Um ajuste no reload: pela man page, o unbound-control reload limpa o cache e relê a config. Pra manter o cache quente tem o reload_keep_cache (desde o 1.17.1), que só funciona se o tamanho dos caches e o número de threads não mudarem.

E o guia do Pi-hole deixa use-caps-for-id em no, porque às vezes dá problema com DNSSEC.

Sobre a pergunta do DoT: o trecho em texto puro que pesa não é o loopback, é o do Unbound pra fora. Na recursão, as consultas pros servidores autoritativos saem pela porta 53 sem cifra, então a operadora continua vendo os nomes (o qname minimisation só esconde o nome completo da raiz e do TLD) e pode interceptar. Você tira o resolver de terceiro da jogada, não a operadora. Pra esconder dela, o caminho é um forward-zone com forward-tls-upstream: yes pra um resolver público, que aí passa a ver tudo. E o SNI do TLS ainda entrega o domínio na maioria dos sites.