Un sito non si apre, ma internet funziona. Cosa è successo?

Tutto funziona. La posta arriva, i video partono, il telefono di tuo figlio scarica allegramente. Solo quel sito lì non si apre. E siccome tutto il resto va, l’unica spiegazione che viene in mente è che il sito sia rotto.

Può essere. Ma ci sono almeno quattro cause diverse che danno lo stesso sintomo, e si distinguono in cinque minuti senza installare niente.

La catena, e dove si rompe

Quando scrivi un indirizzo, il tuo dispositivo non sa dove andare. Deve chiederlo, e la domanda passa per una catena di quattro anelli.

Il primo sta dentro il tuo computer o telefono: un pezzo di sistema operativo che non sa risolvere i nomi da solo e li chiede a qualcun altro, tenendosi in memoria le risposte recenti. Il secondo, quasi sempre, è il router di casa, che inoltra la domanda. Il terzo è il resolver del tuo operatore, quello che fa il lavoro vero e tiene una memoria molto più grande. Il quarto è il server del titolare del dominio, che è l’unico a sapere la risposta esatta.

Ogni risposta ha una scadenza, e qui c’è una sottigliezza che spiega metà dei casi misteriosi: anche le risposte negative vengono conservate. Se per qualche minuto un dominio non ha risposto, quel “non esiste” resta in memoria fino a scadenza, e nel frattempo il sito è di nuovo in piedi ma tu continui a non vederlo. È la ragione per cui a volte una cosa si risolve da sola dopo un’ora, senza che tu abbia fatto niente.

Ecco dove si rompe, e che aspetto ha:

Dove	Cosa vedi tu
Memoria del tuo dispositivo	non si apre su un dispositivo, si apre su un altro nella stessa casa
Router di casa	non si apre da casa, si apre con la rete mobile
Resolver dell’operatore	non si apre con quell’operatore, tutto il resto funziona
Server del dominio	non si apre per nessuno al mondo
Instradamento verso l’indirizzo	il nome si traduce, ma la pagina resta a caricare e poi scade

L’ultima riga merita attenzione, perché è quella che manda fuori strada. Se il blocco è sull’indirizzo e non sul nome, il nome continua a tradursi benissimo: la connessione semplicemente non parte. Cambiare qualunque impostazione del DNS, lì, non serve a niente.

I due controlli che non costano niente

Primo: prova con la rete mobile. Spegni il Wi-Fi sul telefono e riprova. Se il sito si apre, hai già escluso che sia rotto, e sai che il problema sta tra casa tua e il tuo operatore di rete fissa. Se non si apre nemmeno lì, e hai due operatori diversi, è un’informazione forte.

Secondo: leggi che errore è. Qui c’è un discriminante che vale più di mille tentativi. Se il browser ti mostra un avviso sul certificato di sicurezza, il DNS ha funzionato perfettamente: il browser ha trovato l’indirizzo, ci si è collegato e ha parlato con il server. Il problema è altrove.

I codici che vedi hanno significati precisi, e la documentazione di Mozilla è la fonte più chiara che ho trovato:

• il certificato è scaduto: è un problema del sito, non tuo;
• il certificato non è ancora valido, con una data nel futuro: quasi sempre è il tuo orologio di sistema a essere sbagliato, e si risolve correggendo data e ora;
• l’emittente è sconosciuto: può mancare un pezzo di catena sul server, oppure c’è qualcosa in mezzo. E qui Mozilla fa una cosa che apprezzo: nomina i colpevoli più frequenti, cioè gli antivirus che ispezionano il traffico cifrato, citando Avast, Bitdefender, ESET e Kaspersky, e segnala che lo stesso avviso può comparire su Windows quando sono attive le impostazioni di controllo familiare.

Se invece l’errore dice che il nome non si risolve, sei nella parte alta della catena. Se la pagina resta a caricare e poi scade, sei nella parte bassa.

E se tutto il resto va a rilento e non solo quel sito, allora non è questo il problema: in trenta secondi te ne accerti con Com’è la mia connessione?, e se i numeri sono normali hai escluso la linea e puoi tornare qui.

