Il provider internet può vedere quali siti visito?

Risposta breve: no, il tuo provider internet (l'ISP, cioè l'operatore che ti fornisce la connessione) non può vedere cosa cerchi, ma può vedere ogni sito che visiti, anche su HTTPS, in modalità in incognito e dopo che hai cancellato la cronologia. Vede ogni dominio, quando ti sei collegato, per quanto tempo e quanti dati sono passati. Non può vedere le pagine specifiche, i termini che cerchi o quello che scrivi sui siti criptati. Il DNS criptato riduce ciò che trapela, e una VPN o Tor nascondono anche i siti.

Sui provider internet circolano due convinzioni molto diffuse, ed entrambe sono sbagliate. La prima dice che il tuo ISP legge tutto, fino a quello che scrivi nella casella di ricerca. La seconda dice che il lucchetto di HTTPS ha reso il tuo ISP cieco. La verità sta nel mezzo, e sapere esattamente dove ti dice quali soluzioni valgono il tuo tempo.

Cosa può vedere il tuo provider internet, e cosa no

Immagina ogni richiesta web come una busta. HTTPS sigilla la lettera all'interno. L'indirizzo scritto fuori deve restare leggibile, perché la rete possa consegnarla.

Nascosto al tuo ISP sui siti HTTPS: l'indirizzo completo della pagina dopo il dominio, i termini di ricerca, i dati inseriti nei moduli, le password, i messaggi e il contenuto della pagina.

Visibile al tuo ISP: il dominio a cui ti sei collegato, l'ora, quanto sei rimasto, quanto spesso torni e, a grandi linee, quanti dati hai scambiato.

Quindi il tuo ISP non sa quale articolo hai letto su un sito di salute. Sa che hai visitato quel sito di salute alle 23:40, per venti minuti, ogni martedì. Spesso quello schema rivela più dell'articolo.

Il tuo ISP può vedere cosa cerchi su Google?

Non le parole. Tutti i principali motori di ricerca si caricano su HTTPS, quindi il testo che scrivi, i suggerimenti che compaiono e la pagina dei risultati viaggiano criptati. Il tuo ISP vede una connessione a google.com e niente di quello che hai chiesto.

Quello che può vedere è cosa succede dopo. Ogni risultato su cui fai clic è una visita separata a un dominio separato, e quei domini sono visibili. Cerca un sintomo, poi apri tre siti medici e la pagina di prenotazione di una clinica, e l'argomento della tua ricerca non è difficile da indovinare dai soli siti.

La tua cronologia delle ricerche è conservata dal motore di ricerca, non dal tuo ISP. Se hai eseguito l'accesso a Google, sta nel tuo Account Google, e queste sono le impostazioni che la controllano (in inglese).

I tre punti da cui trapela il nome del sito

La maggior parte delle guide si ferma a "HTTPS nasconde il contenuto ma non il dominio". La parte utile è capire da dove trapela il dominio, perché ogni fuga ha una soluzione diversa.

1. Le richieste DNS. Prima di caricare un sito, il tuo dispositivo chiede a un server DNS di trasformare il nome in un indirizzo. Per impostazione predefinita quella domanda va al server DNS del tuo ISP, non criptata. È un elenco in tempo reale di ogni dominio che visiti.
2. Il campo SNI nell'handshake TLS. Il primo messaggio di una connessione HTTPS indica il sito che vuoi, in un campo chiamato Server Name Indication, e tradizionalmente viene inviato in chiaro. Uno standard più recente, Encrypted Client Hello (ECH), lo nasconde. Le versioni attuali di Chrome e Firefox supportano ECH, e Cloudflare lo attiva per impostazione predefinita (in inglese) per i siti sul suo piano gratuito, ma molti siti ancora non lo offrono.
3. L'indirizzo IP di destinazione. I pacchetti devono andare da qualche parte. Su un grande hosting condiviso lo stesso IP può coprire migliaia di siti, mentre su un server dedicato punta dritto a uno solo.

Cosa vede il tuo ISP a ogni livello di protezione

Il tuo ISP può vedere la cronologia in incognito, o dopo che l'hai cancellata?

