Cos'è una VPN? Come funziona la rete privata virtuale

Ogni dispositivo su internet ha un indirizzo IP, un numero grazie al quale i pacchetti di dati trovano la strada fino a lui – paragonabile a un indirizzo postale. Senza VPN il tuo telefono o il tuo portatile invia le richieste direttamente al sito web attraverso l'operatore internet, e il sito risponde al tuo indirizzo. L'operatore vede a quali server ti colleghi e il sito vede da quale indirizzo arriva la richiesta. Qual è il tuo indirizzo in questo momento lo mostra la nostra guida (→ Trovare il proprio indirizzo IP – e cosa rivela di te).

Una VPN inserisce una stazione intermedia tra te e internet. Sul tuo dispositivo gira un programma, il client VPN (di solito semplicemente l'app del fornitore), che cifra tutti i dati in uscita e li impacchetta in nuovi pacchetti. Questi pacchetti vanno a un server VPN, che li decifra e li inoltra alla destinazione vera e propria. La risposta fa lo stesso percorso al contrario. L'Ufficio federale tedesco per la sicurezza informatica (BSI) descrive questo tratto cifrato come un «tunnel»: per chiunque intercetti nel mezzo, i contenuti sono illeggibili. NordVPN lo formula così nella sua spiegazione: il server sostituisce il tuo indirizzo IP visibile con il proprio.

Da qui deriva chi vede cosa. Il tuo operatore internet o il gestore della rete Wi-Fi vede soltanto che il tuo dispositivo mantiene una connessione cifrata con un determinato server VPN – non quali siti apri dietro quella connessione. Il sito web, a sua volta, vede l'indirizzo IP del server VPN e ti associa al paese in cui si trova quel server. Il fornitore della VPN vede entrambe le cose: da dove vieni e dove vai. Questo è il cuore di tutta la tecnologia, e da qui derivano sia la sua utilità sia i suoi limiti.

Perché client e server possano fidarsi l'uno dell'altro e avere una chiave comune, all'inizio eseguono un handshake: si identificano a vicenda e si accordano sulle chiavi con cui la sessione verrà cifrata. Come avviene esattamente lo stabilisce il protocollo – l'insieme di regole che entrambe le parti devono parlare, così come HTTPS è l'insieme di regole tra browser e sito web. In origine, secondo il BSI, le VPN venivano usate soprattutto in ambito professionale, per collegare in sicurezza alla rete aziendale le postazioni in home office e il personale esterno o per connettere tra loro le sedi. Che i privati sottoscrivano un abbonamento presso un servizio commerciale per navigare attraverso i suoi server è uno sviluppo successivo – ma oggi è la forma in cui la maggior parte delle persone incontra il termine.

VPN aziendale: è la forma classica. L'azienda gestisce un server VPN ai margini della propria rete, i dipendenti vi si collegano da casa o in viaggio e si trovano così nella rete aziendale come se fossero in ufficio. Il National Cyber Security Centre britannico (NCSC) descrive esattamente questo scopo nelle sue linee guida sulla sicurezza dei dispositivi – connessioni sicure tra dispositivi in luoghi fisicamente separati – e raccomanda alle organizzazioni IPsec con certificati e una VPN che si connette automaticamente, in modo che nessuno dimentichi di attivarla. Con lo streaming o l'anonimato questa variante non ha nulla a che fare; protegge l'accesso ai sistemi interni.

VPN verso la propria rete domestica: molti router possono fare da server VPN. Il FRITZ!Box supporta, secondo il produttore fritz.com, sia IPsec sia WireGuard; con WireGuard basta, secondo fritz.com, inquadrare un codice QR con lo smartphone o il tablet, e da quel momento raggiungi da fuori casa il tuo NAS, le tue telecamere o la tua domotica come se fossi a casa. Il BSI cita proprio questo come vantaggio: i dispositivi smart home si possono così controllare attraverso il proprio router, senza passare dal cloud del produttore e senza aprire porte sul router, che sarebbero un rischio per la sicurezza. Il tuo indirizzo IP pubblico in questo caso è quello della tua connessione di casa – dal punto di vista dei siti web navighi quindi da casa, anche se ti trovi all'estero.