La parte italiana: i blocchi

C’è una causa che in Italia è diventata frequente e che non viene in mente quasi a nessuno, perché non somiglia a un guasto: il sito è bloccato per ordine dell’autorità.

La base è la legge 93 del 14 luglio 2023, pubblicata il 24 luglio ed entrata in vigore l’8 agosto, che ha dato ad AGCOM il potere di ordinare il blocco dei contenuti diffusi illecitamente, con una procedura rapidissima quando si tratta di dirette. La piattaforma che la esegue si chiama Piracy Shield e gestisce le segnalazioni in modo automatico dal primo febbraio 2024.

Due dettagli tecnici spiegano quasi tutti i sintomi.

Il primo: i modi di bloccare sono due e sono distinti nel testo del regolamento. Si disabilita la risoluzione del nome, oppure si blocca l’instradamento del traffico verso gli indirizzi, oppure tutte e due. Sono le stesse due righe della tabella qui sopra, scritte in una norma.

Il secondo: le richieste possono essere reindirizzate a una pagina informativa che spiega la situazione e indica la possibilità di presentare reclamo. Quindi il sintomo non è sempre un errore: a volte è una pagina che compare al posto del sito.

I tempi sono stretti. Per i contenuti in diretta il blocco va eseguito entro trenta minuti dalla comunicazione. Nel 2024 l’ambito è stato esteso, tra i destinatari degli ordini sono stati inseriti anche i fornitori di VPN e di DNS pubblici ovunque residenti, e la condizione per bloccare una risorsa è passata da “usata univocamente” a “usata prevalentemente” per attività illecite.

Lo strumento ufficiale, che quasi nessuno conosce

Questa è la cosa più utile dell’articolo.

Non esiste un elenco pubblico scaricabile dei nomi bloccati, e la delibera spiega perché: la lista completa degli indirizzi non viene pubblicata perché potrebbe contenere dati personali. Esiste però uno strumento ufficiale di AGCOM dove si interroga un nome o un indirizzo per volta e si vede se risulta bloccato: sta su blocchips.agcom.it, è linkato dalla pagina istituzionale, chiede solo di superare un controllo anti robot e non chiede di registrarsi.

Dieci secondi lì dentro distinguono “il sito è giù” da “il sito è bloccato in Italia”, che sono due storie completamente diverse e portano a due reazioni diverse.

Se risulta bloccato e tu pensi che sia un errore, il reclamo esiste: va presentato entro dieci giorni, lo possono presentare i destinatari dell’ordine e, per le dirette, anche chi ha un interesse qualificato, cioè i prestatori di servizi, chi ha caricato il contenuto e chi gestisce il sito o la pagina. Un punto va detto chiaramente perché cambia le aspettative: il reclamo non sospende il blocco. Resta poi la strada del giudice amministrativo, con i termini ordinari del processo amministrativo.

Che la materia sia tuttora in discussione lo dicono i fatti, senza bisogno di commenti. Nel giugno 2025 la Commissione europea ha chiesto all’Italia chiarimenti su dieci punti del progetto di modifica del regolamento, tra cui il rapporto con il regolamento europeo sui servizi digitali e con la Carta dei diritti fondamentali, e le ragioni del termine di sei mesi prima dello sblocco degli indirizzi. A fine dicembre 2025 AGCOM ha sanzionato Cloudflare per oltre quattordici milioni di euro per non avere ottemperato a un ordine di blocco, e Cloudflare ha fatto appello sostenendo tra l’altro che la sanzione è calcolata sul fatturato mondiale. Risulta poi una sentenza del TAR del Lazio del luglio 2026 che respinge i ricorsi di Cloudflare, ma l’ho trovata riportata da uno studio legale che assisteva la controparte e non ho letto il testo, quindi la riporto come notizia non verificata.

Cambiare DNS: cosa fa e cosa non fa

A questo punto molti pensano di cambiare il DNS, e vale la pena capire cosa succede davvero, perché le aspettative in giro sono sbagliate in tutte e due le direzioni.