Sì in entrambi i casi, e per lo stesso motivo. La modalità in incognito e il pulsante per cancellare la cronologia agiscono solo sulla copia che il browser conserva sul tuo dispositivo. Il tuo ISP non legge mai quella copia. Vede il tuo traffico mentre attraversa la sua rete, nel momento in cui avviene.

• Navigazione in incognito o privata: le tue connessioni escono dal dispositivo esattamente come farebbero da una finestra normale, quindi le richieste DNS, i nomi dei siti e gli indirizzi IP restano tutti visibili. Google lo dice nella sua pagina sulla modalità Incognito: la modalità Incognito limita ciò che viene salvato sul dispositivo. La nostra guida su cosa nasconde davvero la modalità in incognito (in inglese) spiega il resto.
• Cronologia cancellata: cancellare cronologia, cookie o cache rimuove i dati locali. Quello che i sistemi del tuo ISP hanno registrato è stato creato dalla sua parte e resta lì per tutto il tempo in cui conserva quei dati. Niente sul tuo dispositivo può raggiungerlo.

L'unica cosa che cambia ciò che vede il tuo ISP è cambiare ciò che esce dal tuo dispositivo, che è proprio quello che fanno i livelli della tabella qui sopra.

Il tuo operatore mobile può vedere la cronologia quando usi i dati?

Sì. Con i dati mobili il tuo operatore è il tuo ISP, e vede lo stesso quadro a livello di dominio di un provider di casa: i siti e i servizi a cui si collega il tuo telefono, quando e quanti dati sono passati. Sul Wi-Fi il quadro passa all'ISP di casa dietro quel Wi-Fi, più chi gestisce il router.

Alcuni operatori dicono chiaramente che usano questi dati. Un esempio dagli Stati Uniti: il programma Custom Experience di Verizon usa "informazioni sui siti web che visiti e sulle app che usi sul tuo dispositivo mobile" (in inglese). Verizon dice di usare solo la prima parte di ogni indirizzo web e di escludere le categorie sensibili, e che fai parte del programma a meno che tu non scelga di uscirne (a ottobre 2026). Negli Stati Uniti puoi uscirne dalle preferenze sulla privacy in My Verizon. Gli operatori conservano anche qualcosa di più sensibile della navigazione: ad aprile 2024 la FCC, l'autorità statunitense per le comunicazioni, ha multato i maggiori operatori mobili americani per circa 196 milioni di dollari in totale per aver venduto l'accesso ai dati di posizione in tempo reale dei clienti, come spieghiamo più sotto.

Per ridurre ciò che vede il tuo operatore, su Android attiva il DNS privato da Impostazioni, Rete e internet, DNS privato: Automatico usa il DNS criptato dove la rete lo supporta, oppure puoi indicare il nome host di un provider. Su iPhone il DNS criptato richiede un profilo di configurazione o un'app. Una VPN sul telefono nasconde del tutto i nomi dei siti all'operatore.

Prova il tuo browser in un minuto

Due di quelle fughe puoi controllarle subito.

• Il tuo DNS è criptato? Visita one.one.one.one/help. Se usi il resolver di Cloudflare, ti dice se sei collegato tramite DNS over HTTPS o DNS over TLS. Molti altri resolver hanno una pagina di verifica simile.
• Il tuo SNI è criptato? Visita tls-ech.dev, una pagina di prova che supporta ECH. Se dice "You are not using ECH", il tuo browser ha appena comunicato in chiaro il nome del sito al tuo ISP. Se dice che stai usando ECH, il nome era nascosto. Se dice ancora che non lo stai usando, attiva prima il DNS criptato. Il browser recupera la chiave ECH di ogni sito tramite una richiesta DNS, e Mozilla spiega (in inglese) che ECH si basa sul DNS over HTTPS per ottenerla. Un sito che non ha attivato ECH resta visibile qualunque cosa tu faccia.

Gli ISP guardano davvero la tua cronologia?

Non nel senso di una persona che scorre la tua serata. La raccolta è automatica, e i dati vengono usati in tre modi. Gli esempi qui sotto vengono dagli Stati Uniti.

