Una VPN nasconde il tuo traffico, ma le richieste DNS possono uscire lo stesso dalla rete del tuo provider e raccontare tutti i siti che apri. Il test controlla DNS, WebRTC e IPv6 in pochi secondi e ti dice in parole semplici se c'è una falla e da dove passa.
Aggiornato il · da Maurizio Fonte
Il test parte da solo e dura una decina di secondi. Se usi una VPN, collegala prima di aprire la pagina, poi ripeti il test quando cambi rete o impostazioni.
Il test interroga ipleak.net, ipwho.is, ipify, Cloudflare (DNS over HTTPS e STUN) e Team Cymru. I risultati restano in questa pagina: non li riceviamo e non li salviamo.
Vuoi sapere se il tuo DNS blocca pubblicità e tracker? Prova il test blocco DNS.
Apri la VPN come fai di solito e poi questa pagina. Se vuoi solo sapere che DNS stai usando, puoi fare il test anche senza VPN.
Il browser risolve alcuni nomi di dominio usa e getta, creati apposta per questo test. Il server autorevole di quei nomi annota chi glieli ha chiesti: sono i resolver DNS che lavorano per te.
Per ogni resolver cerchiamo la rete a cui appartiene (il suo sistema autonomo, AS) e la confrontiamo con la rete da cui esce il tuo traffico. Se il traffico esce dalla VPN ma il DNS dalla rete del tuo provider, è un leak.
Nello stesso giro chiediamo al browser quali indirizzi rivelerebbe a una videochiamata (WebRTC) e se hai una connessione IPv6 che salta il tunnel della VPN.
Per ogni controllo trovi un esito chiaro e, se qualcosa non va, la correzione da fare su Windows, macOS, Android, iPhone, browser o router.
Ogni volta che apri un sito, il dispositivo chiede a un resolver DNS di tradurre il nome (per esempio banca.it) in un indirizzo IP. Quella domanda contiene il nome del sito, in chiaro nella grande maggioranza delle configurazioni. Chi gestisce il resolver vede quindi l'elenco dei siti che visiti, con data e ora, anche se il contenuto delle pagine viaggia cifrato in HTTPS.
Senza VPN il resolver è quasi sempre quello del tuo provider, configurato in automatico dal router. Con una VPN ti aspetti che anche le domande DNS passino nel tunnel e arrivino a un resolver della VPN. Quando non succede, il traffico esce da un paese e da una rete, il DNS da un'altra: hai pagato per nasconderti e intanto il provider continua a sapere dove vai. È questo il DNS leak.
La maggior parte dei test online ti mostra una tabella di indirizzi e ti lascia indovinare. Un indirizzo come 2620:171:63::227 non dice nulla a nessuno. Qui ogni resolver viene ricondotto alla sua rete, con il nome del gestore, e confrontato con la rete da cui esci: il verdetto arriva già spiegato.
Stessa rete per traffico e DNS. Il caso più comune quando la VPN funziona: il resolver appartiene allo stesso sistema autonomo dell'indirizzo da cui esci. Nessun leak. Senza VPN vedrai invece la rete del tuo provider sia per il traffico sia per il DNS: anche questo è coerente, semplicemente non sei protetto.
DNS pubblico noto. Il resolver appartiene a un servizio pubblico come Cloudflare, Google, Quad9, NextDNS o AdGuard. Non è per forza un problema: molte VPN usano proprio questi servizi, e chi li ha scelti a mano li ritrova qui. Ti diciamo quale servizio è, così puoi capire se è quello che ti aspetti.
Rete diversa e non pubblica. Il traffico esce da una rete, il DNS da un'altra che non è un servizio pubblico. Se sei collegato a una VPN, quella seconda rete è quasi sempre il tuo provider di casa o dell'ufficio: è il leak classico. Il verdetto la segnala in rosso e ti porta alle correzioni.
Più resolver insieme. Vedere due o tre indirizzi è normale: i resolver grandi usano molte macchine. Conta la rete, non il numero. Se però tra resolver della VPN ne compare uno del provider, anche uno solo, alcune domande escono dal tunnel.
Nell'app della VPN. Cerca le opzioni chiamate protezione DNS, DNS leak protection o usa il DNS della VPN e attivale. Attiva anche il kill switch, che blocca la rete se il tunnel cade. Se la VPN offre un protocollo WireGuard o OpenVPN con DNS dedicato, preferiscilo alle configurazioni manuali.
