Il tuo provider internet conserva i metadati del tuo traffico per anni. La SIM che hai in tasca è intestata al tuo codice fiscale, registrata tramite SPID o carta d’identità elettronica — nessuna eccezione, nessuna scappatoia. Piracy Shield blocca DNS a raffica e i danni collaterali non interessano a nessuno: Cloudflare si è presa una multa da 14,2 milioni di euro per aver rifiutato di fare il censore. Il wallet europeo eIDAS 2.0 punta a legare ogni tua attività online a un’identità verificata. Se pensi che navigare in modo anonimo in Italia nel 2026 sia una questione da paranoici o da criminali, fermati un secondo e guarda il quadro completo: lo stato italiano — come praticamente tutti gli stati — sta costruendo un’infrastruttura di sorveglianza sempre più capillare. Non per proteggerti. Per controllarti.
Questa non è una guida per chi vuole scaricare film gratis. È una guida per chi ritiene — come noi — che la privacy sia un diritto fondamentale, non una funzionalità premium da comprare su abbonamento mensile. VPN, Tor e I2P sono tre strumenti diversi, con logiche diverse e limiti che quasi nessuno ti spiega onestamente, perché il marketing delle VPN commerciali ha inquinato il dibattito al punto che la maggior parte delle persone non sa davvero cosa stia usando né cosa la protegga da cosa. E intanto il quadro normativo italiano stringe, tra Piracy Shield che trasforma i DNS resolver in censori e una data retention che farebbe impallidire la NSA di dieci anni fa. Facciamo chiarezza. Senza marketing, senza ipocrisie, con i dati alla mano.
VPN: tra audit indipendenti e promesse vuote
Il mercato delle VPN è un circo. Ogni provider giura di non conservare log, ogni sito di recensioni ti piazza il suo link affiliato, e tu non hai nessun modo di verificare cosa succede davvero sui server dall’altra parte del mondo. Il punto è che una VPN è, per definizione, un punto centralizzato di fiducia: stai spostando la tua fiducia dal tuo ISP — che sai per certo che ti spia, perché la legge italiana lo obbliga — a un’azienda privata che ti promette di non farlo. Promessa contro promessa. L’unico strumento che abbiamo per ridurre questa asimmetria informativa sono gli audit indipendenti, e nel 2026 il panorama è finalmente un po’ più chiaro, anche se tutt’altro che rassicurante.
I grandi nomi hanno tutti pubblicato i risultati dei loro audit quest’anno. NordVPN è al sesto audit no-log consecutivo, l’ultimo condotto da Deloitte nel febbraio 2026. Proton VPN si è fatto verificare da Cure53, Surfshark pure, PIA da KPMG, Windscribe da NCC Group. Suona bene sulla carta, ma bisogna capire cosa significano davvero questi audit — e qui casca l’asino. Le grandi società di revisione (PwC, Deloitte, KPMG) fanno quello che chiamano “attestation”: verificano le policy, i processi, la conservazione dei dati. Non smontano il codice. Non penetrano i sistemi. È come far controllare la serratura di casa da un notaio: ti certifica che la serratura c’è, non che funziona. Gli audit tecnici profondi — quelli di Cure53, NCC Group, Trail of Bits — sono un’altra storia: analisi del codice sorgente, penetration test, verifica dell’architettura server. E qui il campo si restringe parecchio.
Se mi chiedi un nome, la risposta è Mullvad. Non perché sia perfetta — nessuna VPN lo è, e chi ti dice il contrario sta vendendo qualcosa — ma perché è l’unica che ha costruito l’intero modello di business intorno al principio di non avere dati da consegnare a nessuno. Account numerici anonimi, nessuna email richiesta per la registrazione, pagamento in contanti (sì, puoi spedire banconote in busta, nel 2026 è quasi un atto di resistenza), server che girano esclusivamente su RAM — spenti e riavviati, i dati spariscono nel nulla. L’audit della loro nuova implementazione WireGuard chiamata GotaTun è stato completato tra gennaio e febbraio 2026 da SEC Consult: nessuna vulnerabilità critica, due finding di bassa gravità corretti prima della pubblicazione. X41 D-Sec ha auditato separatamente il sistema di pagamento e gestione account, trovando cinque problemi (due bassi, tre medi) ma nessuno in grado di compromettere i dati degli utenti. Il costo è fisso: 5 euro al mese, punto. Niente piani triennali in sconto, niente dark pattern, niente affiliazioni aggressive. IVPN è l’altra opzione seria, con audit di Trail of Bits e un approccio simile — ma meno nota e con una rete di server più piccola.