1. Pubblicità e marketing. A ottobre 2021 la FTC, l'autorità statunitense per la tutela dei consumatori, ha pubblicato un rapporto su sei grandi ISP che coprivano circa il 98 per cento del mercato mobile americano. Ha scoperto che avevano "accesso a tutto il loro traffico internet e ai dati di posizione in tempo reale" (in inglese), combinavano dati personali, sull'uso delle app e sulla navigazione per mirare gli annunci, e inserivano alcuni abbonati in categorie sensibili come etnia e orientamento sessuale, "senza offrire ai consumatori scelte significative".
2. Gestione della rete. I provider usano i dati sul traffico per gestire congestione e sicurezza sulle proprie reti.
3. Richieste legali. Negli Stati Uniti basta un subpoena (un ordine di esibizione) per obbligare un provider a consegnare nome e indirizzo di un abbonato, i "registri degli orari e della durata delle sessioni" (in inglese) e l'indirizzo IP che gli ha assegnato. I dati più dettagliati richiedono un ordine del tribunale o un mandato, e la legge non obbliga il provider a dirtelo.

Quindi la risposta onesta a "al mio ISP interessa cosa cerco?" è che lì nessuno lo sta leggendo, ma i dati esistono, hanno un valore commerciale e possono essere consegnati.

Perché il tuo ISP conserva quei dati

Perché valgono, e la legge americana lo permette. Nel 2016 la FCC aveva adottato regole che avrebbero obbligato gli ISP a ottenere un consenso esplicito prima di usare o vendere dati sensibili come la cronologia di navigazione. Il Congresso degli Stati Uniti le ha abrogate prima che entrassero in vigore: la S.J.Res. 34 (in inglese) è stata firmata il 3 aprile 2017.

La posizione mostra fin dove si arriva. Ad aprile 2024 la FCC ha multato i maggiori operatori mobili statunitensi per circa 196 milioni di dollari in totale per aver venduto l'accesso ai dati di posizione in tempo reale dei clienti: circa 57 milioni ad AT&T, 47 milioni a Verizon, 80 milioni a T-Mobile e 12 milioni a Sprint, come ha spiegato nel dettaglio Krebs on Security (in inglese). A giugno 2026 la Corte Suprema degli Stati Uniti ha dato ragione alla FCC (in inglese) contro AT&T e Verizon.

Per quanto tempo i provider internet conservano la tua cronologia?

Negli Stati Uniti non c'è una legge generale che obblighi gli ISP a conservare un registro dei siti che visiti, né una che li obblighi a cancellarlo, quindi dipende dall'azienda ed è indicato, in modo vago, in ciascuna informativa sulla privacy. Altri paesi lo impongono. Nel Regno Unito, l'Investigatory Powers Act 2016 permette al governo di chiedere ai provider di conservare gli "internet connection records" per un massimo di 12 mesi (in inglese).

Puoi vedere o richiedere la tua cronologia al tuo ISP?

Nel tuo account non c'è una pagina che elenca i siti che hai visitato, e la bolletta non li mostra. Però puoi chiedere, e in alcuni posti il provider deve rispondere.

• Nell'UE (Italia compresa) e nel Regno Unito, il GDPR ti dà il diritto di ottenere la conferma che sia o meno in corso un trattamento di dati personali che ti riguardano e di ricevere "una copia dei dati personali oggetto di trattamento" (articolo 15). Invia una richiesta di accesso al contatto privacy o al responsabile della protezione dei dati del tuo provider.
• In California, il CCPA ti dà il diritto di conoscere gli "specifici dati personali raccolti" (in inglese) dalle aziende sopra certe soglie di dimensione, che comprendono i grandi ISP. La maggior parte dei provider ha un modulo per le richieste sulla privacy.
• Nel resto degli Stati Uniti, controlla l'informativa sulla privacy del tuo provider e la legge sulla privacy del tuo stato per un diritto di accesso simile.

Cosa ricevi dipende da cosa conserva davvero il provider. Potresti ottenere dati dell'account, di fatturazione e di utilizzo invece di un elenco di siti, e anche questa è una risposta utile.

Come impedire al tuo provider internet di vedere la tua cronologia

Seguili in ordine. Ognuno chiude una fuga diversa.

