Client Shadowsocks: come sceglierlo, configurarlo e usarlo nel 2026

Un client Shadowsocks è l’app sul tuo dispositivo che si collega a un server Shadowsocks e fa passare il traffico attraverso un tunnel cifrato. Ti serve ogni volta che qualcuno ti dà un link ss://, un codice QR o i dati di un server, e la scelta dell’app conta più di quanto sembri: metà dei client consigliati dalle guide più vecchie non viene aggiornata da anni, e alcuni non riescono nemmeno a comunicare con i server moderni.

Per la maggior parte delle persone la risposta è breve. Outline è l’opzione gratuita più semplice su ogni piattaforma, shadowsocks-android offre più controllo su Android e sslocal di shadowsocks-rust copre Linux, server e router. Qui sotto vediamo quali client sono ancora vivi nel 2026, smontiamo un link ss://, configuriamo ogni piattaforma e infine verifichiamo che il traffico esca davvero dal server, perché un’icona verde con scritto “connesso” da sola non lo dimostra.

Cosa fa davvero un client Shadowsocks#

Shadowsocks è un protocollo proxy cifrato. È nato nel 2012 per raggiungere siti non disponibili in alcune regioni e oggi è uno dei protocolli più diffusi nelle reti con restrizioni. Una configurazione ha sempre due metà: un server su una rete senza restrizioni e un client sul tuo dispositivo.

Il client svolge tre compiti:

1. Apre un proxy locale. Il client resta in ascolto sulla tua macchina, di solito come proxy SOCKS5 su 127.0.0.1:1080. Alcuni client aprono anche un proxy HTTP o un’interfaccia VPN a livello di sistema.
2. Cifra e inoltra. Ogni connessione che le tue app inviano a quel proxy locale viene cifrata con la chiave condivisa e inoltrata al server Shadowsocks.
3. Decide cosa passa nel tunnel. A seconda della modalità, può trattarsi di tutto il traffico, solo di quello che corrisponde a determinate regole o solo delle app che indirizzi verso il proxy.

Dall’altra parte, il server decifra il traffico e apre la connessione vera e propria verso il sito. Il sito vede l’indirizzo IP del server al posto del tuo, mentre il tuo provider vede soltanto un flusso cifrato diretto a un unico server, senza alcun handshake proxy visibile.

Browser / app
   │  plain SOCKS5 or HTTP (only on your device)
   ▼
Shadowsocks client  127.0.0.1:1080
   │  encrypted Shadowsocks stream
   ▼
Shadowsocks server  (your VPS or provider)
   │  normal HTTPS
   ▼
Website

Due convinzioni diffuse su Shadowsocks sono sbagliate:

• Non è un proxy SOCKS5. Il client parla SOCKS5 con le tue app, ma il collegamento con il server usa un protocollo diverso e cifrato. Per questo non puoi puntare un client Shadowsocks verso un normale server SOCKS5, né viceversa.
• Di default non è una VPN completa. Nella modalità base passano nel tunnel solo le app che usano il proxy locale, mentre quelle che ignorano le impostazioni proxy escono direttamente. Per coprire l’intero dispositivo devi passare il client in modalità VPN (TUN).

I migliori client Shadowsocks nel 2026#

Molte liste consigliano ancora client abbandonati da tempo, quindi a ottobre 2026 abbiamo controllato la cronologia dei rilasci di ciascuno. La tabella mostra a che punto sono.