Il problema vero, però, è un altro ancora. Piracy Shield ha esteso l’obbligo di blocco ai fornitori VPN e ai resolver DNS pubblici che operano in Italia. Significa che se usi una VPN con server italiani, quel server è soggetto agli ordini di blocco AGCOM — esattamente come il tuo ISP. Cloudflare ha minacciato di ritirare tutti i server dal territorio italiano piuttosto che piegarsi, e la battaglia legale è ancora in corso. Per aggirare la censura DNS basta poco — cambiare resolver, usare DNS over HTTPS — ma il precedente è gravissimo: un’autorità amministrativa che ordina blocchi entro 30 minuti, senza contraddittorio, con effetti collaterali documentati su centinaia di siti legittimi. E una VPN con infrastruttura in Italia non ti protegge da niente di tutto questo. Un’ultima cosa che nessuno ti dice: un audit è una fotografia, non un film. L’audit di febbraio certifica lo stato di febbraio. L’aggiornamento di marzo potrebbe introdurre un SDK di tracciamento, un cambio di proprietà potrebbe stravolgere le policy. Mullvad oggi è affidabile. Domani, verifica di nuovo. La fiducia nella sicurezza informatica è sempre condizionale.
Tor, nodi di uscita e le regole che non puoi ignorare
Tor funziona in modo radicalmente diverso da una VPN, e questa differenza non è solo tecnica — è politica. Una VPN è un servizio centralizzato gestito da un’azienda privata con sede legale, azionisti e un CEO che può ricevere un’ordinanza del tribunale. Tor è una rete decentralizzata gestita da volontari sparsi per il pianeta. Nessuno la possiede, nessuno può spegnerla con un ordine giudiziario, nessun governo può multarla. Il tuo traffico rimbalza attraverso tre nodi — guard, relay, exit — e ognuno conosce solo il pezzo di informazione strettamente necessario per farlo funzionare. Il guard node sa chi sei ma non dove vai. L’exit node sa dove vai ma non chi sei. In teoria, nessuno ha il quadro completo. In pratica, le cose si complicano — e parecchio.
I nodi di uscita sono il punto debole strutturale di Tor, e chi usa questa rete deve saperlo prima di aprire il browser. Un exit node gestito da un attore malevolo può osservare tutto il traffico non cifrato che lo attraversa, e “non cifrato” nel 2026 significa ancora più di quanto immagini. Uno studio del 2020 — ancora citato dalla comunità di sicurezza perché il problema non è scomparso — stimava che fino al 23% della capacità di uscita fosse controllato da una singola entità che praticava SSL stripping, degradando le connessioni HTTPS a HTTP per intercettarle. Tor Browser oggi include la modalità HTTPS-Only per default, il che mitiga enormemente il rischio, ma non lo elimina del tutto: se un sito non supporta HTTPS (e nel 2026 esistono ancora), l’exit node vede tutto in chiaro. Non è solo una questione di intercettazione passiva: nodi compromessi possono iniettare malware nelle pagine, redirigere verso siti di phishing, manipolare le risoluzioni DNS. Il Tor Project lavora costantemente per individuare e rimuovere i relay malevoli, ma è una corsa senza fine.