Servizi VPN commerciali: NordVPN, Surfshark, Proton VPN, ExpressVPN, CyberGhost e molti altri gestiscono migliaia di server in decine di paesi e affittano l'accesso in abbonamento. Installi l'app, scegli un paese e da quel momento il tuo traffico passa da un server lì. Il BSI indica come criteri una connessione veloce anche con carico elevato e più sedi di server – e fa notare che per i server all'estero non vale il diritto tedesco sulla protezione dei dati e che la scelta del fornitore è «una questione di fiducia», perché tutto il traffico passa dai suoi server. Di questa terza variante si parla nel resto dell'articolo, salvo indicazione diversa.

Cosa non è una VPN: un plugin per il browser che reindirizza solo il traffico del browser non è, secondo il BSI, una VPN completa – programma di posta, messaggistica e altre app la aggirano; per tutto il traffico di rete serve un software VPN dedicato. Anche un semplice proxy reindirizza le richieste, ma non le cifra necessariamente. Tor è una rete a sé con più stazioni intermedie e un altro modello di sicurezza (ne parliamo più avanti). E una VPN non è un antivirus: non controlla i download, non riconosce il malware e non avvisa dei siti web contraffatti.

Il protocollo stabilisce come client e server costruiscono il tunnel, quale cifratura usano e come rinnovano le chiavi. Per te come utente è di solito una voce di menu nell'app, impostata per impostazione predefinita su «Automatico». Vale comunque la pena conoscere i tre grandi nomi, perché si distinguono nettamente per velocità, età e verificabilità.

WireGuard è il più giovane dei tre e su wireguard.com si descrive come una VPN «extremely simple yet fast and modern» (estremamente semplice, ma veloce e moderna). Rinuncia alle opzioni di scelta nella crittografia e si fissa su un insieme definito di algoritmi moderni: ChaCha20 con Poly1305 per la cifratura, Curve25519 per lo scambio delle chiavi, BLAKE2s per l'hashing, SipHash24 e HKDF. L'handshake segue il framework di protocollo Noise e, secondo la descrizione del protocollo, richiede un solo messaggio di andata e uno di ritorno, cioè un unico round trip; le chiavi di sessione vengono rinnovate «ogni pochi minuti», così che una chiave rubata in seguito non permetta di decifrare le sessioni passate (perfect forward secrecy). Tutti i pacchetti viaggiano su UDP. Il progetto fa parte del kernel Linux e, secondo wireguard.com, funziona anche su Windows, macOS, BSD, iOS e Android; dovrebbe essere implementabile in pochissime righe di codice e quindi verificabile da singole persone.

OpenVPN è il veterano. La pagina del progetto lo descrive come una soluzione open source completa per VPN SSL, il cui modello di sicurezza si basa su SSL, ovvero TLS – la stessa tecnologia che protegge anche HTTPS nel browser. Per il trasporto dei dati è disponibile una singola porta UDP o TCP, il che rende OpenVPN più flessibile dei protocolli solo UDP nelle reti restrittive. La cifratura passa dalla libreria OpenSSL, l'integrità viene verificata con HMAC. OpenVPN funziona su Linux, BSD, macOS e Windows, è ben documentato e in uso da più di due decenni nelle aziende e presso i servizi VPN; in compenso è considerato più lento e più voluminoso. NordVPN, nel suo blog, mette a confronto circa 400.000 righe di codice di OpenVPN con una base molto più piccola per la sua variante di WireGuard, NordLynx (circa 10.000 righe secondo NordVPN) – un codice più piccolo è più facile da verificare e da mantenere.

IKEv2/IPsec è lo standard che i sistemi operativi portano con sé di serie. Secondo Apple, in iOS sono integrati i protocolli IKEv2, L2TP su IPsec e Cisco IPsec (dati al 22 ottobre 2026); il FRITZ!Box definisce IPsec come supportato direttamente da molti sistemi operativi, e l'NCSC britannico raccomanda espressamente IPsec alle organizzazioni per l'accesso VPN, perché è uno standard aperto integrato nei sistemi operativi – con lo svantaggio che alcune reti esterne bloccano il traffico IPsec. Chi vuole configurare una VPN senza app, per esempio verso il router di casa o verso un fornitore che lo permette, finisce di solito su IKEv2; come si fa su iPhone lo mostra (→ Configurare una VPN su iPhone – con l'app o a mano).