Client ufficiali e a protocollo singolo#

Client	Piattaforme	Cifrari Shadowsocks 2022	Plugin	Stato nel 2026
Outline Client	Windows, macOS, Linux, Android, iOS, ChromeOS	No, solo cifrari classici	No	Sviluppo attivo; da gennaio 2026 lo gestisce la fondazione no profit Outline Foundation
shadowsocks-android	Android	Sì	Sì, come app separate	Mantenuto su GitHub (v5.3.4); la scheda su Google Play non viene aggiornata dal 2021
ShadowsocksX-NG	macOS	No	Sì	Ultimo rilascio v1.10.3 a ottobre 2024; gira in modo nativo su Apple Silicon
shadowsocks-rust (sslocal)	Linux, macOS, Windows, router	Sì	Sì	L’implementazione di riferimento, con rilasci regolari (v1.25.0)
Shadowsocks for Windows	Windows	No	Sì	Funziona ancora, ma l’ultimo rilascio (4.4.1.0) risale a febbraio 2022
shadowsocks-libev, ora shadowsocks-c	Linux, router	Non ancora in un rilascio	Sì	Rinato con un nuovo nome; la v3.3.6 è uscita a febbraio 2026
shadowsocks-qt5	Linux, Windows	No	No	Abbandonato; al suo posto usa sslocal o un’app multiprotocollo
shadowsocks per Python (pip)	Qualsiasi	No	No	Abbandonato da anni, quindi non usarlo
ShadowsocksR (SSR)	Varie	No	No	Un fork morto con un protocollo proprio che i server moderni non accettano

Client multiprotocollo che supportano anche Shadowsocks#

Se in futuro ti potrebbero servire VLESS, Trojan o Hysteria, una sola app può gestirli tutti insieme a Shadowsocks:

• Desktop: Clash Verge Rev, basato sul core mihomo, e v2rayN.
• Android: NekoBox, Hiddify e l’app ufficiale di sing-box. NekoBox si aggiorna lentamente e la sua scheda su Google Play è gestita da terzi, quindi installalo da GitHub.
• iOS: l’app gratuita sing-box MT, a cui rimanda la documentazione di sing-box, e Potatso, che riceve ancora aggiornamenti sull’App Store anche se il suo vecchio repository open source è abbandonato. App a pagamento come Shadowrocket, Stash e Surge aggiungono in più il routing basato su regole.

sing-box e mihomo supportano entrambi i cifrari Shadowsocks 2022. Hanno anche i plugin più comuni integrati, quindi non devi installarli come programmi separati.

Scelte rapide#

• Il più semplice su qualsiasi dispositivo: Outline. Incolli una chiave e premi Connect.
• Android con pieno controllo: shadowsocks-android.
• Mac: ShadowsocksX-NG, oppure Clash Verge Rev se vuoi regole di routing e cifrari più recenti.
• Linux, server e router: sslocal di shadowsocks-rust.
• iPhone: Outline se vuoi restare sul gratuito, oppure un’app basata su regole se ti serve il routing per singolo sito, che Outline non offre.

Cosa ti serve dal server#

Ogni client Shadowsocks ha bisogno degli stessi quattro valori, che tu li inserisca a mano o li importi:

Campo	Esempio	Note
Server	203.0.113.10	Indirizzo IP o nome di dominio
Porta	8388	Qualsiasi porta su cui il server è in ascolto; la 443 è frequente
Password / chiave	Secret0	Deve coincidere esattamente con quella del server
Cifrario (metodo)	chacha20-ietf-poly1305	Deve coincidere esattamente con quello del server

Un cifrario o una password sbagliati non producono un errore chiaro. Il client si connette e poi non si carica nulla, ed è per questo che si tratta di gran lunga del problema di configurazione più comune.

Come leggere un link ss://#

Provider e pannelli dei server di solito ti forniscono tutti e quattro i valori in un unico link in formato SIP002, spesso accompagnato da un codice QR:

ss://Y2hhY2hhMjAtaWV0Zi1wb2x5MTMwNTpTZWNyZXQw@203.0.113.10:8388#Frankfurt

Parte	Significato
ss://	Lo schema che ogni client Shadowsocks riconosce
Y2hhY2hh…	Il cifrario e la password, chacha20-ietf-poly1305:Secret0, codificati in Base64 sicuro per gli URL
@203.0.113.10:8388	Indirizzo e porta del server
#Frankfurt	Un’etichetta mostrata nell’app, che non influisce sulla connessione

Per controllare cosa ti hanno dato, puoi decodificare la parte centrale con echo Y2hhY2hh… | base64 -d. I link per i cifrari Shadowsocks 2022 hanno un aspetto diverso, perché lì la specifica vieta il Base64: cifrario e chiave sono scritti in chiaro, con i caratteri speciali in percent-encoding. Se il server usa un plugin, il link riceve un parametro /?plugin= dopo la porta.