Le regole di OPSEC per Tor sono poche, non negoziabili, e la maggior parte degli utenti le ignora con entusiasmo. Usa solo Tor Browser, mai un browser qualsiasi con un proxy SOCKS5 configurato a mano — le impronte digitali del browser sono un vettore di deanonimizzazione devastante. Non accedere mai ad account personali (Gmail, social, home banking) attraverso Tor, perché nel momento in cui ti autentichi hai annullato l’anonimato con le tue stesse mani, e non c’è nodo relay che possa salvarti dalla tua ingenuità. Non scaricare file e aprirli fuori dall’ambiente Tor: un PDF o un documento Office possono contattare server esterni e rivelare il tuo IP reale. Non mescolare sessioni anonime e sessioni identificate sullo stesso circuito. Se hai bisogno di protezione a livello di sistema operativo — e dovresti averlo, se fai cose serie — Tails e Whonix esistono esattamente per questo: forzano tutto il traffico attraverso Tor eliminando intere categorie di errori umani. L’8 maggio 2026, tra l’altro, è uscito Tor Browser 15.0.13 come rilascio d’emergenza per una vulnerabilità critica nel kernel Linux — a dimostrazione che anche lo strumento più sicuro richiede aggiornamenti costanti. In parallelo, il progetto Arti (la riscrittura di Tor in Rust, versione 2.3.0 rilasciata il 7 maggio) sta costruendo le fondamenta di un Tor più veloce e più sicuro per il futuro.
E la questione Tor più VPN? Due configurazioni possibili, ed entrambe con compromessi che quasi nessuna guida spiega onestamente. VPN prima di Tor (tu → VPN → Tor → internet): il tuo ISP non vede che usi Tor, il che in Italia può avere senso vista la data retention selvaggia dei provider. Ma stai aggiungendo un punto di fiducia centralizzato senza guadagnare anonimato verso la destinazione. Tor prima della VPN (tu → Tor → VPN → internet): più complesso, utile solo in scenari specifici dove devi accedere a un servizio che blocca gli exit node di Tor. Nella maggior parte dei casi, Tor da solo — usato correttamente, con disciplina — è sufficiente, e aggiungere una VPN introduce complessità e potenziali vettori di attacco senza benefici reali. Il Tor Project stesso sconsiglia la combinazione se non sai esattamente cosa stai facendo e perché lo stai facendo. Detto senza mezzi termini: se devi chiedere se ti serve VPN più Tor, probabilmente non ti serve.
I2P dopo il disastro Kimwolf: la rete invisibile resiste
I2P — Invisible Internet Project — è il fratello meno noto di Tor, e la differenza di approccio è fondamentale per capire quando usare l’uno o l’altro. Tor è progettato per accedere all’internet “normale” in modo anonimo: entri dalla rete Tor, navighi un sito web, esci da un exit node. I2P è una rete chiusa, un darknet nel senso più letterale e meno sensazionalistico del termine: i servizi vivono dentro la rete stessa (si chiamano “eepsite”), e il modello è pensato per la comunicazione peer-to-peer anonima, non per la navigazione web tradizionale. Il routing è diverso — garlic routing invece di onion routing — il che significa che i messaggi vengono impacchettati insieme e instradati attraverso tunnel unidirezionali, rendendo l’analisi del traffico significativamente più complessa rispetto a Tor. Per un utente che vuole semplicemente aprire un sito senza essere tracciato, I2P non è lo strumento giusto. Per chi vuole comunicare, condividere file o far girare servizi in modo anonimo dentro una rete decentralizzata — senza nessun punto di uscita verso il web “normale” — è potenzialmente superiore.
Il banco di prova è arrivato il 3 febbraio 2026, ed è stato brutale. La botnet Kimwolf — un’infrastruttura criminale che aveva già infettato milioni di dispositivi IoT, da router domestici a cornici digitali a TV box — ha tentato di usare I2P per nascondere i propri server di comando e controllo, cercando di sfuggire ai tentativi di takedown. Il risultato è stato un attacco Sybil da manuale: 700.000 nodi fasulli si sono uniti alla rete in una volta sola, sommergendola. Gli operatori della botnet hanno poi ammesso sul loro canale Discord di aver “accidentalmente” distrutto I2P — stavano cercando di usarla, non di abbatterla, ma l’effetto è stato lo stesso. La rete è andata in ginocchio per giorni, con utenti che riportavano impossibilità di connettersi e tunnel che crollavano a catena. Krebs on Security ha documentato l’intero incidente, che resta uno degli attacchi Sybil più devastanti mai registrati su una rete di anonimizzazione.