Windows. Windows può inviare la stessa domanda DNS su tutte le schede di rete insieme e usare la prima risposta, compresa quella del provider: la funzione si chiama risoluzione dei nomi multihomed intelligente. Le VPN serie la neutralizzano da sole; se il leak resta, la si disattiva con il criterio di gruppo che nella versione inglese di Windows si chiama Turn off smart multi-homed name resolution. Controlla poi che nelle proprietà della scheda di rete fisica non ci siano DNS scritti a mano.
macOS e iPhone. Se in Impostazioni hai un profilo di DNS cifrato o un'app che lo imposta, quel profilo può avere la precedenza sul DNS della VPN. Disattivalo mentre usi la VPN o lascia che sia la VPN a gestire il DNS.
Android. Apri Impostazioni, Rete e Internet, DNS privato (il percorso cambia un po' da un produttore all'altro). Se è impostato un provider specifico, le domande vanno lì e non al resolver della VPN. Scegli Automatico o lascia il controllo alla VPN, e attiva VPN sempre attiva e Blocca connessioni senza VPN.
Browser. Firefox, Chrome, Edge e Brave possono usare un DNS sicuro proprio (DNS over HTTPS) che scavalca quello del sistema. Il test vede allora il provider DoH del browser e non quello della VPN. Se vuoi che decida la VPN, disattiva il DNS sicuro nelle impostazioni di privacy del browser.
Router. Alcuni router intercettano tutte le domande DNS della rete di casa e le girano al resolver del provider, qualunque cosa tu abbia configurato. Se il leak compare solo da casa e sparisce in mobilità, il colpevole è probabilmente lì.
WebRTC è la tecnologia delle videochiamate nel browser. Per collegare due persone deve scoprire gli indirizzi con cui ciascuna è raggiungibile, e lo fa interrogando un server STUN. Una pagina qualsiasi può chiederlo con poche righe di JavaScript, senza permessi. Se la VPN non instrada anche quelle richieste, il server STUN vede il tuo indirizzo reale e la pagina lo legge. I browser moderni nascondono gli indirizzi della rete locale dietro nomi casuali che finiscono in .local: per questo non li vedrai quasi mai. Quello che conta è l'indirizzo pubblico, che deve coincidere con quello della VPN.
IPv6 è la versione nuova degli indirizzi Internet, ormai attiva su molte linee fibra. Diverse VPN cifrano solo il traffico IPv4: se la tua linea ha IPv6 e la VPN non lo gestisce, i siti raggiungibili in IPv6 vedono il tuo indirizzo vero. Il test prova a contattare un servizio raggiungibile solo in IPv6 e ti dice se ci riesce e da quale rete.
Il test gira nel tuo browser. Per vedere i resolver usa i nomi di dominio di ipleak.net, un servizio pubblico nato proprio per questo: il tuo browser risolve un nome casuale e ipleak.net risponde con gli indirizzi dei resolver che gliel'hanno chiesto. L'indirizzo pubblico e il nome del provider arrivano da ipwho.is; la rete di ciascun resolver dal servizio di mappatura degli AS di Team Cymru, interrogato tramite il DNS over HTTPS di Cloudflare. Il controllo IPv6 usa ipify, quello WebRTC il server STUN pubblico di Cloudflare.
Questi servizi vedono la richiesta come qualsiasi sito che visiti. Noi non riceviamo i risultati: non c'è un nostro server che li raccoglie e non salviamo nulla. Se un servizio è bloccato dalla tua protezione, il test lo dice invece di inventare un esito.
Termini tecnici usati in questa pagina, spiegati in due righe.
Leggi, tabelle ufficiali e implementazioni di riferimento su cui è stata verificata la logica del tool.
Sono Maurizio Fonte, ingegnere informatico con oltre vent'anni di esperienza tra reti, server e sicurezza. Ho costruito questo test perché quelli che trovavo mostravano indirizzi senza spiegarli: volevo un verdetto che chiunque potesse capire.
Scopri di piùRisposta entro 2 giorni lavorativi, entro 24 ore per emergenze tecniche. La prima call conoscitiva dura un'ora, è gratuita e non vincolante. Al termine ti dico con chiarezza se posso aiutarti, o ti indico chi può farlo meglio di me.
Scrivimi senza impegno