DNS4EU: il DNS pubblico
europeo, spiegato

Ogni volta che un computer dell’azienda apre un sito, manda un’email o aggiorna un programma, prima chiede a qualcuno «dove sta questo nome?». È il DNS, e quel qualcuno, nella maggior parte delle reti italiane, è Google (8.8.8.8) o Cloudflare (1.1.1.1): due servizi eccellenti, scelti quasi sempre per abitudine e mai per decisione. Il risultato è che l’elenco completo dei domini contattati dall’azienda, migliaia di volte al giorno, finisce a una società statunitense senza che nessuno l’abbia messo per iscritto. Dal 9 giugno 2025 esiste un’alternativa pubblica europea, gratuita e conforme al GDPR: si chiama DNS4EU.

Cos’è DNS4EU

DNS4EU è un’iniziativa dell’Unione europea, cofinanziata tra il 2023 e il 2025 (progetto 101095329), per dare all’Europa un resolver DNS pubblico proprio invece di dipendere da quelli americani. L’ha costruita un consorzio di 13 membri da 10 Paesi guidato dalla ceca Whalebone, azienda specializzata in sicurezza DNS per operatori: ne fanno parte registri nazionali come CZ.NIC, CERT nazionali, università e, per l’Italia, ABI Lab, il centro di ricerca dell’Associazione Bancaria Italiana. Il servizio pubblico è attivo dal 9 giugno 2025 ed è operato da Whalebone su un’infrastruttura di resolver distribuiti in 14 Stati membri.

Le promesse sono tre e stanno scritte nei documenti del servizio: la risoluzione avviene interamente nello spazio digitale europeo, il trattamento segue il GDPR con un titolare europeo, e il servizio è gratuito per i cittadini e le imprese. In più, le varianti protettive bloccano i domini malevoli usando la threat intelligence condivisa dal consorzio, CERT nazionali compresi: un aggiornamento che arriva da un incidente in Polonia protegge il giorno dopo anche una PMI di Piacenza.

Le cinque varianti, e le due che servono in azienda

DNS4EU offre cinque profili, ognuno con indirizzi IPv4 e IPv6, DNS over HTTPS (DoH) e DNS over TLS (DoT). Gli indirizzi sono questi:

Gli indirizzi IPv6 seguono lo stesso schema (per esempio 2a13:1001::86:54:11:1 per la variante protettiva) e l’endpoint DoH è sempre il nome host seguito da /dns-query. In una rete aziendale le scelte sensate sono due: la protettiva, se si vuole lo strato di filtro sulle minacce note, o la non filtrata, se si vogliono solo giurisdizione europea e privacy, lasciando il filtro al firewall. Le varianti con blocco della pubblicità e filtro per i minori vanno lasciate alle famiglie: su una rete di lavoro bloccano portali, strumenti di marketing e applicazioni legittime, e il primo ticket arriva dopo dieci minuti.

DNS4EU, Google, Cloudflare e Quad9: il confronto onesto

Sulla velocità e sull’affidabilità la partita è pari: Google e Cloudflare hanno nodi anche in Italia e nei nostri test DNS4EU risponde con tempi equivalenti dall’Italia. Quello che cambia è tutto il resto.

Quad9 merita una riga in più: dal 2021 ha sede a Zurigo, è soggetto per intero alla legge svizzera sulla protezione dei dati e l’autorità federale ha stabilito che non è un servizio di telecomunicazione, quindi non ha obblighi di conservazione dei dati. È europeo per giurisdizione, non per appartenenza all’Unione, ed è la seconda scelta naturale accanto a DNS4EU. Come abbiamo scritto parlando di data center e dati europei, l’origine del fornitore è uno strumento per rispondere a requisiti concreti, contrattuali o normativi, non una bandiera: se la tua azienda ha quei requisiti, il DNS è uno dei posti più facili e gratuiti dove onorarli.

Cosa DNS4EU non è

Un resolver DNS non è una soluzione di sicurezza, e DNS4EU non lo pretende. Il filtro protettivo ferma le richieste verso domini già noti come malevoli: non vede il phishing su un dominio nuovo di giornata, non ferma un allegato, non blocca un ransomware che parla con il suo server tramite indirizzo IP. Resta uno strato utile e gratuito sopra firewall, EDR e XDR e autenticazione a più fattori, non al loro posto. È la stessa posizione che abbiamo preso sul DNS come livello di protezione: utile, ma da non vendere come prodotto.

Due avvertenze che DNS4EU dichiara apertamente. La prima: i blocchi ordinati dai tribunali degli Stati membri si applicano a tutte le varianti, anche a quella non filtrata, e il registro dei domini bloccati per ordine giudiziario è pubblicato nella sezione «Legal information and compliance» del sito del servizio. È il rovescio della giurisdizione europea: la stessa legge che tutela i dati impone i blocchi. La seconda: il cofinanziamento europeo copriva lo sviluppo fino al 2025; da allora il servizio pubblico resta gratuito, ma vive sul modello commerciale di Whalebone verso operatori, enti pubblici e grandi reti. Non è un difetto, è un fatto da conoscere prima di metterlo in un contratto.

Noi l’abbiamo già fatto: DNS4EU nel nostro DIG

Dal 14 ottobre 2026 il nostro strumento DIG online usa DNS4EU, nella variante non filtrata, come resolver predefinito: ogni query parte dal browser di chi lo usa e arriva a un resolver europeo, non più a Google. Accanto ci sono Quad9, Google e Cloudflare, e la modalità «Tutti (confronto)» interroga i quattro insieme. Serve a due cose: vedere se un record è propagato ovunque, e vedere se un dominio è trattato diversamente da un resolver europeo. Un dominio bloccato per ordine giudiziario, per esempio, risulta non risolto su DNS4EU e risolto su Google: il confronto lo mostra senza che serva spiegarlo. Per farlo abbiamo dovuto parlare il formato binario del DNS direttamente nel browser, perché DNS4EU e Quad9 non offrono le API semplificate di Google e Cloudflare: il dettaglio tecnico che mancava a quasi tutti gli strumenti online.

AtWorkStudio opera da Piacenza dal 2000. Siamo certificati ISO/IEC 27001, 27017, 27018 e ISO 9001, con servizi cloud qualificati dall’ACN (Agenzia per la Cybersicurezza Nazionale), membri di Clusit (Associazione Italiana per la Sicurezza Informatica) e associati a Confindustria Piacenza nel cluster RICT. Configurare il DNS di un’azienda nel modo giusto è una delle cose che facciamo ogni settimana dentro i servizi di supporto e operations.

Indirizzi e varianti verificati sul sito ufficiale DNS4EU il 14 ottobre 2026.