Potresti incontrare anche altri due formati che distribuiscono i server tramite un URL:

• URL di abbonamento SIP008. Si tratta di un link HTTPS che restituisce un elenco di server in JSON. Il client lo riscarica periodicamente (shadowsocks-rust lo fa ogni ora per impostazione predefinita), così il provider può cambiare i server senza mandarti nuovi link.
• Chiavi ssconf:// di Outline. Sono le chiavi di accesso dinamiche di Outline. L’app sostituisce ssconf:// con https:// e scarica da quell’indirizzo i dati aggiornati del server.

Tratta ognuno di questi come una password, perché chiunque abbia il link può usare il tuo server.

Quale cifrario usare#

Cifrario	Famiglia	Da usare?
2022-blake3-aes-128-gcm, 2022-blake3-aes-256-gcm, 2022-blake3-chacha20-poly1305	Shadowsocks 2022	Sì, se lo supportano sia il client sia il server. La protezione dai replay è integrata.
chacha20-ietf-poly1305	AEAD classico	Sì. Ogni client conforme alla specifica deve supportarlo, ed è la scelta più veloce su telefoni e router.
aes-256-gcm, aes-128-gcm	AEAD classico	Sì. Sono i più veloci sui PC con AES hardware.
aes-256-cfb, aes-128-ctr, rc4-md5, salsa20 e altri cifrari a flusso	Legacy	No. Non hanno alcun controllo di integrità e il progetto stesso li definisce completamente compromessi.

I cifrari a flusso non sono un rischio teorico. Un attacco del 2020 ha mostrato che chi aveva registrato il tuo traffico poteva farlo decifrare da un server che usa ancora un cifrario a flusso con la stessa password.

Shadowsocks 2022 cambia anche il funzionamento delle chiavi, perché non accetta una password qualsiasi. La chiave deve essere una sequenza di byte casuali in Base64, 16 byte per 2022-blake3-aes-128-gcm e 32 byte per gli altri due, quindi la generi con openssl rand -base64 16 o openssl rand -base64 32. Il protocollo controlla anche i timestamp e tratta come replay qualsiasi messaggio sfasato di oltre 30 secondi. In pratica, basta che l’orologio del dispositivo sia sfasato di mezzo minuto perché ogni connessione fallisca.

Come configurare un client Shadowsocks#

Per prima cosa copia il tuo link ss://. Tutti i client qui sotto possono importarlo, così eviti di digitare a mano cifrario e chiave.

Windows#

L’opzione più semplice è Outline:

1. Scarica Outline Client per Windows dal sito di Outline e installalo.
2. Fai clic su Add server (aggiungi server), incolla il link ss:// o la chiave di accesso nel campo Paste access key here e conferma.
3. Fai clic su Connect e, la prima volta, approva la richiesta di rete. Da quel momento tutto il traffico passa nel tunnel.

L’opzione classica è Shadowsocks for Windows:

1. Scarica lo ZIP più recente dalla pagina delle release del progetto su GitHub ed estrailo in una cartella che non sposterai.
2. Installa .NET Framework 4.8 e Visual C++ 2015 Redistributable (x86) se Windows non li ha già, poi avvia Shadowsocks.exe.
3. Fai clic con il tasto destro sull’icona dell’aeroplanino di carta nell’area di notifica, apri Servers e scegli Import URL from Clipboard…, oppure aggiungi il server a mano in Edit Servers….
4. In System Proxy, scegli PAC per mandare nel tunnel solo i siti in elenco, oppure Global per mandare tutto.

macOS#

1. Scarica ShadowsocksX-NG.dmg dalla pagina delle release su GitHub e trascina l’app in Applicazioni. Se la prima volta macOS si rifiuta di aprirla, consentila in Impostazioni di Sistema → Privacy e sicurezza.
2. Dall’icona nella barra dei menu, scegli Import Server URLs… o Scan QR Code From Screen. Puoi anche inserire i valori in Server Preferences….
3. Attiva Shadowsocks e scegli una modalità: Auto Mode By PAC, Global Mode oppure Manual Mode, in cui usano il tunnel solo le app che configuri tu.