A questi si aggiungono le soluzioni proprietarie dei fornitori, che di regola sono varianti dei protocolli citati. NordLynx di NordVPN si basa, secondo il blog di NordVPN, su WireGuard e aggiunge un sistema di doppio NAT: poiché WireGuard nella sua forma base assegnerebbe a ogni utente un indirizzo IP interno fisso sul server, con NordLynx tutti gli utenti di un server condividono verso l'esterno lo stesso indirizzo locale, mentre una seconda interfaccia assegna a ogni sessione un indirizzo dinamico che scompare con la sessione. Per i paesi con forte censura NordVPN raccomanda il suo protocollo NordWhisper, perché il traffico WireGuard ha un'impronta riconoscibile e UDP a volte è bloccato nelle reti di università o aziende. Questi protocolli aggiuntivi non sono di per sé un segno di qualità; ciò che conta resta che la base sia documentata apertamente e verificata.

Proteggere il Wi-Fi pubblico: in albergo, in aeroporto o al bar condividi la rete con sconosciuti. L'Ufficio federale della cibersicurezza svizzero (UFCS) descrive i rischi nella sua retrospettiva settimanale 29/2024: hotspot non cifrati o protetti debolmente, attraverso i quali si possono intercettare credenziali e dati di carte di credito, e punti di accesso contraffatti con nomi che ispirano fiducia – come esempio l'UFCS cita un caso avvenuto in Australia con reti false in aeroporti e aerei. La raccomandazione dell'UFCS è, testualmente, di usare «per quanto possibile» una «Virtual Private Network (VPN)», con la motivazione che una VPN cifra l'intero traffico di dati. Il BSI lo formula in modo simile: una VPN riduce il rischio di essere spiati da altri utenti della stessa rete. Entrambe le autorità aggiungono però che nelle reti pubbliche non si dovrebbero comunque trattare dati sensibili come l'e-banking e che bisogna fare attenzione a HTTPS.

Tenere fuori l'operatore internet: senza VPN il tuo operatore di rete fissa o mobile vede a quali server ti colleghi. Con la VPN vede soltanto il tunnel verso il server VPN. Per chi questo conti è una questione di valutazione personale – in Svizzera e nell'UE raramente c'è un motivo stringente, mentre in viaggio in paesi con sorveglianza estesa può essere rilevante. Importante è il rovescio della medaglia: ciò che l'operatore internet non vede più, ora lo vede il fornitore della VPN.

Cambiare posizione: poiché il sito web vede l'indirizzo IP del server VPN, ti associa al paese del server. Il BSI cita espressamente l'aggiramento del geoblocking come caso d'uso, ma richiama le ragioni legate alle licenze e la situazione giuridica. Casi tipici sono il proprio abbonamento streaming in vacanza, i siti di notizie bloccati dall'estero o i confronti di prezzo, dove i fornitori mostrano prezzi diversi a seconda del paese. Non è una garanzia, e le condizioni d'uso dei servizi possono vietare l'aggiramento delle restrizioni geografiche – conviene leggerle prima.

Accesso remoto e protezione dal tracciamento: con una VPN verso la rete domestica raggiungi da fuori i tuoi dispositivi di casa senza esporli all'internet aperto – il BSI indica come vantaggio per la sicurezza il fatto di evitare porte aperte sul router. Contro il tracciamento pubblicitario una VPN aiuta in un solo punto: il tuo indirizzo IP, che le reti pubblicitarie usano come una delle diverse caratteristiche per riconoscerti, cambia a ogni server. Cookie, impronta del dispositivo e login restano intatti; come liberarti dei cookie lo spieghiamo in (→ Cancellare cache e cookie – in ogni browser, su computer e smartphone). Chi vuole soprattutto capire se ha davvero bisogno di una VPN trova la valutazione nella nostra guida (→ Ti serve davvero una VPN nel 2026? La guida onesta).

