Il blocco a livello DNS protegge ogni dispositivo della rete – telefono, smart TV, IoT – senza installare nulla su ciascuno: quando un dominio pubblicitario o di tracking viene richiesto, il resolver risponde "non esiste" e la chiamata muore lì. Meno pubblicità, meno tracciamento, meno traffico verso i domini malevoli, pagine più veloci.
Gli strumenti sono Pi-hole o AdGuard Home, su un piccolo LXC Proxmox o un Raspberry: si impostano come resolver della rete (dal DHCP del router, così tutti li usano) e si alimentano con le liste. Ed è lì che si vince o si perde: blacklists aggrega ogni giorno 5M+ domini da 46 fonti con whitelist curata contro i falsi positivi – si carica identica su entrambi.
I due accorgimenti che evitano frustrazione: qualche falso positivo è inevitabile (una whitelist a portata di mano serve), e i dispositivi che usano DoH proprio scavalcano il filtro – vanno forzati sul resolver di casa. Per il traffico applicativo (non solo DNS) si sale al Secure Web Gateway.