Linux (e router, server, Docker)#

Su Linux usa sslocal di shadowsocks-rust. Puoi installarlo dal gestore di pacchetti, con snap install shadowsocks-rust o brew install shadowsocks-rust, oppure scaricare un binario già pronto dalla pagina delle release.

Il modo più rapido per partire è passargli direttamente il link:

sslocal -b 127.0.0.1:1080 --server-url "ss://Y2hhY2hh...@203.0.113.10:8388"

Per una configurazione permanente, metti i valori in un file di configurazione:

{
  "server": "203.0.113.10",
  "server_port": 8388,
  "password": "Secret0",
  "method": "chacha20-ietf-poly1305",
  "local_address": "127.0.0.1",
  "local_port": 1080
}

sslocal -c config.json                    # SOCKS5 proxy on 127.0.0.1:1080
sslocal -c config.json --protocol http    # HTTP proxy instead

Il pacchetto snap include anche un servizio sslocal-daemon che puoi abilitare con systemd, ed esiste un’immagine Docker ufficiale, ghcr.io/shadowsocks/sslocal-rust.

Android#

1. Installa shadowsocks-android dalla pagina delle release su GitHub. La versione su Google Play funziona ancora, ma non viene aggiornata dal 2021.
2. Tocca in alto l’icona per aggiungere un profilo e scegli Scan QR code, Import from Clipboard o Manual Settings.
3. Seleziona il profilo, tocca il pulsante rotondo di connessione e accetta la richiesta VPN.
4. Nelle impostazioni del profilo, imposta Route (per esempio, Bypass LAN tiene gli indirizzi locali fuori dal tunnel). Se solo alcune app devono usare il tunnel, attiva Apps VPN mode e selezionale.

iPhone e iPad#

1. Installa Outline dall’App Store.
2. Copia il link ss://. Quando apri l’app, Outline ti propone di aggiungerlo; in alternativa puoi toccare Add server e incollarlo.
3. Tocca Connect e consenti la configurazione VPN.

Le app basate su regole come Shadowrocket o Potatso funzionano allo stesso modo: aggiungi un server incollando il link o scansionando il codice QR, poi lo attivi. La differenza è che possono mandare nel tunnel solo i siti che scegli, mentre Outline fa sempre passare tutto dal tunnel.

Modalità di routing: cosa passa davvero nel tunnel#

La modalità decide quale traffico usa Shadowsocks, e sceglierne una sbagliata è il secondo motivo più comune per cui un client “funzionante” sembra non fare nulla.

Modalità	Cosa passa nel tunnel	Adatta per
Manuale	Solo le app che punti su 127.0.0.1:1080	Script, un singolo profilo del browser, test
Globale (proxy di sistema)	Ogni app che rispetta l’impostazione del proxy di sistema	Navigare con tutto il browser nel tunnel
PAC / Auto / regole	Solo i domini di un elenco, mentre tutto il resto va diretto	Mantenere veloci i siti locali mentre quelli esteri usano il tunnel
VPN / TUN	Tutto il traffico del dispositivo, compresi UDP e le app che ignorano le impostazioni proxy	Giochi, app di messaggistica, telefoni e tutto ciò che “non vede” il proxy

Outline e le app mobili funzionano sempre in modalità VPN. I client desktop classici usano di default il proxy di sistema, mentre le app multiprotocollo come Clash Verge Rev e v2rayN ti permettono di attivare una modalità TUN.