Cambiare resolver vuol dire chiedere la traduzione dei nomi a qualcun altro invece che al proprio operatore. Si fa per motivi legittimi e diffusi: a volte è più veloce, spesso è più affidabile, e alcuni resolver filtrano malware e siti di phishing. Quad9, per esempio, blocca domini malevoli su segnalazione dei propri partner, e Cloudflare offre varianti che filtrano malware oppure malware e contenuti per adulti.

Quello che cambia davvero è chi vede le tue richieste, e qui conviene leggere le pagine ufficiali invece dei riassunti. Cloudflare dichiara di troncare l’indirizzo di provenienza e di cancellare i registri entro venticinque ore, con un campionamento casuale non superiore allo 0,05% del traffico per diagnosi. Google tiene registri temporanei che contengono l’indirizzo del dispositivo e li cancella entro ventiquattro o quarantotto ore, più registri permanenti campionati da cui l’indirizzo è rimosso. Quad9, che è una fondazione senza scopo di lucro con sede a Zurigo, dichiara di eliminare l’indirizzo del client al perimetro della rete e di non conservarlo su disco.

Nessuna di queste tre opzioni è “nessuno vede niente”. Cambiare resolver non elimina l’osservatore: lo sostituisce con uno diverso, che dichiara di comportarsi in un certo modo.

E adesso i due limiti, che sono fatti tecnici e non opinioni.

Il primo: cambiare resolver non ha alcun effetto su un blocco che agisce sull’instradamento verso l’indirizzo, perché quel blocco scatta dopo la traduzione del nome. La norma italiana prevede esplicitamente entrambe le misure.

Il secondo: dal 2024 anche i fornitori di DNS pubblicamente disponibili, ovunque residenti e localizzati, sono tra i destinatari degli ordini. Il contenzioso con Cloudflare nasce esattamente da qui. Quindi l’idea che spostarsi su un resolver estero metta al riparo da un ordine italiano non regge come regola generale.

Sul piano giuridico, per il lettore comune, la formulazione che posso difendere dopo aver letto la documentazione parlamentare è questa, e mi fermo lì: la legge non prevede una sanzione per il cambio di DNS in sé; prevede sanzioni per l’acquisto e la fruizione di servizi illeciti, e quelle valgono a prescindere dal mezzo tecnico con cui ci si arriva. Non sono un avvocato e questo non è un parere legale.

Cosa fare, nell’ordine

1. Prova da un altro dispositivo sulla stessa rete. Se lì funziona, è la memoria del primo dispositivo: spesso basta riavviarlo.
2. Prova con la rete mobile. Se funziona, il problema è tra casa tua e il tuo operatore.
3. Guarda l'errore. Avviso sul certificato significa che il DNS ha funzionato. Nome che non si risolve significa il contrario. Pagina che resta a caricare significa che il nome si è tradotto ma la connessione non parte.
4. Controlla l'orologio, se l'avviso parla di un certificato non ancora valido. Succede sui computer rimasti spenti a lungo e sui dispositivi con la batteria tampone esaurita.
5. Interroga lo strumento di AGCOM su blocchips.agcom.it. Dieci secondi, e sai se quel nome risulta bloccato in Italia.
6. Riavvia il router e aspetta. Se la causa era una risposta vecchia rimasta in memoria, il tempo la risolve da solo.
7. Se sei su una rete pubblica, in treno o in albergo, il motivo è quasi sempre che non hai ancora fatto l'accesso al portale. Prova ad aprire un sito qualunque senza cifratura e vedi se compare la pagina di autenticazione.

Per capire cosa c’è sotto

Se invece il problema non è un sito solo ma tutta la connessione, parti da Com’è la mia connessione? per avere un numero, e poi dai controlli in ordine di Il Wi-Fi va piano: sei controlli da fare prima di chiamare l’assistenza. E se i siti si aprono ma le videochiamate si inceppano, la causa è un’altra ancora: l’ho spiegata in La videochiamata si blocca, ma il test dice che la linea è veloce.