico in modalità nome host: devi rimettere Automatico o cambiare provider. Per questo conviene scegliere un servizio con una rete Anycast ampia.
Il DNS privato funziona anche sui tablet Android?
Sì, se il tablet ha Android 9 o successivo. La voce è la stessa e il percorso identico, salvo le personalizzazioni del produttore. Sui tablet molto economici con Android Go la funzione può mancare.
Meglio Cloudflare, Google o Quad9?
Cloudflare per la latenza, Google se vuoi il resolver più diffuso e testato, Quad9 se vuoi il blocco di malware senza configurare liste. Nessuno dei tre è una scelta sbagliata: cambia il compromesso tra velocità, filtri e politiche sui log.
Posso tornare indietro?
Sì, in qualsiasi momento. Riapri la schermata, scegli Disattivato e il telefono torna al DNS in chiaro della rete. Non resta nessuna traccia e non serve riavviare.