Nessun anonimato: una VPN sposta la conoscenza, non la cancella. Proton VPN scrive nel proprio blog che il fornitore della VPN conosce il tuo vero indirizzo IP, elabora le tue richieste DNS e vede i siti visitati – per questo bisogna fidarsi di lui. E non appena sei loggato su Google, Facebook, Instagram o nel tuo account e-mail, il servizio sa comunque chi sei; Proton lo formula così: Google può allora seguire «all aspects of your browsing» (ogni aspetto della tua navigazione), solo l'indirizzo IP attuale resta nascosto. A questo si aggiungono i cookie e il fingerprinting del browser, cioè il riconoscimento attraverso piccole differenze tra browser e dispositivi – secondo Proton nessuno dei due si può impedire con una VPN.

Nessuna protezione da phishing, malware e password deboli: una VPN non verifica se il sito su cui stai inserendo la tua carta di credito è autentico. Chi cade in una pagina contraffatta di un hotel o di un servizio di pagamento lo fa allo stesso modo con e senza VPN – un esempio recente è una truffa in Svizzera che, attraverso finte prenotazioni alberghiere, puntava ai conti TWINT, segnalata dall'UFCS. Proton lo riassume così: una VPN non può porre rimedio a un dispositivo compromesso («A VPN can't overcome a compromised device.»). Contro il malware ti servono aggiornamenti e un antivirus, contro il furto di account password forti e uniche e l'autenticazione a due fattori (→ Attivare la verifica in due passaggi su Google – richieste, app, token o passkey) – vedi (→ Creare una password sicura – e cosa è davvero sicuro nel 2026) e il nostro confronto (→ Migliori password manager 2026: 1Password, NordPass, Bitwarden e Proton Pass a confronto).

La cifratura termina al server: il BSI sottolinea che la cifratura VPN arriva solo fino al server VPN, o fino al router, e oltre non vale. Da lì fino al sito web ti protegge ciò che ti protegge anche senza VPN: HTTPS, riconoscibile dal lucchetto nella barra degli indirizzi, che oggi è lo standard sulla stragrande maggioranza dei siti. Per questo il BSI dice espressamente che una VPN non sostituisce né HTTPS né i servizi di messaggistica cifrati. Al contrario, questo significa anche: ciò che HTTPS cifra già – password, contenuti, dati di pagamento – con una VPN non diventa ancora più sicuro, ma viene solo nascosto in più al gestore della rete Wi-Fi e all'operatore internet, che senza VPN vedono almeno l'indirizzo di destinazione.

Più lento e un nuovo soggetto a cui fidarsi: ogni deviazione attraverso un server in più costa tempo. Il BSI scrive che la velocità di trasmissione di solito diminuisce; NordVPN ammette che la velocità può calare «a little» (un po'), a seconda di server, carico della rete e protocollo. Un server vicino e un protocollo moderno mantengono piccola la perdita, un server lontano e un protocollo più vecchio la aumentano. E infine la questione della fiducia: scambi un operatore internet soggetto alle leggi del tuo paese con un'azienda i cui server si trovano da qualche parte nel mondo. Il BSI definisce per questo la scelta del fornitore «una questione di fiducia» – ed è proprio qui che entrano in gioco le promesse no-log e gli audit.

Kill switch (interruttore di emergenza): se la connessione VPN cade senza che te ne accorga – per esempio passando dal Wi-Fi alla rete mobile –, il tuo dispositivo continuerebbe semplicemente a navigare senza protezione e rivelerebbe il tuo vero indirizzo IP. Un kill switch lo impedisce: blocca, secondo NordVPN, Proton VPN e Surfshark, il traffico internet finché il tunnel non è di nuovo in piedi. NordVPN distingue un kill switch a livello di sistema, che taglia subito tutto il traffico, da un kill switch a livello di app, che ferma solo i programmi selezionati; su Android NordVPN usa, secondo la propria pagina, da Android 7 la funzione di sistema «Always on VPN». Proton VPN offre, oltre al kill switch standard, che interviene solo in caso di interruzione involontaria, un «Advanced Kill Switch», che consente internet solo con una connessione Proton attiva e sopravvive a un riavvio; su iOS trovi la funzione, secondo Proton, nelle impostazioni sotto «Security Options». Surfshark chiama i suoi due livelli «Soft» (solo in caso di interruzione imprevista) e «Strict» (sempre, quando la VPN è spenta). Chi usa seriamente la VPN dovrebbe attivare il kill switch; chi la usa solo per lo streaming può farne a meno, perché con una connessione instabile dà fastidio.