La risposta della comunità I2P è stata istruttiva — e qui sta il punto politico che ci interessa. Nessuna azienda ha preso una decisione dall’alto. Nessun CEO ha convocato un crisis meeting. Gli sviluppatori della rete, distribuiti e volontari, hanno rilasciato l’aggiornamento 2.11.0 il 9 febbraio con fix di stabilità mirati, e poi la versione 2.12.0 ad aprile con miglioramenti ulteriori. Il progetto sta testando la crittografia post-quantistica e supportando nuove implementazioni del router in Rust (emissary) e Go (go-i2p), che diversificano la codebase e rendono la rete più resiliente a futuri attacchi. È l’autogestione tecnologica in azione, il nocciolo della questione: una comunità che risponde a un’aggressione devastante senza chiedere permesso a nessuno, senza venture capital, senza comunicati stampa patinati. I casi d’uso specifici di I2P nel 2026 ruotano attorno a tre scenari: messaggistica anonima con I2P-Bote (completamente decentralizzata e cifrata), condivisione file tramite I2PSnark (il client torrent interno che ora supporta anche gli UDP tracker), e hosting di eepsite raggiungibili solo dall’interno della rete — senza exit node, senza i rischi che abbiamo descritto per Tor. Il limite principale resta la dimensione: I2P ha molti meno nodi di Tor, il che significa meno anonimato statistico e velocità inferiori. Ma per chi cerca un’infrastruttura — non un servizio — I2P offre qualcosa che né le VPN né Tor possono dare.
La legge italiana sull’anonimato: un diritto che nessuno ti regala
Mettiamo subito in chiaro una cosa: usare una VPN, Tor o I2P in Italia è perfettamente legale. Non esiste alcuna norma nel Codice penale, nel Codice delle comunicazioni elettroniche (D.lgs. 259/2003) né in leggi speciali che proibisca l’uso di strumenti di anonimizzazione. Il GDPR europeo riconosce esplicitamente il diritto alla protezione dei dati personali e alla riservatezza delle comunicazioni. La Polizia Postale non ha nulla da obiettare se installi Tor Browser — a patto, ovviamente, che non lo usi per commettere reati. Lo strumento è legale; l’uso illecito dello strumento no. Come un coltello da cucina, per fare il paragone più banale possibile. Ma la legalità formale è solo metà della storia, e nemmeno la metà più interessante.
Il problema è che la legalità formale e la libertà effettiva sono due cose molto diverse, e in Italia la forbice si allarga ogni anno che passa. Partiamo dalla SIM: ogni scheda telefonica deve essere intestata a un’identità verificata tramite SPID, Carta d’Identità Elettronica o documento fisico. Nel 2026 non puoi comprare una SIM anonima in Italia — e questo significa che la tua connessione mobile è sempre riconducibile a te, prima ancora di parlare di VPN o Tor. Il DDL Sicurezza ha ulteriormente inasprito le regole, estendendo l’obbligo di identificazione anche alle eSIM e alle singole componenti del servizio. Vuoi una SIM solo dati, senza voce? Stessa trafila identificativa. Vuoi un piano prepagato da pochi euro? Documenti, SPID, registrazione. L’obiettivo dichiarato è la sicurezza pubblica. L’effetto reale è che non esiste un punto di accesso alla rete mobile italiana che non sia schedato.
Poi c’è la data retention — e qui la questione diventa grottesca. I provider italiani sono obbligati per legge a conservare i metadati delle tue comunicazioni per periodi che arrivano fino a sei anni per il traffico telefonico. Sei anni di chi hai chiamato, quando, da dove, per quanto tempo. E questo è solo il dato ufficiale: i metadati di navigazione web, le query DNS, gli IP assegnati vengono conservati anche quando la legge non lo richiede esplicitamente, perché le forze dell’ordine li richiedono regolarmente e i provider preferiscono averli disponibili piuttosto che trovarsi in difficoltà davanti a un’ordinanza. Il risultato pratico è semplice e agghiacciante: senza una VPN o Tor, il tuo ISP ha una mappa dettagliata della tua vita digitale degli ultimi anni — e la mette a disposizione dello stato quando richiesto, senza che tu ne sappia nulla. Piracy Shield aggiunge un ulteriore strato di censura attiva sopra questo sistema già invasivo. E all’orizzonte c’è eIDAS 2.0, il wallet europeo di identità digitale che — se implementato come previsto — legherà ogni accesso online a un’identità certificata dallo stato.