Usare il proxy locale in app specifiche#

• Firefox: apri le Impostazioni, cerca “proxy” e fai clic su Configure proxy nella sezione Proxy settings. Scegli Manual proxy configuration, inserisci 127.0.0.1 e la porta 1080 come SOCKS Host, seleziona SOCKS v5 e verifica che Proxy DNS when using SOCKS v5 sia spuntato. Le versioni recenti lo spuntano di default, e senza questa opzione le richieste DNS aggirano il tunnel.
• Chrome ed Edge: seguono il proxy di sistema. Per mandare nel tunnel un solo browser, avvialo con --proxy-server="socks5://127.0.0.1:1080". Con SOCKS5 Chrome risolve sempre i nomi di dominio sul lato del proxy, quindi il DNS non trapela.
• Estensioni del browser: un proxy switcher ti permette di mandare solo i siti scelti attraverso 127.0.0.1:1080 e di cambiare le regole con un clic. Il Proxy SwitchyOmega originale non funziona più con le versioni attuali di Chrome, e il suo fork mantenuto è ZeroOmega. Sul Chrome Web Store compare anche un falso “SwitchyOmega V3”, quindi controlla l’editore prima di installare. In Firefox, verifica che l’opzione DNS remoto dell’estensione sia attiva.
• Riga di comando: usa curl --socks5-hostname 127.0.0.1:1080 … oppure imposta ALL_PROXY=socks5h://127.0.0.1:1080. Molti strumenti capiscono solo i proxy HTTP, e per quelli puoi avviare sslocal con --protocol http.
• Git: git config --global http.proxy socks5h://127.0.0.1:1080.

La h in socks5h è importante, perché dice allo strumento di risolvere i nomi di dominio tramite il proxy invece che con il tuo DNS locale.

Verifica che funzioni davvero#

Un’icona verde significa solo che il client si è avviato. Per vedere da dove esce il tuo traffico, basta un comando:

curl --socks5-hostname 127.0.0.1:1080 https://ifconfig.me

Dovrebbe stampare l’indirizzo IP del tuo server Shadowsocks e non il tuo. In modalità VPN, esegui semplicemente curl https://ifconfig.me senza il flag del proxy. Dopodiché apri nel browser un test per le perdite DNS: i server DNS elencati dovrebbero appartenere alla rete del server o a un resolver pubblico, non al provider della tua connessione di casa.

I plugin e quanto è rilevabile Shadowsocks nel 2026#

Plugin#

Shadowsocks può affidare il proprio traffico a un plugin, definito dallo standard SIP003, che lo incapsula in un altro trasporto. Il plugin gira su entrambi i lati, quindi il client ha bisogno dello stesso plugin del server, con impostazioni corrispondenti (per v2ray-plugin, stesso host, stesso path e stessa scelta sul TLS). Può girare un solo plugin alla volta, e i plugin trasportano solo traffico TCP.

Plugin	Cosa fa	Note
v2ray-plugin	Incapsula il traffico in WebSocket, opzionalmente con TLS	Può girare dietro una CDN o un normale server web sulla porta 443
kcptun	Invia il traffico su un protocollo basato su UDP, ottimizzato per i collegamenti con perdita di pacchetti	Aiuta sulle connessioni mobili instabili o a lunga distanza, al prezzo di un maggiore consumo di banda
simple-obfs	Camuffa il traffico da semplice HTTP o TLS	Deprecato; usa v2ray-plugin al suo posto
Cloak	Fa sembrare il server un normale sito HTTPS a chi prova a sondarlo	Richiede una configurazione dedicata di client e server

Outline e molte app iOS non eseguono plugin. Se il tuo server ne usa uno, scegli un client che abbia “Sì” nella colonna dei plugin della tabella più in alto, oppure un’app multiprotocollo con il plugin integrato.

Shadowsocks si può rilevare?#

Sì, da filtri di rete ben attrezzati. Shadowsocks non ha un handshake in chiaro: il primo pacchetto trasporta già dati cifrati, quindi l’intero flusso sembra una sequenza di byte casuali. Proprio questo design è anche il suo punto debole. A novembre 2021 i sistemi di filtraggio nelle regioni con restrizioni hanno iniziato a scartare le connessioni il cui primo pacchetto sembra “troppo casuale”.

Un gruppo di ricercatori di diverse università statunitensi ha descritto il meccanismo in un articolo presentato a USENIX Security 2023. Il sistema applica regole semplici al primo pacchetto di dati, come la quota di caratteri stampabili, e controlla solo circa un quarto delle connessioni. Secondo le stime degli autori, poteva comunque colpire circa lo 0,6% del normale traffico internet come danno collaterale. In risposta, all’inizio del 2022 shadowsocks-rust ha aggiunto prefissi del payload configurabili, e più avanti nello stesso anno Outline ha introdotto nel suo client un’opzione simile chiamata “prefix”.