No-log (nessun registro): con questo i fornitori promettono di non registrare ciò che fai attraverso i loro server. Proton VPN lo formula così sulla sua pagina: «We do not keep any logs of your online activity and do not store any metadata» – quindi nessun sito visitato, nessuna durata di sessione, nessun indirizzo IP, nessun registro di connessione. Proton motiva questa posizione con il diritto svizzero, che non obbliga i fornitori di VPN alla conservazione dei dati; la sede è a Ginevra. Ma il punto decisivo è: una promessa no-log è, in prima battuta, solo un'affermazione del fornitore. Non puoi verificare tu stesso cosa viene salvato su server altrui.

Audit (verifiche indipendenti): per questo i fornitori seri fanno verificare le proprie affermazioni dall'esterno. Un audit è una perizia di una società di revisione o di sicurezza che esamina server, configurazioni o app e conferma che la pratica corrisponde a quanto dichiarato – sempre e solo per il momento della verifica. Proton VPN cita sulla sua pagina no-log verifiche della società di sicurezza Securitum e pubblica le sue app completamente open source, così che chiunque possa esaminare il codice. Surfshark rimanda a verifiche delle sue dichiarazioni no-log da parte di Deloitte nel 2023 e nel giugno 2025 (dati al 22 ottobre 2026). A questo si aggiunge la giurisdizione, cioè il paese le cui leggi valgono per il fornitore: Surfshark B.V. ha sede ad Amsterdam, Proton AG a Ginevra (dati al 22 ottobre 2026). Come i singoli fornitori gestiscono sede, verifiche e registrazione dei dati lo trovi nelle nostre analisi (→ Surfshark recensione 2026: economico, ma anche buono?) e (→ NordVPN recensione 2026: il leader di mercato vale ancora la spesa?).

Che la fiducia non sia una strada a senso unico lo dimostra un episodio della fine dell'estate 2026. Surfshark ha riferito in un incident report del settembre 2026 che un server di test interno dei team di sviluppo era raggiungibile da internet a causa di una configurazione errata; i primi indizi, secondo Surfshark, risalgono al 31 agosto, il 2 settembre l'episodio è stato confermato e contenuto. Erano accessibili, secondo il rapporto, documenti interni di ingegneria, parti di file di sistema, configurazioni e credenziali di build; nessun dato degli utenti e nessun servizio VPN è stato coinvolto («no user data and VPN services were affected»), scrive Surfshark, gli utenti non devono fare nulla, tutte le credenziali interessate sono state sostituite. L'indagine l'ha condotta Surfshark stessa, un audit indipendente è stato annunciato. Lo riportiamo in modo neutrale: il rapporto depone a favore della trasparenza, ma mostra anche che perfino i fornitori verificati commettono errori – e che nella scelta del fornitore dovresti guardare a come gestisce episodi di questo tipo.

Relay privato iCloud: il servizio di Apple per gli abbonati a iCloud+ viene spesso confuso con una VPN, ma è qualcosa di diverso. Secondo il supporto Apple, il relay privato protegge la navigazione in Safari: le richieste passano attraverso due relay separati, il primo gestito da Apple, che vede il tuo indirizzo IP ma, grazie alle richieste DNS cifrate, non quale sito stai aprendo; il secondo gestito da un fornitore terzo, che assegna un indirizzo IP temporaneo e contatta il sito. L'obiettivo, secondo Apple, è che «nessuno, nemmeno Apple, possa vedere chi sei e i siti che visiti». La differenza rispetto a una VPN: vale solo per Safari e non per le altre app, non puoi scegliere una posizione, e il servizio, secondo Apple, non è disponibile in tutti i paesi. Per l'uso quotidiano nel browser è una protezione dell'indirizzo IP buona e discreta – per il Wi-Fi pubblico con tutte le app o per un'altra posizione ti serve una VPN.