Il disegno complessivo è chiaro, e non serve essere complottisti per vederlo: un paese dove la connessione è identificata (obbligo SIM), il traffico è conservato per anni (data retention), i contenuti sono censurabili senza controllo giudiziario (Piracy Shield) e l’identità online sarà obbligatoria (eIDAS). In questo contesto, gli strumenti di anonimizzazione non sono un vezzo da smanettoni con la felpa col cappuccio. Sono l’unica difesa concreta che hai. E il fatto che siano legali — per ora — non significa che lo resteranno per sempre, né che il loro uso non venga stigmatizzato o reso progressivamente più difficile. La privacy non è qualcosa che ti viene concessa dall’alto. È qualcosa che ti prendi, con gli strumenti giusti, la disciplina necessaria e la consapevolezza che lo stato preferirebbe che tu non lo facessi.
FAQ
È legale usare una VPN in Italia nel 2026?
Sì, è completamente legale. Non esiste alcuna norma italiana che vieti l’uso di VPN, Tor o I2P. Il GDPR riconosce il diritto alla riservatezza delle comunicazioni elettroniche. Lo strumento è lecito — diventa illecito solo se usato per commettere reati, esattamente come qualsiasi altro strumento.
Tor è sicuro da usare senza VPN?
Tor usato correttamente — con Tor Browser aggiornato, HTTPS-Only Mode attivo, senza accedere ad account personali — offre un livello di anonimato elevato anche senza VPN. Il Tor Project stesso sconsiglia di aggiungere una VPN se non si ha un motivo tecnico preciso. La combinazione VPN + Tor ha senso principalmente per nascondere l’uso di Tor al proprio ISP.
Qual è la differenza pratica tra Tor e I2P?
Tor è progettato per navigare l’internet normale in modo anonimo — ha exit node verso il web aperto. I2P è una rete chiusa, ottimizzata per comunicazione e servizi interni (eepsite, email cifrata, file sharing). Tor è la scelta migliore per la navigazione web anonima; I2P è superiore per comunicazione peer-to-peer e hosting di servizi nascosti senza punti di uscita.
Quale VPN scegliere se non voglio che vengano conservati log?
Mullvad è la scelta più verificata nel 2026: account anonimi senza email, pagamento in contanti, server RAM-only, audit indipendenti multipli. IVPN è un’alternativa solida con audit di Trail of Bits e un approccio simile. Proton VPN è un compromesso accettabile per chi vuole integrare anche email e cloud nello stesso ecosistema privacy-first.
Posso usare VPN, Tor e I2P sullo stesso dispositivo?
Sì, ma con scopi diversi e non contemporaneamente sullo stesso traffico. Una VPN può proteggere la tua connessione quotidiana, Tor Browser serve per la navigazione web anonima, e il client I2P per accedere alla rete invisibile. Ogni strumento copre un’esigenza specifica: la VPN cifra il traffico generale, Tor protegge l’identità sul web aperto, I2P offre comunicazione peer-to-peer completamente decentralizzata.
Gli strumenti esistono. Sono legali, sono documentati, sono mantenuti da comunità che non rispondono a nessun azionista e non hanno un reparto marketing che ti racconta favole. Il punto non è se funzionano — funzionano, con i loro limiti, che adesso conosci. Il punto è che viviamo in un paese dove l’infrastruttura di sorveglianza cresce a ogni legislatura, dove la censura DNS si chiama “antipirateria” e dove il tuo provider conserva sei anni della tua vita digitale perché qualcuno ha deciso che è normale. In questo contesto, scegliere di navigare in modo anonimo non è un atto di paranoia. È autodifesa. E — diciamolo — un piccolo, quotidiano atto di disobbedienza.