Bloccare pubblicità e tracker a livello di DNS è uno dei modi più efficienti per ridurre il tracciamento online: a differenza di un ad-blocker nel browser, protegge automaticamente ogni dispositivo della rete (smart TV, app mobile, IoT) senza installare nulla su ognuno. I due strumenti più usati per farlo sono Pi-hole (self-hosted) e NextDNS (servizio cloud): non sono in reale alternativa tecnica, ma partono da presupposti diversi.
Pi-hole: il filtro DNS che vive in casa tua
Pi-hole gira su un Raspberry Pi (o qualunque Linux, anche in un container Docker) e si comporta come resolver DNS locale per tutta la rete: ogni dispositivo che lo usa come DNS vede le richieste verso domini pubblicitari e di tracciamento rispondere "non esiste", bloccando il caricamento prima ancora che parta. La configurazione è gratuita, i dati restano in casa (nessun log verso terzi) e le blocklist sono aggiornabili e personalizzabili liberamente.
Il limite principale: funziona solo per i dispositivi che sono effettivamente in rete locale (o collegati via VPN al proprio Pi-hole quando si è fuori casa) e richiede manutenzione — aggiornamenti, spazio disco per i log, e un piano B se il Raspberry Pi si spegne (altrimenti niente DNS per tutta la casa).
NextDNS: la stessa idea, senza hardware da gestire
NextDNS offre lo stesso principio di filtro ma come servizio cloud: si configura un profilo (blocklist, whitelist, protezioni specifiche) e si punta il DNS di router o singoli dispositivi ai server NextDNS. Il piano gratuito copre già un numero di query adeguato per un uso domestico medio, e funziona automaticamente anche fuori casa, su reti mobili, senza bisogno di VPN verso un proprio server.
La contropartita: le richieste DNS passano attraverso un'infrastruttura di terzi. NextDNS dichiara di non salvare log identificabili di default (ed è verificabile nelle impostazioni privacy del profilo), ma resta comunque un servizio esterno nel percorso, mentre con Pi-hole il filtro non lascia mai la rete locale.
Quale scegliere
- Pi-hole se hai già (o vuoi) un dispositivo sempre acceso in casa, vuoi il controllo completo dei log e non ti pesa la manutenzione minima richiesta.
- NextDNS se vuoi protezione anche sui dispositivi mobili fuori rete domestica senza configurare una VPN, o se non vuoi gestire hardware.
- Entrambi insieme: molti usano Pi-hole in casa come DNS primario e NextDNS come DNS secondario sui dispositivi mobili quando sono fuori — le blocklist di Pi-hole possono anche essere sincronizzate manualmente con un profilo NextDNS per coerenza.
Un limite comune a entrambi
Il filtro DNS blocca solo i domini noti nelle blocklist: non impedisce il tracciamento che avviene tramite lo stesso dominio del sito visitato (es. script di analytics serviti in first-party), e non sostituisce un buon hardening del browser. Va visto come un livello di difesa in più, non come soluzione unica.