Tor: la rete Tor persegue un obiettivo diverso da una VPN, cioè l'anonimato senza un gestore unico di cui doverti fidare. Secondo l'assistenza del progetto Tor, il Tor Browser instrada il traffico attraverso tre server scelti a caso («relay»); l'ultimo, l'exit relay, invia la richiesta nell'internet aperto. Il tuo operatore internet non vede quali siti visiti, e il sito vede solo una connessione proveniente dalla rete Tor, non il tuo indirizzo. Il Tor Browser si difende inoltre dal fingerprinting, non salva la cronologia e cancella i cookie dopo ogni sessione. Il prezzo è la comodità: la protezione vale solo nel Tor Browser stesso – il progetto Tor sconsiglia espressamente di usare Tor con altri browser –, e una posizione selezionabile come con una VPN non esiste. Tor si rivolge, secondo il progetto, a persone che devono proteggersi da sorveglianza e censura, non agli utenti dello streaming.

Proxy: un proxy è un server intermediario che fa le richieste al posto tuo. A differenza di una VPN viene di solito configurato per singolo programma – per esempio solo nel browser – e non cifra necessariamente il percorso fino a lui. Le estensioni del browser che si chiamano «VPN» sono, secondo il BSI, spesso proprio questo: cifrano solo il traffico web, mentre tutte le altre app vanno direttamente in rete. Chi vuole proteggere tutto il traffico di un dispositivo ha bisogno, secondo il BSI, di un software VPN dedicato.

VPN aziendale: se il tuo datore di lavoro ti ha configurato una VPN sul portatile, serve ad accedere ai sistemi interni e spesso anche al controllo del traffico da parte dell'azienda – l'NCSC britannico raccomanda espressamente alle organizzazioni una VPN obbligatoria senza split tunnelling, in modo che le app non possano aggirare il monitoraggio aziendale. Navigando per uso privato attraverso una VPN aziendale, dal punto di vista di internet ti trovi quindi nella sede dell'azienda, e il reparto IT può vedere cosa fai. Nel dubbio usa la VPN aziendale solo per il lavoro e un dispositivo privato per le cose private.

Usare una VPN è consentito in Svizzera, in Italia e nell'UE; aziende, autorità e università la usano ogni giorno, e i router domestici come il FRITZ!Box hanno la funzione di serie. Ciò che è vietato resta vietato anche con una VPN: chi scarica senza permesso contenuti protetti dal diritto d'autore attraverso un server estero o commette una truffa non è meno punibile solo perché l'indirizzo IP è un altro. Non è una consulenza legale, ma il principio a cui rimanda anche il BSI quando, a proposito del geoblocking, richiama le ragioni legate alle licenze e la situazione giuridica.

Diverso è il caso dei servizi di streaming. Dal punto di vista legale, accedere al proprio abbonamento dall'estero non è un reato; dal punto di vista contrattuale il fornitore può vietare nelle sue condizioni d'uso l'aggiramento delle restrizioni geografiche e, nel caso estremo, bloccare l'account. Cosa dice esattamente il tuo servizio sta nelle sue condizioni – per questo articolo non le abbiamo verificate una per una e quindi non promettiamo con quale servizio funzioni cosa.

In viaggio vale: alcuni Stati limitano o vietano le VPN. Il BSI cita come esempio la Cina e consiglia di tenerne conto quando si viaggia; l'UFCS, nelle sue indicazioni per i viaggi all'estero, raccomanda in generale di informarsi prima della partenza sulle disposizioni specifiche del paese e di consultare i consigli di viaggio del DFAE, e avverte che in alcuni paesi le autorità di frontiera possono esaminare e trattenere i dischi fissi. In pratica significa: prima di un viaggio in questi paesi informati, installa eventualmente l'app in anticipo e non contare sul fatto che lì funzioni. Per la connessione in sé, l'UFCS consiglia tra l'altro di usare la propria connessione dati mobile invece di reti Wi-Fi altrui – come farlo a buon prezzo nell'UE con l'abbonamento svizzero o con una eSIM da viaggio lo spiega (→ Roaming UE dalla Svizzera 2026: come evitare la stangata), e cos'è in generale una eSIM lo trovi in (→ Cos'è una eSIM? Come funziona la SIM digitale).

