Public DNS resolver italiano: DoH, DoT, DoQ con DNSSEC e zero-log

Il DNS è il primo anello della catena Internet: precede ogni connessione TCP, ogni handshake TLS, ogni richiesta HTTP. Nonostante questo, nella stragrande maggioranza delle reti consumer e business viene ancora trasportato in chiaro su UDP porta 53, senza alcuna garanzia di integrità o riservatezza.

Nexim Italia mette a disposizione un resolver DNS pubblico ricorsivo, operato sul territorio italiano, progettato come infrastruttura neutrale e sovrana.

Trasporto cifrato: DoH, DoT, DoQ
Il resolver supporta i tre principali protocolli cifrati standardizzati IETF:

DoH (DNS over HTTPS, RFC 8484) — endpoint HTTPS standard, compatibile con browser moderni e sistemi operativi recenti.
DoT (DNS over TLS, RFC 7858) — porta 853, ideale per configurazione a livello di sistema o router.
DoQ (DNS over QUIC, RFC 9250) — riduce la latenza di handshake e migliora il comportamento su reti mobili o ad alta perdita di pacchetti.

Validazione DNSSEC end-to-end
Ogni risposta viene validata crittograficamente contro la catena DNSSEC, dalla root zone fino al record richiesto. Le risposte non validabili vengono restituite con SERVFAIL, prevenendo cache poisoning e manipolazioni a monte. Il flag AD nelle risposte riflette fedelmente lo stato di validazione.

Zero-log come policy operativa
Il resolver non conserva log persistenti di query, IP sorgente, user-agent o metadati riconducibili all'utente. I dati di sessione esistono solo per la durata tecnica necessaria al servizio e non vengono aggregati, analizzati o ceduti. Nessuna telemetria di terze parti, nessuna monetizzazione delle risoluzioni.

Infrastruttura anycast italiana
I PoP del resolver sono distribuiti in datacenter italiani con peering diretto sui principali IXP nazionali (MIX, TOP-IX, Namex). Questo riduce l'RTT medio rispetto ai grandi resolver globali e mantiene il traffico DNS all'interno del perimetro nazionale, con upstream esclusivamente intra-UE.

Per chi è pensato
Il servizio è rivolto a reti enterprise, ISP regionali, broadcaster, pubbliche amministrazioni e utenti consapevoli che considerano il DNS un componente critico dell'infrastruttura, non un dettaglio da delegare a default opachi.

Documentazione tecnica completa, endpoint operativi, esempi di configurazione e strumenti di test pubblici sono disponibili sulla pagina dedicata.