Ecco cosa significa in pratica:

• Sulle reti normali, come il Wi-Fi di hotel e bar, i firewall aziendali o durante un viaggio di lavoro, Shadowsocks puro con un cifrario AEAD moderno o della versione 2022 funziona bene.
• Nelle regioni con restrizioni, nessun protocollo resta raggiungibile per sempre. I protocolli che imitano il vero traffico TLS, come VLESS con Reality o Trojan, oggi spesso durano di più, e un client multiprotocollo ti permette di cambiare senza reinstallare nulla.
• Per la privacy, tieni presente che Shadowsocks non offre segretezza in avanti (forward secrecy), nemmeno nella versione 2022. Chiunque registri il tuo traffico e in seguito ottenga la chiave può decifrarlo, quindi cambia le chiavi periodicamente e non far girare i link tra troppe persone.

Risoluzione dei problemi#

Sintomo	Causa probabile	Soluzione
Connesso, ma nessun sito si carica	Il cifrario o la password non corrispondono a quelli del server	Reimporta il link ss:// invece di digitare i valori, oppure decodificalo per confrontarli
La connessione va in timeout	Server spento, porta sbagliata o porta chiusa sulla tua rete	Controlla che il server sia attivo e prova un’altra porta, per esempio la 443
Il browser funziona, le altre app no	Quelle app ignorano il proxy di sistema	Passa alla modalità VPN/TUN o imposta il proxy nelle impostazioni dell’app
I siti mostrano ancora il tuo paese reale	DNS o traffico aggirano il tunnel	Usa socks5h, spunta “Proxy DNS” in Firefox o passa alla modalità VPN
Ogni connessione fallisce con un cifrario 2022	La chiave non è un Base64 valido di 16 o 32 byte, oppure l’orologio del dispositivo è sfasato di oltre 30 secondi	Rigenera la chiave con openssl rand -base64 32 (16 per aes-128) e sincronizza l’orologio
Errore “Unsupported method”	Il client non conosce il cifrario	Aggiorna il client o usa chacha20-ietf-poly1305 su entrambi i lati
Un server con plugin non si connette	Il client non ha il plugin, oppure le sue impostazioni sono diverse da quelle del server	Installa lo stesso plugin con host, path e TLS corrispondenti, oppure usa un client che supporta i plugin
Funziona per qualche minuto, poi si ferma	Filtraggio o rallentamento del traffico sulla rete	Prova un plugin, un’altra porta o un protocollo basato su TLS
Velocità bassa	Server lontano, VPS sovraccarico o collegamento mobile con perdita di pacchetti	Scegli un server più vicino e prova kcptun sulle connessioni instabili

Shadowsocks, proxy SOCKS5 e VPN a confronto#

Risolvono problemi diversi, e capita spesso di scegliere quello sbagliato.

	Shadowsocks	Proxy SOCKS5	VPN (WireGuard, OpenVPN)
Cifratura fino al server	Sì	No; traffico e credenziali sono visibili in rete	Sì
Come appare	Byte casuali, nessun handshake	Un handshake proxy riconoscibile	Un handshake VPN riconoscibile
Cosa copre	Le app che usano il proxy locale, o l’intero dispositivo in modalità TUN	Le app che configuri	L’intero dispositivo
Configurazione tipica	Un server privato condiviso da poche persone	Molti IP da un provider	Un server o la rete di un provider
Ideale per	Reti filtrate e regioni con restrizioni	Scraping, automazione, gestione di più account, geo-testing	Privacy quotidiana su reti non affidabili

Shadowsocks ti dà un tunnel cifrato difficile da individuare, ma con un solo indirizzo di uscita. La raccolta dati e l’automazione richiedono l’opposto, cioè molti IP di uscita senza il peso della cifratura, e per questo lavoro i proxy SOCKS5 sono la scelta più adatta. Se vuoi solo proteggere un intero dispositivo sul Wi-Fi pubblico, una VPN come FineVPN è più semplice che gestire un tuo server Shadowsocks.