Come configurare DNS crittografati (DoH/DoT) e VPN su smartphone per reti Wi-Fi pubbliche

Quando ci colleghiamo a una rete aperta in un bar, in hotel o alla stazione, i nostri dati personali corrono rischi concreti: attacchi Man-in-the-Middle, intercettazione delle richieste di rete e furto di cookie di sessione. Sapere come proteggere la navigazione su Wi-Fi pubbliche è oggi indispensabile per preservare la propria riservatezza quotidiana. Questo approfondimento pratico si inserisce nella nostra guida completa alla sicurezza e privacy su smartphone, dove analizziamo ogni aspetto della protezione del dispositivo.

Cosa sono DoH, DoT e VPN: differenze essenziali

Normalmente, quando digiti un indirizzo web, lo smartphone invia una richiesta DNS in chiaro. Chiunque gestisca l’hotspot o sniffi i pacchetti radio può vedere esattamente quali siti visiti, anche se usi HTTPS.

  • DoT (DNS over TLS): crittografa le query DNS sulla porta 853 tramite il protocollo TLS. È lo standard nativo adottato da Android (chiamato “DNS privato”).
  • DoH (DNS over HTTPS): incapsula le query DNS all’interno del normale traffico HTTPS (porta 443), rendendo impossibile per un osservatore distinguere una richiesta DNS dal normale traffico web. È ampiamente supportato da iOS e dai principali browser.
  • VPN (Virtual Private Network): crea un tunnel interamente cifrato per tutto il traffico in entrata e uscita, mascherando non solo il DNS ma anche l’indirizzo IP effettivo.

Passo 1: Configurare i DNS crittografati su Android (DoT)

Android integra il supporto a DoT dalla versione 9. Questa configurazione permette di blindare le risoluzioni dei nomi a livello di sistema senza consumare batteria aggiuntiva.

  1. Apri le Impostazioni di Android.
  2. Vai su Rete e Internet (o Connessioni a seconda del produttore).
  3. Tocca Altre impostazioni di rete o cerca direttamente DNS privato.
  4. Seleziona Nome host del provider DNS privato e digita l’indirizzo del resolver desiderato:
    • Cloudflare: one.one.one.one
    • Quad9: dns.quad9.net
    • NextDNS: [tuo-id].dns.nextdns.io (per filtraggio personalizzato)
    • AdGuard: dns.adguard-dns.com (blocca anche tracker e adv)
  5. Tocca Salva.

Con questa semplice mossa riduci drasticamente la profilazione e inizi a proteggere la navigazione su Wi-Fi pubbliche senza dover installare applicazioni di terze parti.

Passo 2: Configurare DoH/DoT su iPhone (iOS)

A partire da iOS 14, Apple supporta DoH e DoT a livello di sistema operativo tramite profili di configurazione firmati:

  1. Visita un generatore affidabile di profili (come dns.notjakob.com o i portali ufficiali di NextDNS o Quad9).
  2. Scegli se utilizzare DoH o DoT e scarica il profilo di configurazione tramite Safari.
  3. Apri le Impostazioni, tocca Profilo scaricato e premi Installa confermando con il codice di sblocco.
  4. In qualsiasi momento puoi gestire o disattivare il resolver andando in Impostazioni > Generali > VPN e gestione dispositivi > DNS.

Passo 3: Impostare una VPN per una schermatura totale

Sebbene il DNS cifrato impedisca la lettura dei domini visitati, i metadati e il traffico verso servizi privi di HTTPS restano esposti. L’adozione di un tunnel crittografato è la misura definitiva per proteggere la navigazione su Wi-Fi pubbliche da attacchi complessi tipo evil twin (finti hotspot clonati).

Come configurare un client VPN

  • Scegli un servizio no-log certificato: affidati a provider indipendenti verificati (es. Mullvad, ProtonVPN, IVPN) che supportano WireGuard per consumi minimi di batteria e latenza ridotta.
  • Attiva il Kill Switch: all’interno dell’app del provider, assicurati che la voce Kill Switch o Blocca connessioni senza VPN sia attiva. Se il tunnel cade, il traffico viene bloccato istantaneamente.
  • Abilita l’autoconnessione su reti non attendibili: imposta l’applicazione in modo che si avvii automaticamente non appena lo smartphone si collega a un SSID non presente nella lista dei preferiti domestici.

Come verificare che non ci siano perdite di dati (DNS Leak Test)

Dopo aver completato le configurazioni, è fondamentale verificare che il sistema stia realmente crittografando il traffico:

  1. Disconnetti la rete dati e collegati a un Wi-Fi.
  2. Visita siti di diagnostica come dnsleaktest.com o 1.1.1.1/help.
  3. Avvia il Standard test: se tra i server visualizzati compaiono solo quelli del tuo provider sicuro (es. Cloudflare, Quad9 o il server VPN) e nessuno appartenente al gestore dell’hotspot locale, la configurazione ha successo.

Consigli operativi finali

Combinare DoT/DoH e una VPN affidabile garantisce un’eccellente difesa a strati. Mantieni sempre disattivata l’opzione di connessione automatica ai Wi-Fi aperti nelle impostazioni di sistema: prevenire il collegamento involontario rimane la regola d’oro per proteggere la navigazione su Wi-Fi pubbliche in qualunque situazione di mobilità.

Articoli simili