1. Resta su HTTPS. Quasi tutti i siti principali lo usano, e i browser attuali passano a HTTPS in automatico quando possono. Nasconde già pagine e contenuti al tuo ISP. Non nasconde i domini.
2. Attiva il DNS criptato. In Chrome trovi Usa DNS sicuro in Privacy e sicurezza, nella sezione Sicurezza; in Edge e Firefox cerca l'opzione DNS sicuro o DNS over HTTPS nelle impostazioni di privacy o sicurezza, e scegli un resolver di cui ti fidi. Su Android usa l'impostazione DNS privato. Su iPhone il DNS criptato richiede un profilo di configurazione o un'app. Così sparisce l'elenco in chiaro delle richieste che il tuo ISP riceveva. Poi fai il test SNI qui sopra per vedere se ECH entra in funzione.
3. Usa una VPN quando vuoi nascondere anche i nomi dei siti. Una VPN avvolge tutto in un unico tunnel criptato fino al server della VPN, quindi il tuo ISP vede solo che sei collegato a una VPN e quanti dati passano. Il rovescio della medaglia: ora è l'azienda della VPN a essere nella posizione di vedere dove vai. Questo rende il gestore l'unica vera questione, ed è il motivo per cui una VPN gratuita poco affidabile può essere peggio di niente (ecco come distinguerle (in inglese)).
4. Usa Tor Browser per il livello più alto. Tor fa passare il traffico attraverso diversi relay, così nessuno di loro sa sia chi sei sia dove stai andando. È più lento, e alcuni siti lo bloccano, ma nasconde le tue destinazioni al tuo ISP senza chiederti di fidarti di un solo gestore.

Nessuno di questi metodi ti nasconde al sito stesso. Una volta arrivato, il sito vede la tua visita, e i suoi tracker vedono ciò per cui sono costruiti.

Una VPN costruita per non avere niente da consegnare

Se sposti la tua fiducia dal tuo ISP a una VPN, spostala su una progettata per non conservare ciò che conservava il tuo ISP. Secria VPN non conserva log delle attività: non registriamo la navigazione, le query DNS né il contenuto del traffico. Mentre una sessione è attiva conserviamo l'account e il dispositivo a cui appartiene, il server in uso e l'ora in cui è iniziata, e quel dato sparisce quando la sessione finisce. Il DNS viene risolto sui nostri server invece di essere affidato a un resolver di terze parti, i server tengono il loro stato in RAM, e ogni tunnel WireGuard porta una chiave post-quantistica ML-KEM-1024, il che conta perché il tuo ISP è esattamente il tipo di soggetto che può conservare oggi il traffico criptato e provare a decifrarlo in futuro. Costa $7.99 al mese da sola, oppure è inclusa in Pro.

Domande frequenti

Il mio ISP può vedere la mia cronologia se uso una VPN? No. Con la VPN attiva, il tuo ISP vede che sei collegato a un server VPN, quando e quanti dati passano, ma non i siti che visiti. Se la VPN ha perdite di DNS, alcuni nomi di siti possono comunque sfuggire, quindi fai un test per le perdite.

Tor nasconde la mia cronologia al mio ISP? Sì. Il tuo ISP vede che sei collegato alla rete Tor, quando e quanti dati passano, ma non i siti che raggiungi attraverso di essa. È coperto solo il traffico dentro Tor Browser; le altre app sullo stesso dispositivo continuano a collegarsi normalmente.

Il mio ISP può vedere cosa scarico? Con un download su HTTPS vede il sito e più o meno quanto è grande il file, non il nome del file né il suo contenuto. Le app peer-to-peer come BitTorrent sono diverse: ti collegano a molti altri computer che vedono tutti il tuo indirizzo IP, e il loro schema di traffico è facile da riconoscere.

Anche il proprietario del Wi-Fi può vedere la mia cronologia? Può vedere i siti e le app a cui il tuo dispositivo si collega tramite il suo router, allo stesso livello di dominio del tuo ISP, ma non le pagine o le ricerche su HTTPS. Se ne conserva un registro dipende dal router. La nostra guida su cosa può vedere il proprietario del Wi-Fi li passa in rassegna router per router.