Il resolver DNS vede ogni sito che visiti prima ancora che tu ti colleghi: sceglierlo è una decisione di privacy, non un dettaglio. Le opzioni:
- resolver pubblici con policy serie: Quad9 (blocca domini malevoli, base in Svizzera, no-log), Cloudflare 1.1.1.1 (veloce, privacy dichiarata), NextDNS/ControlD (filtri e log tuoi, configurabili). Su DoH/DoT per cifrare il tragitto
- il tuo resolver: un Unbound ricorsivo che risolve dalla root senza intermediari – nessun terzo vede le query, al prezzo di gestirlo (spesso accoppiato a Pi-hole/AdGuard per il filtraggio); su un LXC Proxmox gira col nulla
I criteri onesti: la privacy si sposta, non si crea – dall'ISP al resolver scelto, di cui devi fidarti; giurisdizione e policy di log contano più della velocità; e la coerenza – un resolver filtrante scavalcato dal DoH dei singoli dispositivi non filtra nulla. Layer complementare, non alternativo: DNSSEC per l'autenticità, il resolver per la riservatezza, le blocklist per la protezione.