Un servizio VPN costa denaro: server in molti paesi, banda, sviluppo delle app. Chi lo offre gratis deve finanziarlo in altro modo. Il BSI avverte che nelle offerte gratuite ci sono spesso limitazioni delle funzioni o una qualità di connessione peggiore, e che gli utenti pagano di frequente con i propri dati, che potrebbero per esempio essere analizzati a fini di marketing. Con un servizio che per definizione vede tutto il tuo traffico, è un pessimo scambio. L'UFCS, nella sua retrospettiva settimanale, menziona sì che negli store esistono app VPN gratuite, ma non fa nomi e non indica criteri.

Un'eccezione documentabile è Proton VPN Free: secondo l'assistenza Proton (dati al 22 ottobre 2026) il livello gratuito è senza limite di dati e senza pubblicità; le limitazioni sono un unico dispositivo e server gratuiti in dieci paesi (Paesi Bassi, Giappone, Romania, Polonia, Norvegia, Svizzera, Singapore, Messico, Canada, Stati Uniti). Per la protezione occasionale nel Wi-Fi dell'albergo basta; chi ha bisogno di una posizione precisa o di più dispositivi non può fare a meno di un abbonamento. Il kill switch, secondo Proton, è incluso anche nel livello gratuito.

Tra i servizi a pagamento i prezzi dei contratti biennali sono vicini tra loro, mentre gli abbonamenti mensili costano un multiplo. NordVPN chiede con «2 anni + 3 mesi» l'equivalente di 3,49 $ al mese per Basic, 3,99 $ per Complete e 6,99 $ per Prime, l'abbonamento mensile 14,99 $; inclusi 10 dispositivi, oltre 7.100 server in 150 paesi e 30 giorni di garanzia di rimborso (dati al 22 ottobre 2026, confermati il 27 ottobre 2026). Surfshark costa, con la stessa durata, 2,49 $ (Starter e One) oppure 3,99 $ (One+) al mese e consente un numero illimitato di dispositivi con oltre 4.500 server in 100 paesi (dati al 22 ottobre 2026). Proton VPN Plus è a 3,49 $ con 24 mesi e a 9,99 $ con l'abbonamento mensile per 10 dispositivi (dati al 22 ottobre 2026); ExpressVPN indica con «2 anni + 4 mesi» 2,99 $ per Basic in 113 paesi, CyberGhost con «2 anni + 2 mesi» 2,19 $ con oltre 9.500 server in 100 paesi (dati al 12 ottobre 2026). Tutti i prezzi sono mostrati sulle pagine dei fornitori in dollari statunitensi; i dettagli e le condizioni di rinnovo stanno nelle analisi (→ NordVPN recensione 2026: il leader di mercato vale ancora la spesa?) e (→ Surfshark recensione 2026: economico, ma anche buono?).

Cosa sia equo dipende da ciò che ti serve. Per la sola protezione occasionale nel Wi-Fi basta Proton VPN Free oppure – su iPhone in Safari – il relay privato di Apple nell'abbonamento iCloud+. Chi vuole accedere regolarmente dall'estero al proprio abbonamento streaming, copre famiglia e più dispositivi o tiene a dichiarazioni no-log verificate, è ben servito con un abbonamento biennale per l'equivalente di circa 2,50–4 $ al mese; l'abbonamento mensile conviene solo per un singolo viaggio. E chi cerca soprattutto l'anonimato sta meglio con Tor che con qualsiasi abbonamento. Quale variante fa per te lo chiarisce la nostra guida (→ Ti serve davvero una VPN nel 2026? La guida onesta); se è in corso una promozione come il Black Friday di NordVPN, la riassumiamo in (→ NordVPN Black Friday 2026: cosa porta davvero la promozione).